一份秘密草案背后，AI巨头的野心藏不住了

出品｜虎嗅ESG组

作者｜陈玉立

头图｜视觉中国

本文是#ESG进步观察#系列第176篇文章

本次观察关键词：人工智能

10月17日，Politico爆出一条新闻——Anthropic一直在私下接触美国国会议员，并向他们递交一份由公司起草的前沿AI安全法案草案（以下简称“草案”）。

草案给政府叫停模型设了三道闸门：风险必须“可预见且迫在眉睫”，可能造成超过10亿美元损失，或者导致50人以上死亡、重伤，而且风险来源还得是生物武器、模型失控、网络攻击三类之一。三个条件同时满足，商务部才能去找联邦法官申请叫停。

有意思的是，回溯历史，公开披露的AI安全事故里没有一起够得上这个门槛。

这项草案看似给了联邦政府暂停模型的权力，但把这项权力塞进了一条又窄、又长、又高度程序化的管道里。

模型公司要挨评估，政府自己也被捆住了手脚。最严重的风险被管起来了，更多现实里的争议——就业冲击、深度伪造、算法歧视，全都留在了门外。

Anthropic看起来是在给自己上枷锁。但把条款拆开看，另一层意思浮了出来：已经在牌桌上的公司，适应这套规则的成本最低；后来者要进来，得先买一张贵得离谱的“门票”。

这份草案到底写了什么？

草案的完整文本目前尚未公开，就外媒披露的信息来看，草案并不是一份完整的 AI 监管法，它只聚焦一件事：联邦政府在什么条件下、通过什么程序，可以叫停前沿AI模型的发布或使用。

而草案的蓝本来自Anthropic在今年6月发布的《Advanced AI Framework》（高级人工智能框架），Anthropic发言人直言：草案体现的就是框架里的建议，公司从6月起就在联邦和州两级游说法案。

按《Advanced AI Framework》的表述，一家AI公司得同时跨过两道线才适合被纳入监管，一是训练过算力超过10的25次方FLOP的模型，二是年AI相关收入过5亿美元，或者每年AI研发砸10亿美元以上。

不得不承认这个门槛划得精妙，因为普通应用公司、大多数模型创业团队暂时都不在范围里。按今天的行业格局，够得上的也就OpenAI、谷歌、Anthropic、Meta、xAI这五家。

具体到AI风险上，《Advanced AI Framework》里也列了四类：生物武器、网络攻击、模型失控，以及可能放大前三类的自动化研发。

但相比之下，草案的风险管控领域变得更窄了——能触发叫停的只剩三类：生物武器、模型控制与网络攻击。就业、偏见、选举操纵这些吵得最凶的事，草案一概不管。

此外草案里更重要的一条是，政府在叫停之前，还得跨过“损失规模”这道坎——10亿美元以上损失，或者50人以上死伤，且必须“可预见且迫在眉睫”，三个条件缺一不可。

而就算全凑齐了，模型也不会立刻下线。

草案另设了独立评估机构。这些机构要在商务部注册，定期给前沿实验室做体检。费用可以由被评估的公司出，但钱不能跟评估结果挂钩。

评估机构一旦发现“迫在眉睫的风险”，72小时内必须报给商务部（据财联社、shattered.io）。商务部拿到报告，还得跑去找哥伦比亚特区联邦地区法院的法官，由法官下令暂停。商务部自己没有“一键下架”的权力。

整份草案里最狠的一招藏在最后：其他联邦部门、机构、官员，都不能绕开这条管道，单方面去叫停前沿模型的开发、部署或者内部使用。

这不是说FTC、国防部或者行业监管机构从此管不了了，按现有公开信息看，它限制的只是这些部门“单方面叫停前沿模型”这一项最直接的权力。具体边界得等完整草案出来。

但能确定的是——叫停模型这件事，被集中到了“评估机构-商务部-联邦法院”这一条线上，谁都不能“另开炉灶”。

草案还打算把一部分州级AI法律给排除掉，涉及风险披露、第三方评估、重大事故报告这些。作为交换，受管实验室得自己建安全框架、发透明度报告、保护内部举报人、出了大事后15天内需报商务部。

把这些条款拼到一起，方向就已经很清楚了：联邦政府拿到了一套干预前沿模型的正式程序，模型公司的义务写得更死，行政部门的自由裁量权被压到了最低。

夺回主动权

要理解Anthropic为什么这么在意“谁能叫停模型”，得把时间的指针往回拨。

9月12日，Anthropic CEO Dario Amodei发了一篇长文，话说得很重——再不刹车，失控的AI智能体可能在六个月内接管互联网。他提了三层方案——外部评估人员进驻实验室、头部公司签共同安全守则、各国政府推跨国治理。

三天后的Dreamforce大会上，三个CEO罕见同台，分歧彻底摆到了台面上。奥特曼表面上附和Dario，但当场就拆了台：“有些公司话里话外是对手减速我才减速，别家负责我才负责，这逻辑很危险。”

意思很明白——安全是你自己的事，别拉着大家一起签协议。黄仁勋更直接，他把“速度还是安全”定义为“虚假的选择”——模型没把握就回去改，但整个产业能跑多快就跑多快。特朗普也凑了次热闹，在All-In峰会上现场连线，说“AI末日论”是骗局，黄仁勋当场接话：“我们不会让这种事发生。”

Anthropic不止是在行业内喊话，它是真做实事。据媒体报道，外部评估机构METR已经拿到了“员工级访问权限”，团队直接坐进了Claude的开发办公室，能使用Anthropic的硬件和内部系统。显然，Anthropic先拿自己“开刀”了。

那为什么Anthropic不遗余力地要推进AI安全议题？答案藏在今年2月那场更早的官司里。

今年2月，Anthropic跟五角大楼吵翻了，公司要求政府承诺：Claude不能用来大规模监控美国公民，也不能成为致命的自动化武器。但五角大楼的态度是——我买的东西，只要合法，想怎么用就怎么用。

谈崩之后，特朗普政府把冲突迅速放大。2月27日到3月3日，政府连出三招：所有联邦机构永久停用Anthropic产品；所有国防承包商跟Anthropic切断一切商业往来，哪怕你用Claude只是做客服；把Anthropic认定为“国家安全供应链风险”——这个标签以前只给过外国情报机构和恐怖分子。

这几招若是全落地，远不止丢一份军方合同那么简单。一家公司用着Claude做客服、写代码，同时又想接国防订单，那就得在Anthropic和军方之间二选一。法院在初步禁令里引了“法庭之友”的话，说这近似于“试图谋杀一家公司”。

好在经过差不多半年的诉讼后，8月法院最终判决Anthropic全面胜诉。法院认定的事实很关键：政府拿不出证据说Claude比别的“黑箱AI”更危险，所谓“后门访问”也不存在。

但这场官司确实给Anthropic上了一课：一家技术公司的命运可以随意被一个行政部门一纸命令改写，就算事后赢了官司，也补不回中间丢掉的合同、客户和声誉。

回头来看，秘密草案里那项排他性条款恰好就是冲着这个来的，以后哪个部门想停前沿模型，得走商务部和法院的程序，再也不能凭一纸行政命令搞全系统封杀。

所以把这一系列事实放在一起看，Anthropic想要什么已经很清楚了。

安全话语权就是发展空间

Anthropic需要给自己争取安全发展的空间。

一个事实是，美国联邦AI采购正在疯狂扩张。据Presenc AI的数据，2026财年上半年国防部AI相关合同上限超过320亿美元，直接AI预算约134亿；另一份统计把联邦AI合同潜在价值算到了907亿，国防部占了九成九。

但Anthropic在这个市场上的位置很尴尬。

Claude曾经是唯一获批进入政府机密网络的模型，但今年却因为护栏问题跟五角大楼翻了脸。在Value Add VC整理的名单里，5月份五角大楼跟八家公司签了机密网络部署合同——OpenAI、谷歌、微软、AWS、英伟达、SpaceX、ReflectionAI、甲骨文——没有Anthropic。

所以Anthropic需要重新证明两件事：一是Claude能进高敏感场景，二是政府不能随便把它踢出去。

这次的草案应运而生。一方面，独立评估、风险报告、安全框架，给政府客户提供了一套可审计的信任工具；另一方面，叫停权进了司法程序，供应商面对的政治风险也降了一大截。

一组数据足以说明占据“AI安全话语权”对Anthropic的重要性。2026年6月，Anthropic在企业AI订阅市场拿了41%的份额，第一次超过OpenAI的39.5%；Menlo Ventures的报告里，Claude在企业编程市场占了54%，OpenAI只有21%。

大企业采购AI，问来问去就是数据流向、权限管理、审计记录、出事了谁担责。安全能力一旦有了统一的法定说法，采购部门直接就能写进招标文件——Anthropic经营了这么多年的安全品牌，从此有了实打实的商业出口。

再换个视角，从压制竞争对手的角度来看，Anthropic推进此次的草案也有其“算盘”。

一个前提是，Anthropic这套合规义务对不同公司，分量完全不一样。按《Advanced AI Framework》公开的条款，模型开发者要治理的包括：四类风险测试、安全框架、半年一次的风险报告、15天事故上报、定期请独立评估机构等。这些都是硬成本，安全研究员、法务、审计、政府事务、内部合规，一个都不能少，还得让外人进来看你的模型、硬件、开发系统。

对谷歌、OpenAI、Meta来说，这笔账单并不肉疼，安全团队和政策团队本来就有，谷歌的家底甚至比Anthropic还厚。

但草案真正抬高的，是“跨入前沿开发者门槛”之后的组织要求。哪天一家创业公司训出了足够大的模型，研发砸过了10亿美金，它要补的就不只是算力了——风险测试、外部评估、报告体系、事故响应、政府沟通，整套都得跟上。前沿模型竞争从此多了一个维度：光有钱、有芯片、有云，已经不够了。

换句话说，Anthropic未必是五巨头里合规成本最低的，但它的现有流程跟拟议条款的贴合度是最高的，它抢到的是规则起跑线。

而最关键的一层，是“安全”这个词本身在变值钱。

Anthropic从成立起就把安全挂在品牌上。过去这套定位主要用来招人、搞公关、卖企业客户。但只要法律采纳了类似的风险分类、评估流程、披露格式，安全就有了更直接的商业含义。

营销口号随便抄——竞争对手也能发安全承诺、也能组团队。但制度流程不是短时间能补的：持续报告、第三方进场、内部权限、事故响应、法律责任，这些东西都要时间堆。越早按这套体系组织研发的公司，后面转换成本越低。

资本市场也盯着这个变化，监管确定性不能直接变出收入，但能压低估值里的风险折价。Anthropic正在把一套自己长期砸钱堆出来的能力，推成全行业都得守的规则。

为什么偏偏是现在？

草案曝光的时间点，很难不让人往IPO上想。

按Nasdaq的报道，Anthropic 6月1日向SEC提交了S-1文件。据公开报道，10月14日Anthropic在旧金山总部举办投资者日，最早11月9日那周启动正式路演，争取感恩节前挂牌。

但坏消息却来得很早——资本市场已经在讨价还价了。据外媒报道，投资者日之后，部分投资者把估值预期从2万亿砍到了1.5万亿。原因是Anthropic三季度营收168亿美元，连续第二个季度调整后盈利，但环比增速放缓，有人开始对30倍市销率打问号。

而10月17日草案被Politico曝光，正好夹在10月14日投资者日和传闻中的11月路演之间。

没人知道Politico的材料从哪来，认为这是一场给IPO造势的放风证据远远不够。但这一事实肯定会进入投资者的评估框架。

它向资本市场展示了两件事：第一，Anthropic有能力把技术安全议题直接变成联邦政策提案；第二，它正在试图降低多头监管和行政命令给经营带来的不确定性。对一家冲刺上市的模型公司，这两件事都重要。

Anthropic未来几年要给谷歌和亚马逊付巨额云计算费用，还要通过芯片租赁支持的债务融资拿钱。资本开支这么重，融资成本高低直接影响利润率。上市后的信用评级、借贷成本、估值稳定性，全都跟政策风险挂钩。

Anthropic要跟投资者讲的故事是：我不仅能在模型竞赛里留在第一梯队，还能搞定华盛顿那只随时伸过来的手。

问题在于，谁来定义“危险”？

如果草案按现在披露的样子落地，最先受益的是前沿模型巨头。

它们要扛更多披露、测试、评估义务，但同时也拿到了一套可预测的经营边界。各州拼凑的监管格局有机会被联邦标准部分取代；单个行政部门很难再绕过程序叫停模型；法院审查给企业加了一层正当程序保护。

这套安排虽然对行业稳步发展有价值，但对应的成本也摆了出来：后来者一跨入前沿行列，就得建一整套只有大公司扛得动的合规机器；开源模型要处理更复杂的责任追踪；安全标准的制定权，进一步集中到少数有算力、有数据、有政策资源的实验室手里。

Anthropic在这个局里站的位置很有利。它的领先在于，行业即将采用的风险语言、评估流程、治理框架，全都是它最熟悉的那一套。

一家公司参与立法不稀奇——金融、制药、能源、通信，哪个行业没有成熟的游说体系？AI特殊的地方在于：监管者自己还没攒够技术能力，只能大量借重头部实验室来理解模型风险。当被监管者同时提供问题定义、测试方法、执行框架，它就有机会把自己的能力沉淀成行业标准。

Anthropic似乎在借由安全议题干这样一件事——一套规则可以同时保护公众、约束行政权、还巩固头部公司的市场位置。它们并不矛盾，能同时发生。

显然，Dario已经把竞争从模型榜单推到了制度层面。这里的胜负不再只看参数、算力、用户规模，还看谁能定义什么叫危险，谁能把自己那套治理方式写成所有人的必修课。

一家被监管的公司开始参与定义“什么叫危险”——这到底是更可执行的安全规则，还是头部玩家给自己划的一条“护城河”？

或许两者都是。但对Anthropic来说，后者的分量比前者重得多。