标准比法律先到：11项AI安全国标立项，定义权正在前置

标准比法律先到

去年秋天我跟一个做AI合规的朋友吃饭，他手机响了三次。第三次他接起来，说了句“你等一下，我确认下这个条款是推荐性还是强制性”，然后掏出笔记本电脑在餐桌上翻了七分钟。挂了电话他跟我说，现在最忙的不是法务，是标准院的人。

我当时没太当回事。直到看到TC260那批立项清单。

10月13日，全国网络安全标准化技术委员会新立项25项国家标准，其中11项直接针对AI安全——基础模型测试方法、护栏技术要求、AI生成内容检测、开源模型安全规范。牵头单位里有国家检测中心、两家国家AI实验室、阿里云，还有CNCERT。大部分标准计划2027年底前完成。

11项，全部指向AI安全。这不是零散修补，是一套正在成形的技术规则体系。

我一开始以为这又是一轮“监管信号”的常规动作。后来翻了翻立项名单的构成，发现自己判断偏了。牵头方里有阿里云——一家正在跑前沿模型的公司，在参与制定测试自己产品的标准。这跟“先立法、后合规”的路径完全不是一回事。

这里得说清楚一个背景。中国的AI治理，过去几年主要靠部门规章和暂行办法，比如生成式AI服务管理暂行办法。但规章管的是“你能不能上线、要不要备案”，管不了“你的模型在对抗测试下表现如何”“你的护栏能不能拦住某种特定攻击”。这些需要的是可测量的技术指标。标准，就是那个把抽象原则翻译成可执行测试项的东西。

打个比方。法律规定“食品必须安全”，标准规定“菌落总数不得超过多少”。前者是方向，后者是尺子。现在TC260在做的，是给AI造尺子。

这事的重要性被低估了。立法周期长、修订慢，一部法律从草案到通过往往三五年，通过后还得等实施细则。标准不一样，迭代快、可修订、跟技术节奏更近。谁写标准，谁就在事实上定义了什么叫做“安全”。 而定义权，比执法权更前置。

坦白说，看到“开源模型安全”被单列一项时，我愣了一下。开源模型的治理在全球都是难题——你管不住权重被下载之后的用途。中国把这一项放进国标体系，等于承认了一个现实：开源安全不能靠事后追责，得靠发布前的评估框架和发布后的检测能力。这个思路能不能落地另说，但至少方向是往“可操作”走的。

独立评估的尴尬

大西洋另一边在走另一条路。

Just Security那篇文章对“独立第三方评估”提了一串不太客气的问题。背景是Amodei公开呼吁建立“嵌入式第三方评估者”机制——让外部机构进驻AI公司，核查安全实践、审查事件报告、评估训练流程的对齐性。Altman和马斯克都表示赞同。听起来很美。

文章问的是：评估者凭什么能看懂？谁给评估者发执照？评估标准由谁定？如果评估者依赖被评估公司提供的数据和接口，独立性从哪来？

一个没有强制力的评估报告，和一份自愿提交的体检表，区别有多大？

这不是抬杠。独立评估的核心悖论在于：它需要被评估方的配合才能运转，而配合的深度又决定了评估的有效性。配合得越深，独立性越可疑；配合得越浅，评估越像走过场。Amodei的提议里有个细节——评估者要“嵌入”公司内部。嵌入到什么程度？能看到训练日志吗？能接触权重吗？如果都能，那它跟内部安全团队的区别是什么？如果都不能，那它评估的是什么？

我没答案。但我注意到一个不对称：中国在把安全要求往标准文本里塞，美国在把安全希望往人和流程上押。前者是静态的、可审计的、但可能滞后于技术；后者是动态的、灵活的、但依赖信任和自愿。

物理边界正在被重新画

回到开头那个朋友。他后来跟我说了句话，我记到现在：“标准最狠的地方不在于它规定了什么，而在于它让没达标的东西没法被采购、没法被集成、没法被信任。”

这才是治理的真正杠杆。不是罚款，是准入。一份国标测试报告，可能比十页合规声明更能决定一个模型能不能进政企采购名单。同理，一份第三方评估报告如果没人认，它就只是一份PDF。

Google那边把AI智能体放进湿实验室、让它们闭环设计分子，是技术在往物理世界钻。TC260这边把安全要求写成测试项，是规则在往技术细节里钻。两件事看着不挨着，其实在回答同一个问题：当AI开始触碰真实世界的边界——无论是试管还是采购合同——谁来画那条线？

我的判断是：未来两三年，AI治理的主战场不在议会，在标准委员会的会议室里，在评估机构的测试台上。立法给的是底线，标准给的是门槛。门槛比底线更日常，也更难绕。

至于独立评估那套，我持保留态度。不是说它没价值，而是它太依赖“好人假设”——假设评估者够专业、够独立、够有牙。标准体系至少不依赖好人，它依赖的是测试项和检测设备。笨，但可复制。

笨办法往往先到。