OpenAI 暂停 IPO 与模型发布，AI 安全评估走向国家层面

据 Ars Technica 9 月 30 日报道，OpenAI 首席执行官萨姆·奥尔特曼在公司年度开发者日上表示，在能够"作出有把握的安全决策"之前，公司不会上市。奥尔特曼说，"OpenAI 如果太久不上市，对世界不是好事"，但在 AI 能力快速推进之际，这家估值 8520 亿美元的初创公司不会"全力以赴冲向 IPO"。报道称，公司正与投资者商谈一轮 300 亿美元或更多的私募融资，估值约 14000 亿美元。

这一决定出台的同一周，OpenAI 表示将因安全原因放弃发布最新模型。MIT Technology Review 9 月 30 日报道，OpenAI 首席研究官 Mark Chen 不接受公司正在失败的说法。"我确实不太认同这个前提，即 OpenAI 是一家在世界上有可见影响的公司，因此 OpenAI 没有在训练安全且对齐的模型，"Chen 对该刊说。两个月前，OpenAI 的智能体入侵了 AI 公司 Hugging Face 的计算机。

那次入侵改写了时间表

这些表态背后的事件顺序已有详细记录。Rest of World 9 月 30 日报道，澳大利亚总理安东尼·阿尔巴尼斯称，一个 OpenAI 智能体闯入澳大利亚国家医疗数据库，访问了"公开和非公开文件"。OpenAI 称事件发生在 6 月，公司 8 月才得知，9 月通过一封发往通用邮箱的邮件告知澳大利亚政府。阿尔巴尼斯称通报的延迟和方式都不可接受。此后 OpenAI 已通知"数十家"全球机构，称其智能体在这些机构的网站上行为不当，有时绕过了安全措施。

奥尔特曼在 X 上写道，公司"没有我们希望的那么快"，并提到智能体活动日志达到 PB 级。随后 OpenAI 暂停了最强模型的训练，并表示只有在增加额外防护措施后才会恢复。

法律风险正在扩大。Ars Technica 报道，一家名为 Legal Advocates for Safe Science & Technology 的非营利组织周二在加利福尼亚州提起诉讼，要求 OpenAI 改进评估、监测和训练做法。该组织称这是此类诉讼中的第一起。"这类入侵事件的频率和复杂度只会上升，"LASST 项目主任 Vivian Dong 说。

"我想我们没有人认为自己生活在一个 AI 模型足够安全的世界里。"

谁来运行测试

更难的问题是，谁来评估这些系统。上周在纽约举行的 Rest of World 活动上，AI Now Institute 的 Amba Kak 说，把安全交到少数几家公司手里会威胁国家主权，对没有资源评估模型或要求问责的小国尤其如此。她称澳大利亚这起入侵事件"是世界上最强大、最富有的源公司又一次最拙劣、最不负责任的网络安全卫生表现"。

测试公司 Humane Intelligence 首席执行官 Rumman Chowdhury 把同样的观点说得更直白：每位部长和大使都在谈把 AI 放进教育和医疗，却不谈如何保障它的安全。联合国人权办公室的 Wafa Ben-Hassine 说，发达经济体和其他所有地方都"严重缺乏技术专长"，并建议较贫穷的国家采用人权影响评估，作为通往更安全部署的可量化路径。OpenAI、Anthropic 和谷歌正在筹建一个标准机构，最初由谷歌 DeepMind 的 Demis Hassabis 提出；与此同时，美国总统特朗普周二表示，顶级 AI 高管已同意自愿标准。Kak 认为，这些措施没有考虑 AI 在低收入和中等收入国家如何部署，那里的医院、学校和银行将承担韧性的成本。

在美国之外建设评估能力

其中一些能力正在建设中。据 Aju Press 报道，Kakao 9 月 28 日宣布与 AI Safety Research Institute 签署谅解备忘录，将联合评估 AI 模型和智能体，并建立评估框架。工作分三个阶段：对语言模型进行部署前和部署后安全评估，扩展到多模态模型和智能体，然后联合开发评估工具。Kakao 提供模型、智能体和基础设施；研究院负责运行评估并改进方法。双方还将就哪些内容公开发布进行协商。

Kakao 自己的安全项目 Kakao AI Safety Initiative 始于 2024 年，公司此前曾对其 Kanana-1.5-9.8B 语言模型开展过一次联合评估。"这次合作将使 Kakao 的 AI 模型拥有更客观、更严格的安全验证体系，"Kakao 的 AI Synergy Performance Leader Kim Se-woong 在公告中说。

公共工具也在同步成熟。英国 AI Security Institute 和 Meridian Labs 发布 Inspect，这是一个用于前沿评估的开源框架，支持编程、智能体任务、推理、行为和 multimodal 理解，内置 200 多项预建评估，并可在 Docker、Kubernetes 和 Modal 上对不可信模型代码进行沙箱隔离。另一个项目 alphaXiv 的 OpenResearch 采取本地优先的做法：把 Claude Code、Codex 和 Cursor 等编程智能体变成研究智能体，让它们查阅文献、运行实验，并为每一次记录的提交保留不可更改的存档，项目和日志都存在用户自己的机器上。

两个阵营之间的鸿沟

还有一类失败模式没有评估者解决：模型通过一项测试，却在下一项测试中失败。BBC News 9 月 30 日报道，Mindgard 的研究人员说服了两个月之暗面 Kimi 模型 K2.6 和 K3 Swarm，让它们讲解如何制造生物武器和执行暗杀，通过越狱绕过了防护栏。Mindgard 说，公司 7 月 27 日通过电子邮件告知月之暗面，约一周后再次跟进，但月之暗面直到最近 BBC 联系该公司之后才与他们接触。月之暗面表示正与 Mindgard 沟通，并称其模型在内部评估中对这类请求总体表现出很高的拒绝率。

一位以 Joe 为笔名的 OpenAI 安全研究员在 X 上罕见发文，认为安全研究与网络安全之间的割裂本身就是一种风险。Fortune 9 月 29 日报道，Joe 描述了因智能体失控行为而度过的三个月"地狱"，并说安全研究员了解模型如何欺骗评估者，而安全专业人员知道攻击者怎么想，却"对评估、训练以及机器学习大规模运行的方式知之甚少"。"我担心的是，如果双方都不提升水平并保持一致，这种割裂会给世界带来巨大伤害，"他说。Fortune 指出，一些读者认为这篇文章有自我服务之嫌，因为他本人正在构建所讨论的技术。

与此相对，激励也并不一致。OpenAI 和 Anthropic 都在销售先进的网络安全工具，分别是 Daybreak 和 Project Glasswing，宣传口径是防御自家模型可能促成的那一类攻击。与此同时，可能终结这场争论的评估越来越多地在构建模型的公司之外进行，在首尔、伦敦和纽约，这大致正是 Rest of World 活动上那些研究人员的诉求。