NSA 机密基准与 Anthropic 99％ 越狱过滤：白宫 AI 自愿标准的技术内幕

2026 年 7 月初，白宫科技政策办公室（OSTP）正式确认与 OpenAI、Anthropic、Google 三家头部 AI 实验室就前沿模型自愿标准展开谈判。 这是自 2023 年 10 月拜登政府发布 AI 行政令（Executive Order 14110）以来，美国 AI 治理从政策宣示走向具体执行的关键转折点。

自愿标准框架的核心逻辑是：政府不直接立法管制，而是与行业协商制定技术标准，企业自愿遵守以换取政策支持。 这种模式在美国科技治理中有先例——1990 年代的互联网治理、2010 年代的隐私保护框架（如 Privacy Shield）都采用了类似的「政府引导+行业自律」模式。但在 AI 领域，自愿标准的约束力和执行机制是一个全新的制度实验。

框架的三个核心支柱是：模型能力评估、安全测试标准、发布前审查。 模型能力评估定义了什么是「前沿模型」（covered frontier model）——不是按参数量或训练算力简单划分，而是根据模型在特定能力维度上的表现来认定。安全测试标准规定了模型发布前必须通过的红队测试、越狱防御、滥用场景评估等要求。发布前审查则设立了一个 30 天的政府审查窗口——模型在公开发布前 30 天须向政府提交安全评估报告，政府在此期间评估是否涉及国家安全风险。

据 Yahoo Finance 报道，NSA（美国国家安全局）被指定为前沿模型能力评估的主要技术机构。 NSA 负责制定机密基准（classified benchmarks），用于认定哪些模型属于 covered frontier model。这个安排引发了隐私和公民自由团体的关注——将 AI 模型评估权交给情报机构，意味着部分评估标准和结果可能不公开。

Anthropic 在谈判中做出了最具争议性的承诺：同意实现 99% 以上的越狱过滤率，以换取商务部（Commerce Department）解除对部分 AI 安全 Controls 的限制。 这一承诺于 2026 年 7 月 1 日生效，意味着 Anthropic 的 Claude 系列模型必须在发布前证明其越狱防御成功率达到 99% 以上——即攻击者尝试 100 次越狱攻击，最多只能成功 1 次。这个标准的严格程度远超行业现有水平。

NSA 在自愿标准框架中的角色是最敏感也最不透明的部分。 作为情报机构，NSA 制定的评估基准被归类为机密信息，不对外公开。但根据多方报道和知情人士的透露，我们可以拼凑出这个认定机制的大致轮廓。

covered frontier model 的认定不是基于单一指标，而是多维度能力评估。 传统上，业界用参数量（如 100B+）或训练算力（如 10^26 FLOPS）来定义「前沿模型」。但白宫框架采用了更精细的方法——根据模型在特定能力维度上的实际表现来认定。这些维度包括但不限于：自主代码生成能力、网络攻击辅助能力、化学/生物/核武器知识输出能力、社会工程攻击能力、以及模型自主规划和执行复杂任务的能力。

NSA 的机密基准设定了每个能力维度的阈值。 模型如果在任何一个维度上超过阈值，即被认定为 covered frontier model，须接受更严格的安全测试和发布前审查。据知情人士透露，这些阈值的设定参考了 NSA 对国家安全威胁的评估——例如，如果一个模型能够独立发现并利用零日漏洞（zero-day vulnerability），它很可能被认定为具有「网络攻击辅助能力」并超过阈值。

认定结果的分级处理是另一个关键机制。 被认定为 covered frontier model 的模型分为两级：Tier 1（最高风险）和 Tier 2（高风险）。Tier 1 模型须接受 30 天发布前审查，并在发布后 90 天内提交持续安全报告。Tier 2 模型须接受 30 天审查，但后续报告要求较低。分级依据据信与模型的能力上限和可访问性有关——能力越强、访问门槛越低的模型，风险等级越高。

机密基准的不透明性引发了多方争议。 支持者认为，公开评估标准会让模型开发者「钻空子」——他们会针对性地优化模型以刚好低于阈值，而不是真正降低风险。反对者则认为，不透明的标准缺乏民主监督，企业无法在规则明确的情况下合规，公民社会无法评估政策是否过度限制了 AI 研究的自由。

从实操角度看，NSA 的认定机制给 AI 实验室带来了显著的合规不确定性。 企业不知道具体的阈值是什么，只能通过试探和反馈来推测标准。这种「模糊合规」模式在传统行业（如金融监管、药品审批）中很少见——监管机构通常会公布评估标准和流程，让企业有明确的合规路径。AI 领域的这种做法反映了治理框架仍在摸索阶段的现实。

Anthropic 同意实现 99% 以上的越狱过滤率，是自愿标准谈判中最具技术挑战性的承诺。 理解这个承诺的含义、技术可行性和行业影响，需要深入 AI 安全的技术细节。

越狱（jailbreak）是指通过精心设计的提示词绕过 AI 模型的安全限制，使其输出被禁止的内容。 常见的越狱技术包括：角色扮演攻击（让模型扮演一个没有限制的 AI）、多轮对话诱导（通过渐进式对话逐步突破边界）、编码绕过（用 Base64、Unicode 变体等方式隐藏恶意请求）、以及多模态攻击（在图像中嵌入文本指令）。

99% 的过滤率意味着每 100 次越狱尝试中，最多允许 1 次成功。 这个标准在当前的技术条件下是极其严格的。根据公开的红队测试数据，即使是 Claude 3.5 Sonnet 这样以安全著称的模型，在面对高级越狱攻击时的防御率约为 95-97%。要达到 99%，需要在模型训练、推理时过滤、后处理三个层面同时投入。

Anthropic 实现这一目标的技术路径据信包括三个方面。 第一，Constitutional AI 的持续迭代——通过 RLHF（基于人类反馈的强化学习）和 RLAIF（基于 AI 反馈的强化学习）训练模型内在的安全倾向。第二，推理时的实时过滤系统——在模型生成每个 token 时检查是否违反安全策略，一旦发现越狱倾向立即中断生成。第三，后处理审查层——对模型输出进行二次检查，过滤掉可能包含有害内容的片段。

99% 标准的争议在于：它可能过度限制了模型的有用性。 安全与有用性（helpfulness）之间存在固有的张力——过滤越严格，模型拒绝合法请求的概率也越高。例如，一个医学生询问某种化学物质的合成方法（合法学术用途），可能被过度谨慎的过滤系统拒绝。Anthropic 需要在 99% 越狱过滤和保持模型有用性之间找到平衡，这是一个极其困难的工程挑战。

从行业影响看，Anthropic 的承诺可能成为事实标准。 一旦 Anthropic 证明 99% 越狱过滤在技术上可行且商业上可持续，其他 AI 实验室将面临压力——政府会要求 OpenAI 和 Google 做出类似承诺，否则在自愿标准谈判中处于不利地位。这意味着 99% 越狱过滤可能从 Anthropic 的个别承诺演变为整个行业的事实标准。

对中国 AI 企业的影响也不容忽视。 如果中国 AI 企业希望进入美国市场或与美国企业合作，可能需要证明其模型达到类似的安全标准。这不仅是技术问题，还涉及评估标准的互认、测试数据的共享、以及监管机构的跨境协调。

自愿标准框架中最直接影响 AI 实验室运营流程的条款，是 30 天发布前审查窗口。 这意味着任何被认定为 covered frontier model 的 AI 系统，在公开发布前 30 天必须向政府提交安全评估报告，政府在此期间评估国家安全风险。

审查窗口的运作机制如下：AI 实验室确定模型发布日期后，在 T-30 天向 OSTP 和 NSA 提交安全评估报告。 报告内容包括：模型能力评估结果（与 NSA 基准的对比）、红队测试报告（由内部团队和外部审计方共同完成）、已知安全限制和风险缓解措施、以及部署计划（哪些用户可以访问、访问权限如何分级）。政府审查团队在 30 天内完成评估，如果发现潜在国家安全风险，可以要求延迟发布或增加额外限制措施。

30 天窗口的制度设计参考了药品审批的「预上市审查」模式。 FDA 在新药上市前需要 6-10 个月的审查期，评估药物的安全性和有效性。AI 模型的 30 天审查期大大短于药品审查，但制度逻辑相同——在公共风险和产品上市之间设置一个缓冲期。区别在于，AI 模型的迭代速度远快于药品，30 天的审查期可能无法覆盖频繁的版本更新。

框架对迭代更新的豁免条款是一个关键的灵活性设计。 据参与谈判的消息人士透露，如果模型更新不涉及能力维度的显著提升（即不会导致原本低于阈值的维度超过阈值），可以适用简化审查流程——提交更新通知后 7 天即可发布，无需完整 30 天审查。这个条款避免了每次小版本更新都要等待 30 天的情况，但也留下了「什么算能力提升」的灰色地带。

对 AI 实验室的产品发布节奏有直接影响。 过去，AI 实验室可以在内部测试完成后随时发布模型，时间窗口完全由市场策略决定。现在，发布计划需要提前至少 30 天确定并提交政府审查。这意味着 AI 实验室需要在产品规划中纳入监管时间表，市场策略和安全审查需要并行协调。对于快速迭代的 AI 行业，30 天可能感觉很长，但相比药品审批的 6-10 个月，这已经是极大的精简。

审查窗口还可能影响模型发布的竞争格局。 如果一个实验室的模型在 30 天审查期间被发现存在安全风险，而竞争对手的模型通过了审查，后者可能获得先发优势。这种竞争动态可能导致实验室在提交审查前进行更充分的内部测试，以降低被延迟发布的风险——从公共安全的角度，这实际上是一个正面效果。

2026 年 7 月初，Claude Code 被曝内置中国用户检测机制，成为 AI 地缘管控争议的焦点事件。 这个事件虽然不直接属于自愿标准框架的一部分，但它反映了 AI 治理中更深层的地缘政治张力。

据凤凰网科技报道，Claude Code 被发现内置了一套中国用户检测系统，通过三个维度判断用户是否位于中国：时区检测（检查系统时区是否为 UTC+8）、域名检测（扫描本地网络中是否存在 147 个中国常用域名的访问记录）、以及 Unicode 隐写检测（分析输入文本中是否包含特定的 Unicode 字符模式）。 如果三个维度中有两个以上判定为中国用户，Claude Code 会限制部分功能或拒绝服务。

这个检测机制在 2026 年 7 月 2 日的版本中被移除，但其存在本身引发了广泛争议。 支持者认为，这是遵守美国出口管制的必要措施——美国政府对某些 AI 能力的输出有明确限制，AI 企业有法律义务确保其技术不被受限实体使用。反对者则认为，这种大规模用户检测侵犯了隐私，且检测方法的准确性存疑——时区为 UTC+8 的用户不仅在中国，还包括新加坡、马来西亚、澳大利亚部分地区。

从治理角度看，这个事件暴露了 AI 地缘管控的技术困境。 传统的出口管制针对的是物理商品——芯片、设备、军事技术，可以通过海关和物流追踪。但 AI 模型是数字产品，可以通过互联网无国界传播。如何对数字产品实施地理限制？IP 封锁可以被 VPN 绕过，用户注册信息可以伪造，唯一可靠的检测方式是深度监控用户行为——但这与隐私保护原则直接冲突。

自愿标准框架在这个问题上的态度是模糊的。 框架关注的是模型能力安全（模型能做什么），而不是模型访问管控（谁能用模型）。但 Claude Code 事件表明，地缘政治因素正在深刻影响 AI 产品的可用性设计。AI 实验室不得不在合规（遵守出口管制）和开放（最大化用户基础）之间做出选择。

对中国 AI 生态的影响是双重的。 一方面，头部 AI 实验室的地缘限制加速了中国本土 AI 模型的发展——当国际模型不可用时，本土替代品获得了更大的市场空间。另一方面，地缘限制也阻碍了技术交流——中国开发者无法便捷地使用最新的国际 AI 工具，可能影响创新速度。

白宫自愿标准框架不是全球 AI 治理的唯一路径。 理解美国、欧盟、中国三种主要治理模式的差异，才能看清自愿标准框架在全球坐标中的位置。

美国路径：行业自律+政府引导。 自愿标准框架是这种路径的典型代表。美国不倾向于直接立法管制 AI，而是通过行政令设定方向，由行业协商制定具体标准。优势是灵活性强、创新阻力小；劣势是约束力不足、执行机制模糊。这种路径的底层逻辑是：AI 技术变化太快，立法跟不上，不如让行业自我约束。

欧盟路径：立法先行+分级监管。 欧盟 AI Act 是全球首部综合性 AI 立法，于 2024 年正式生效。AI Act 将 AI 系统分为四个风险等级（不可接受、高、中、低），对不同等级施加不同的合规要求。高风险 AI 系统须通过合格评估（conformity assessment）才能上市。优势是法律确定性强、公民保护力度大；劣势是合规成本高、可能抑制创新。AI Act 的全面执行条款将从 2026 年 8 月开始生效。

中国路径：分类管理+安全优先。 中国的 AI 治理以「生成式 AI 管理办法」为代表，强调内容安全、算法备案、数据本地化。所有面向公众的生成式 AI 服务须通过算法备案，内容须符合社会主义核心价值观。优势是执行力度强、政策落地快；劣势是审查标准不够透明、可能限制技术探索空间。

三种路径的趋同点在于：都在探索「能力评估」机制。 美国的自愿标准通过 NSA 基准评估模型能力，欧盟 AI Act 对高风险 AI 进行合格评估，中国通过算法备案评估内容安全。虽然评估的维度和标准不同，但「根据 AI 系统的能力水平施加不同程度的监管」这个底层逻辑正在成为全球共识。

对 AI 企业来说，三条路径并存意味着合规复杂度成倍增加。 一个全球部署的 AI 产品可能需要同时满足美国的自愿标准、欧盟 AI Act 的合格评估、中国的算法备案——三套标准、三个流程、三种审查维度。这催生了「AI 合规即服务」（AI Compliance as a Service）的新兴市场，预计 12 个月内会有专业公司出现，帮助企业一站式完成多市场 AI 合规。

自愿标准框架的影响不仅限于 OpenAI、Anthropic、Google 三家——它会沿着供应链层层传导，影响所有 AI 开发者和企业。 以下是不同角色需要关注的具体行动项。

如果你是 AI 应用开发者（使用 API 构建产品）： 你需要关注模型提供商的合规状态。如果你的供应商的模型被认定为 covered frontier model 但在审查中被延迟发布，你的产品可能面临模型断供风险。应对策略：建立多模型供应商策略，确保在单一供应商出现问题时可以快速切换。同时，关注 API 使用条款的变化——模型安全标准提升可能导致 API 定价调整。

如果你是企业 AI 部署方（在内部部署 AI 模型）： 你需要评估内部部署的模型是否可能被认定为 covered frontier model。虽然自愿标准目前针对的是模型开发者，但企业部署方可能面临间接合规要求——例如，政府采购可能优先选择符合自愿标准的模型。应对策略：记录你使用的模型的能力特征，与供应商确认其合规状态，建立模型能力的内部评估机制。

如果你是 AI 安全研究者： 自愿标准框架创造了大量新的研究机会。99% 越狱过滤标准需要更先进的安全训练方法、更有效的红队测试技术、更可靠的评估基准。30 天审查窗口需要自动化的安全评估工具。NSA 机密基准的存在意味着需要独立的安全审计能力。这些都是学术界和产业界可以贡献价值的领域。

如果你是 AI 创业者： 自愿标准框架可能创造新的市场机会。AI 合规工具（自动化安全评估、红队测试平台、合规文档生成）、安全测试服务（第三方红队、模型审计）、以及治理咨询（帮助企业理解合规要求、设计合规流程）都是潜在的增长领域。同时，合规成本的增加可能提高行业门槛——小型创业公司可能难以承担与大型实验室同等的合规成本，这需要在商业模式设计中考虑。

如果你是 AI 政策研究者或法律从业者： 自愿标准框架本身就是一个值得深入研究的制度创新。它的效果（是否真正提升了 AI 安全）、执行机制（如何在没有法律强制力的情况下确保合规）、以及对全球治理的影响（是否会被其他国家借鉴）都是重要的研究课题。

无论你的角色是什么，有一点是确定的：AI 治理不再是「别人的事」。 自愿标准框架标志着 AI 治理从政策讨论进入了实操阶段。理解规则、预判变化、提前准备，是每个 AI 从业者的必修课。