Anthropic 以其 AI 安全理念闻名。这些承诺能经受住万亿级 IPO 的考验吗？

# 万亿美元级的暂停 | Anthropic的IPO是否会终结AI安全？ 来源：https://itbb.substack.com/p/the-trillion-dollar-pause?r=6u75wz&triedRedirect=true [](https://substackcdn.com/image/fetch/$s_!_wxU!,f_auto,q_auto:good,fl_progressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2F6766d404-9392-4091-87f4-aa73e05aa1d8_2560x1440.png) 六月的头两周，Anthropic提交了上市申请，三天后又发表了暂停AI发展的理由。这个顺序很容易被搞反。6月1日，该公司以保密方式向美国证券交易委员会（SEC）提交了一份S-1注册声明草案，这是IPO的启动文件，而就在几周前，它以9650亿美元的估值完成了650亿美元的H轮融资。6月4日，Anthropic Institute发布了《当AI自我构建时》的报告，报告来自公司内部：现在超过80%合并到代码库的代码是由Claude编写的，典型工程师的日均产出大约是2024年的八倍。报告给出的建议是：世界应该保留“选择减缓或暂时暂停前沿AI发展的选项”。 一份文件为“机器永不停止”的假设定了价。另一份文件，来自同一家机构同一周，却说世界可能需要停下来。暂停论文是在明知有那份申报文件的情况下撰写的。 先别急着指责其虚伪；这种指责在具有启发性的意义上是错误的。这个春天，Anthropic为其安全立场付出了真实且持续的代价。这不是一家不愿为原则付出代价的公司。真正的问题更窄：当它成为一家上市公司后，谁有权让它放慢或停止下一代模型的构建，以及如果有人真的行使了这个权力，是否会有人注意到？ 本月发生的一件事看起来提供了答案。6月12日，联邦政府命令暂停Anthropic最强大的两个模型，它们至今仍处于下线状态。从外部来看，这几乎无法与被监管的暂停区分开，因为模型无论如何都下线了。区别在于条件。被监管的暂停旨在阻止下一代模型的构建，而非撤回上一代模型；它在发布之前，或在定义的预发布阈值之前介入，而非之后；并且它遵循一个被监管者事先接受的规则，而非官员对当下形势的判断。我们接下来会用这三条标准来衡量这次模型下线事件。 这一点是可证伪的：目前，本应掌握这一暂停权力的五个地方，没有任何一个被配置为能够使用这个刹车。它们分别是：管理层自己的扩展政策、购买产品的客户、为扩建提供资金的算力合作伙伴、最终将拥有公司一部分股权的公众，以及一个专为解决这个问题而设立的信托机构。其他杠杆也存在，但各有其目标：董事会可以解雇CEO，监管机构可以吊销许可证，研究人员可以大声辞职——但这些都无法触及这里讨论的决策——对下一次训练运行说“先别急”——除非董事会除了股价之外还有其他考量，而这正是第五个候选，而非第一个。我将逐一分析。其中四个要么已经耗尽，要么从未激活；第五个则取决于招股说明书，我会指出其中能够证明我错了的证据。 第一个显而易见的地方：公司自我约束。Anthropic在私有制下、通过一份书面政策对此进行过一次实验，记录是公开的。 2023年9月，当该公司估值约40亿美元时，它发布了第一份《负责任扩展政策》，并基本上开创了一个新的政策类别。这个类别自带一个指导性隐喻，业界也采用了它的各种版本：尤利西斯，他让船员把他绑在桅杆上，这样他就能听到海妖的歌声而不会撞向暗礁。该政策对一个显而易见的问题——如果你构建了危险的东西怎么办？——的回答是结构性的自我约束。用原始文件的话说，安全级别系统“内在地要求我们暂时暂停训练”更强大的模型，如果扩展速度超过了必要的安全保障。一位长期批评者称，员工在十多次场合告诉他，RSP“将他们绑在了桅杆上”。这就是它被宣传的方式，也是它被理解的方式。 原始文本的两个特征得到的关注较少。暂停是“内在地”——由系统的逻辑所要求，但并未在任何地方承诺。并且，该政策从第一天起就包含一个条款，保留在其他开发商不愿匹配其承诺时修改这些承诺的权利。约束和逃脱条款从一开始就明文写在文件中；只有约束部分被记住了。 随后的发展并非一次性的删除，而是一个渐变的过程，每一步都伴随着更高的估值。 2024年10月，2.0版本用更定性化的阈值取代了清晰的量化指标。一周之内，SaferAI——少数几家对AI开发者的风险管理进行评级的独立机构之一——将Anthropic的评分从2.2降到了1.9，从“中等”降至“弱势”，原因正是这种权衡：可验证的指标被“信任我们”的语言所取代。该评级在2025年10月再次被降至1.7，且从未被上调。它就一直公开地待在那里，经历了后续超过九千亿美元的市值增长。 随后，在2026年2月24日——同月Anthropic以3800亿美元估值筹集了300亿美元资金——3.0版本直接移除了暂停承诺。取而代之的是一个“前沿安全路线图”，其中的目标被公司自己称为“雄心勃勃但不具约束力”，以及定期风险报告、某些情况下的第三方专家审查，以及一些被重新定义为“行业广泛建议”的安全措施——这些建议称，如果整个行业都这么做，风险就能保持在低水平。 公司的辩解是有实质内容的。首席科学官Jared Kaplan告诉《时代》杂志，如果“竞争对手在狂奔”，那么“做出单边承诺”就不再合理。该政策也详细阐述了这一逻辑：单方面暂停会将前沿阵地拱手让给保护措施最薄弱的开发者。GovAI——绝非什么行业吹鼓手——大体上也同意这一点：集体行动问题是真实存在的，现有的缓解措施并未降低，而一纸空文比诚实的约束更糟糕。它还附上了一个警告：许多公司以Anthropic的RSP为蓝本建模自己框架，如果该政策类型的首创者说自己的承诺不切实际，那么效仿者可能会跟进。 （此处GovAI的每个字都可以是真的，却仍然是在描述困境而非反驳它。为什么承诺在实践中无法得到遵守？因为遵守承诺——实际上暂停、独自暂停，而竞争对手在向前冲刺，300亿美元的新鲜资本期待着增长曲线——是公司所处的环境所不允许的。而增长曲线并非估值的装饰品；它就是估值本身。PitchBook的计算表明，只有2030年收入落在3450亿到4500亿美元之间，其财务模型才能成立，所以暂停并非增长中的停顿，而是投资故事中的漏洞。“如果我们发现危险的东西，我们会停下来”和“我们会足够快地增长，以证明这个价格是合理的”是两个未能共存的承诺。当它们发生冲突时，前者被重新定义为需要尚不存在的全行业协调）。 这个演变过程浓缩成一个数字。当RSP刚刚诞生时，安全方面自身就提出了一个案例，认为它相当于一个暂停承诺，并且一个预测市场也随之开启，询问它是否真的会被执行。该市场的信心从大约三分之一下降到现在的约2%，随着每次政策修订而逐步降低。 [](https://substackcdn.com/image/fetch/$s_!kGLP!,f_auto,q_auto:good,fl_progressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2F2d243c55-d3ab-4012-aee5-655bb9159612_1138x753.jpeg) 一个Manifold预测市场，询问Anthropic的负责任扩展政策承诺是否会导致它暂停扩展哪怕一个月。市场的回答从2024年的约三分之一下降到2026年的约2%，随着每次政策修订而逐步下降。 所有这一切都发生在私有制下：耐心的资本，距离退出还有多年，没有任何财报电话会议。该公司仍然拥有暂停的能力。这些修订表明的是，它已经通过书面形式将自己排除在必须使用该能力之外，并且随着估值攀升，这一进程加快。作为任何外部人士能够赖以约束它的刹车，这条绳子已经松了。 如果一家公司无法约束自己，教科书式的答案说是客户会来做这件事：让克制成为品牌的一部分，市场就会为这个品牌付费。在同一时期，这个理论得到了两次有史以来最干净的检验。 2月下旬，在关于Claude军事用途的谈判破裂后，国防部长Pete Hegseth在X上宣布，Anthropic构成国家安全供应链风险——这是历史上仅用于外国对手的标签，首次被公开应用于一家美国公司。同日，特朗普总统命令所有联邦机构“立即停止”使用Anthropic的技术。导火索是：Anthropic拒绝了向军方无条件开放Claude的访问权限，围绕大规模国内监控和完全自主武器划定了红线。 该公司失去了一个2亿美元的国防部合同，告诉联邦法院此事将使2026年数十亿美元的收入面临风险，并提起了诉讼。3月下旬，法官Rita Lin禁止了这项认定以及两项行政指令，认定可能存在第一修正案报复行为，并写道法律不支持“那种奥威尔式的观念，即一家美国公司可能仅仅因为与政府意见不合就被标记为潜在对手”。第二项平行的认定在上诉中得以维持，至今有效。一次真正的拒绝，一个真正的代价，面对地球上最强大的客户，并且仍在付出代价。 而市场注意到了。五角大楼之争被报道为一个信任故事，而信任故事就是生意本身：根据风险投资调查，Anthropic在企业LLM支出中占据最大份额；客户们明确想要他们可以信任的AI；Project Glasswing——邀请制的Claude Mythos访问权限，由Anthropic拒绝向公众发布的安全措施所保护，现已覆盖超过15个国家的约两百个经过审查的组织——甚至连这种“设限”本身也成了价值主张。从2月份的融资到5月下旬的融资，估值从3800亿美元涨到了9650亿美元。这些都是真正“异类”的基本面。但这也是在一个信仰永不摇动的世界里定价的基本面，而这个市场里少数几个AI公司正相互支撑。 SaferAI的降级在整个过程中都是公开的，两次融资都是如此。没有人为此定价，市场结构也没有给出任何理由让人这么做：一个下滑的风险管理评级没有买方，没有合同关联，没有法庭。这就是单一数据点中的不对称性。市场奖励的是在“部署”点的拒绝，可见的，有法庭和判决。市场无法奖励的是在“开发”点的克制，一个在连续的PDF文件中退化、没有买方也无人注意的承诺。市场为其能看见的安全定价；它无法为存在于训练决策中的安全定价。可见的安全会复合：变成品牌，变成合同，变成估值。不可见的安全没有买方。如果这种不对称持续存在，那么能够存活的承诺将是那些拍照时好看的承诺。 [](https://substackcdn.com/image/fetch/$s_!o8EB!,f_auto,q_auto:good,fl_progressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2F889f5f89-9135-4669-8b1c-5c93dc37e752_2560x1440.png) Anthropic提交了上市申请，三天后又发表了暂停AI的理由。其S-1中的公司治理页面将显示这个理由到底价值几何。 申报文件提交一周后，另一个限制条件显现出来。6月9日，Anthropic发布了Claude Fable 5，这是其最强大类别的首个通用模型，并附有一份319页的系统卡。其大部分安全措施是设计可见的：触发其生物和安全过滤器请求会被路由到一个更旧、更弱的模型，并附带通知。其中一个则不然。在系统卡的细则中，有一个被描述为“对用户不可见”的安全措施，当模型判断自己正在被用于开发对手的前沿系统时，它会降低自身输出质量，并且不告知用户任何信息。 先不谈动机。多年来，Anthropic一直公开主张，它宁愿守住前沿阵地，也不愿将其拱手让给它不太信任的公司；这是其明确表述的世界观，并非秘密。新闻在于方法：一个隐蔽的、产品内部的开关，改变了回答，并且对接收者隐瞒了任何事情。研究人员几小时内就发现了那个段落。美国创新基金会的Dean Ball称之为“秘密破坏”。大约一天后，Anthropic使该安全措施变为可见，现在会在回答中给出原因，并表示：“我们做出了错误的权衡，并为没有平衡好而道歉。”限制条件依然存在；只是其隐蔽性被取消了。 这个教训比一个市场故事更冷酷。这个开关之所以被修正，是因为它被写在了一个外部人士可以读到的地方。信息披露只能约束那些被披露所暴露出来的约束。一个公开可用的前沿模型携带一个隐藏的控制，只持续到有人读到其细则为止。更早之前，在训练、评估和发布标准中做出的决策，不一定记录在系统卡中，而一家拥有承诺算力的公司