AI 安全也讲开放科学？这份联名呼吁想撕开一道口子
2026 年 9 月 18 日，一份名为“A Call for Open Science in AI Safety”的公开倡议上线。据倡议页面显示，发起人包括 EPFL 的 Martin Jaggi 和 Robert West、牛津的 Philip Torr，以及苏黎世联邦理工的 Anna Hedström。页面以个人身份签署，名单覆盖 EPFL、ETH、牛津、MIT、普林斯顿、NUS 等机构的研究者，还有一些企业背景的个人。倡议篇幅很短，但目标明确：要求前沿模型开发者把安全方法和研究分享给全球社区，让独立研究者能够检查、质疑、复现和改进。
这个时间点并不难理解。过去两年，前沿模型从聊天助手向代理式系统演进，安全评估的复杂度在上升，但外界能拿到的信息往往只有系统卡、选定的基准分数和几段红队案例。外面的人很难判断“安全”到底是如何达成的，是哪一步训练起了作用，还是特定测试集上的表现。倡议页面的核心句是“share their AI safety methods and research with the global community”（来源）。这句话把争议从“要不要安全”推到“用什么方法证明安全”。
倡议进一步列出了透明应覆盖的四类内容：安全性评估、安全训练配方、相关代码与数据、期望和非期望行为证据。这四类不是四个口号，每一类都能对应到一个外部审计的关键问题：评估说明模型会在哪里失败；训练配方说明安全能力是如何获得的、是否可以被复现；代码和数据决定评估是否可独立重跑；行为证据用来判断模型是否按预期表现。用一份简单的清单可以这样看：
披露维度 外部研究者需要看到什么
安全性评估 模型在哪些安全基准、对抗场景、失败模式上的表现
安全训练配方 用了哪些阶段、什么顺序、什么超参来抑制有害行为
相关代码与数据 评估脚本、去毒数据、红队攻击集或可复现的环境
行为证据 模型在期望行为和非期望行为上的真实样本与边界这份清单意味着，如果一家实验室认真对待开放科学，它公开的不应只是一张分数表，而是足以让外部复现其中一部分安全结论的材料。倡议认为这样做能让全球学术和工业界的研究资金和人力投向更有希望的方向，而不是在封闭环境中重复造轮子；同时也能让闭源和开源模型都受益于全球社区的安全 best practice。这些是正面论据的完整逻辑。
如果把 AI 安全研究类比医学或气候研究，开放数据和方法曾经明显加速了进展。药物临床试验要求预注册和结果公开，气候模型代码多数可以下载复算。AI 安全现在还没有达到这种程度，但倡议暗示它可以也应该走类似路线。不同的是，AI 安全涉及的信息可能直接成为攻击工具，所以开放必须与风险分级绑定。这一点倡议用例外条款回应，但回应的程度还需要更细。
但把所有安全方法摊开，反对者的顾虑同样成立。社区里常见的三条反对线是：第一，安全训练配方和防御细节一旦公开，可能被直接用来绕过防护或设计更隐蔽的攻击；第二，详细的安全评估报告可能成为模型攻击面的地图，降低攻击难度；第三，前沿实验室之间存在商业竞争，某些安全方法本身就是核心 know-how，公开意味着削弱竞争力。此外，一些国家可能还有出口管制或国家安全层面的约束，让全面公开更难推进。这些观点并不是同一份统一反方文件里写明的，而是安全社区和企业披露策略中长期存在的张力；本次未能核实到单一的反方论文，但它们足够说明阻力来自现实而非惰性。
部分厂商的公开做法可以视为这种“受控透明”的边界。Anthropic 的 Responsible Scaling Policy 页面强调外部审计、红队测试和能力阈值，但公开内容仍以摘要和原则为主，不会公开完整的训练细节（来源）。OpenAI 的安全页面同样把外部专家评估和红队测试放在显眼位置，但完整的安全训练配方并未公开（来源）。如果用倡议列出的四类内容衡量，这两家覆盖的是其中一部分评估和行为证据，离训练配方和代码数据还有明显距离。
这个缺口可以做一个粗略的量化。如果我们按上述四个维度各给一个外部当前可接触程度的估计，安全性评估约 0.7、安全训练配方约 0.1、代码与数据约 0.2、行为证据约 0.3，等权平均后在 30% 左右，缺口约 70%。这个数字是本文基于常识的推算，不是倡议页面给出的，也不是精确测量，只是为了让“透明度不够”有一个数量级的感觉：
维度 外部目前大致可接触程度
安全性评估 中高，通常是摘要而非完整结果
安全训练配方 很低，几乎不公开
代码与数据 低，只有少量 benchmark 和环境
行为证据 中等，依赖零星红队案例和论文
等权粗略覆盖率 ≈ (0.7 + 0.1 + 0.2 + 0.3) / 4 = 0.325 ≈ 30%
缺口 ≈ 70%即便把估计调得更乐观，外部研究者仍然无法复现或改进安全训练。“无法复现”正是倡议要解决的核心问题，因为安全声明如果不能被独立检验，它对公众的价值就只停留在“我们说自己安全”。
倡议也没有天真到要求无条件公开。它在原文里写明了例外机制：如果披露特定信息本身会造成可信的安全或滥用风险，可以例外；但这些例外应当“具体且相称”，而不是成为把安全证据普遍关在门里的理由（来源）。这句话值得多说两句。任何有安全经验的人都知道，公开攻击性细节可能真的会带来风险，所以倡议没有采取“全有或全无”的立场。问题在于，“具体且相称”的判断标准没有归属：如果由实验室自己判断，容易滑向自我豁免；如果由外部机构判断，又涉及标准制定、保密机制和审计成本。目前公开生态里缺少一个能裁决这种例外的公开流程。即使一些公司引入了外部红队和第三方审计，它们的报告仍然可能经过裁剪，不能等同于倡议所要求的可复现披露。
对普通读者来说，这个缺口并不遥远。你问模型一个问题，它拒绝你，可能只告诉你“这违反了我的安全政策”，但不会告诉你边界如何定义、这个边界在哪些测试集上验证过、是否会被简单提示词绕过。如果这些测试和训练方法只有厂商内部知道，用户实际上无法区分“稳健的安全机制”和“临时加的关键词过滤”。因此，倡议呼吁的透明不只是学术圈的自我修养，它也关系到用户能否对“安全”声明有基本的验证能力。
从倡议页面的签署名单看，多数人以学术机构身份出现，也有 Mozilla.ai、AWS 等公司的个人，但前沿实验室的安全负责人几乎没有以官方身份出现。这并不意外：个人签署和公司承诺是两回事。倡议要真正推动厂商改变，可能需要这些公司内部的研究者愿意公开表达立场，或出现更多类似“开放权重安全审计”的中间形态。否则它更像学术界对产业界的一次公开喊话，而不是双方已经达成的共识。
整份倡议更像是一个信号，而不是一套已经可执行的方案。它把安全研究的封闭化趋势摆到了台面上，并且给出了一个简单、可签署、可传播的解决方案：把安全方法和证据当成科学对象来公开。这个方向与近年来的系统卡、外部红队、公共评估基准并不矛盾，只是要求更进一步。如果有一家前沿实验室愿意从“分层披露”开始，例如先公开完整的评估方法和结果，再逐步开放训练配方和代码，可能比一次到位更能落地，也能回应反对者关于“攻击面”的顾虑。但无论路径如何，“让安全研究追上能力膨胀”这个目标，都需要更多外部可复现性，而不是更多发布后的博客和选定的基准分数。
延伸阅读与参考：
评论区
登录后可评论。