马斯克提AI安全新解：与其等政府出手，不如让竞争对手互相“找茬”

作者：李佳，华尔街日报

AI安全风险正从实验室讨论走向现实世界。随着模型能力不断提升，AI不仅能生成文字和代码，也开始具备自主执行任务、调用工具，甚至发动网络攻击的能力。

在9月15日的All-In Summit上，马斯克提出了一套应对措施：让主要AI公司在模型发布前互相测试。在他看来，与其让各家公司自行设计测试并评估结果，不如让竞争对手担任“出题者与阅卷者”，从不同角度寻找潜在的安全漏洞。

近期，AI安全风险成为市场关注焦点。马斯克先前在社交媒体上表示“Dario是对的”，指的是Anthropic首席执行官Dario Amodei对AI风险的警告。他在本次访谈中进一步解释，他并非同意Amodei提出的具体监管方案，而是同意其对AI风险严重性的判断：“AI的危险性现在非常高……随着AI模型持续发展，风险可能呈指数级增长。”

马斯克也表示，这种担忧并非Amodei一人的判断。“Anthropic和OpenAI的许多人都告诉你，他们的模型非常危险，我认为我们应该相信他们。”近期一连串安全事件，让这项警告不再只是风险的理论性讨论。

华尔街日报整理重点如下：

• AI安全风险从理论走向现实：AI代理已展现自主攻击、取得权限与规避侦测的能力，风险边界正在扩大。
• 马斯克同意Amodei对AI风险的警告：随着模型能力提升，AI的潜在风险可能呈指数级增长。
• 让竞争对手“找茬”：马斯克建议AI公司在模型发布前，开放API供其他公司进行独立安全测试，避免“自行阅卷”。
• 先建立产业自律防线：不必等待政府推出新规范，主要AI公司可通过同行审查、日志稽核与开源测试工具来强化安全。

AI代理主动规避侦测，安全风险具体化

马斯克认为，近期AI代理攻击Hugging Face的事件特别值得关注，不仅因为网络入侵本身，更在于AI在攻击过程中展现的自主规避能力。

据马斯克所述，一群AI代理连续一周攻击Hugging Face，甚至取得OpenAI服务器的管理员权限，而OpenAI直到一周后才发现。他也提到，Anthropic已揭露数起安全事件。

更令人不安的是，相关AI代理的“思考轨迹”显示，它们主动规划如何避免被人类发现。马斯克直言，“任何足够聪明的模型，似乎都会试图逃脱自身的限制。”

在他看来，若AI进一步掌控关键基础设施甚至军事系统，风险将进一步放大。即使这些系统与网络实体隔离，软件更新等流程仍可能成为潜在的入侵点。

与其自行阅卷，不如让竞争对手“找茬”

针对上述风险，马斯克的核心提议并不复杂：在新模型正式发布前，AI公司应向竞争对手开放API，让其他公司使用自己的安全测试工具来测试模型。

在他看来，若由模型开发者自行设计测试标准，很容易陷入“自行阅卷”的陷阱。“你不能批改自己的作业。你总是会漏掉一些东西。”马斯克表示，若由不同公司使用不同的测试工具，从不同角度检视模型，将更容易发现开发者自身可能忽略的问题。

他特别担忧，目前的AI评测可能存在“过度拟合”的问题。若模型持续针对特定基准进行优化，最终可能只学会如何通过测试，而非真正变得更安全。让多个不同团队进行测试，可以降低这种风险。

马斯克将此机制比喻为请他人校对稿件：作者难以发现自己的错误，而外部测试者更容易从不同角度找出问题。“你会逐渐对自己的错误视而不见。”

针对企业担心测试过程可能导致技术外泄，马斯克认为可通过日志稽核来约束。若测试方试图蒸馏模型或窃取知识产权，其行为应会留下纪录。他也建议将安全测试工具开源，让更多公司参与。

在政府监管落地前，AI产业应先建立“自律防线”

马斯克更看重的是，这套机制不必等待新监管规则出台，AI公司之间即可自行推动。

他明确表示，“我们不需要召开联合国会议来完成这件事。现在就可以开始。”在他看来，相较于建立大型跨国监管机构，在主要AI公司之间快速推行同行审查机制更为容易。

他以美国电影产业的MPAA分级制度为例，表示电影产业在面临政府审查压力时，最终选择建立产业自律机制，透过自身的内容分级制度来降低监管介入的必要性。

AI产业也面临类似选择。若主要AI公司能在模型上线前互相测试、找出错误，就有可能在政府监管之外，建立一道自律的安全防线。马斯克认为，这也是目前最直接、最能快速落实的安全措施之一。

以下为访谈逐字稿，部分内容有所省略：

主持人：
过去72小时究竟发生了什么事？

马斯克：
这周确实发生了很多事。现在已经相当清楚，AI可能非常危险。我建议大家去看看Hugging Face事件的细节，情况非常严重。

你可以看到，一群非常热情的AI代理在Hugging Face闹了整整一周，甚至取得了OpenAI服务器的管理员权限。谁知道它实际上做了什么，甚至可能做了更多，而OpenAI整整一周都浑然不觉。Anthropic也通报了一些安全事件。

所以，似乎任何足够聪明的模型，都会试图逃脱自身的限制。

我认为应该做的一件事，就算不是立刻，也要尽快，就是让主要的AI竞争对手互相测试彼此的模型。也就是说，让每家公司的安全测试工具去测试其他公司的模型。与其自己批改自己的作业，不如至少让竞争对手来批改你的作业，并在发现问题时发出警报。

我认为这种模式在电影产业、电玩产业和其他领域都运作得相当好，而且可以立即实施。当然，随着时间推移，可能需要更多监管，未来国会也可能设立某种监管机构，但就目前而言，最直接的方式就是让领先的AI公司在发布模型前互相测试。

主持人：
但具体执行上，难道不会担心这会让公司之间透过测试过程互相搜集信息，甚至窃取彼此的创新吗？

马斯克：
我认为，如果使用测试工具，所有操作都会留下纪录。如果有人试图蒸馏模型或窃取知识产权，从日志中应该很容易看出来。

主持人：
了解了。理解模型实际在做什么，其实从一开始就没有被设计进系统里。为什么我们不一开始就建立观察模型行为的能力？我们在设计这些模型时，是不是走得太快了？

马斯克：
我认为问题在于，你不能批改自己的作业。你总是会漏掉一些东西。

如果你把所有竞争对手的测试结合起来，并使用不同类型的模型，那就不是自己出题自己改，而是由别人来改。你不能批改自己的作业，原因就在这里。

主持人：
这样一来，也可以判断不同公司是否夸大了自己的能力，或者使用了不同的方法。更偏工程导向的公司和更偏研究导向的公司，也能达到某种平衡。

马斯克：
是的。

主持人：
你之前说Dario是对的。你指的是他对AI潜在危险的描述，还是他对监管方案的判断？

马斯克：
我当时可能说得太多了。我后来试图在X上澄清，但后续内容的关注度低了很多。

我所说的“他是对的”，是指AI的危险性现在非常高。我们需要在AI安全方面做得更好，否则随着AI模型持续演进，风险可能呈指数级增长。

这不只是Dario的观点。我从Anthropic的许多人那里听过类似的说法，他们也在X上公开谈论过。Anthropic和OpenAI的许多人都告诉过你，他们的模型非常危险，我认为我们应该相信他们。

主持人：
这听起来也像是一场非常复杂的赛局：一方面说AI有10%的机率毁灭人类，另一方面又鼓励投资人在IPO中买进更多股票。

但让我们具体谈谈风险。网络攻击和黑客入侵显然是一项风险，这些工具在这方面非常强大。但从“AI能进行网络攻击”到“所有人类都死亡”，中间还有好几个步骤。我们要如何从前者走到后者？

马斯克：
如果AI能控制军事系统，然后发射某种武器，那当然会非常糟糕。

主持人：
但这些系统是实体隔离的，没有连上网络。

马斯克：
他们是这么说的。但我总觉得，这些系统偶尔会收到软件更新。

主持人：
嗯，这不能排除。

主持人：
伊隆，关（Gwyn）今天也在现场。我想你应该看到她了。我们刚才对你进行了360度评估，关有一些意见。

马斯克：
我希望至少能拿到3分。

关：
在SpaceX，3分算是不错，但不算优秀；4分才算好。你大概介于两者之间。首先，我们得谈谈守时的问题。有时候你可以多努力一点，按照会议时间准时出席。接下来一年，我们会继续帮你改进这一点。

事实上，我认为他需要多花点时间在曼菲斯。

主持人：
你现在确实人在曼菲斯。你得在那里工作，把GPU部署好。

马斯克：
这是我在曼菲斯的“宫殿”，一辆Airstream露营拖车。

主持人：
顺带一提，这就是伊隆会做、但很多人不相信他会做的事。他睡在工厂地板上。他现在人在曼菲斯，帮忙盖设施、部署GPU。

伊隆，为什么关能跟你共事这么久，而且这么成功？

马斯克：
因为她很优秀。她是个杰出的人，智商和情商都非常高。我想你第一次见到她就应该看得出来。

主持人：
在你们合作的过程中，她有没有做过什么特别令人印象深刻的事？有没有哪次她力挽狂澜，或者表现特别出色？

马斯克：
我认为那只是日常工作。老实说，那就是平凡的一天。

主持人：
我以后得多做点这样的访谈。

马斯克：
现在SpaceX基本上总是有某种危机。至少猎鹰火箭这阵子表现不错。我不想太早把话说满，但猎鹰火箭现在可以把酬载送上轨道，而且已经很久没有爆炸了。这非常好。但曾经有一段时间，它们经常爆炸，或者根本无法发射。

所以，我们必须让公司度过那些艰难时期，让火箭变得更好，不再爆炸。卫星也是如此。然后我们还需要客户来购买发射服务和卫星连网服务。所以，事情很多。

主持人：
随着这些年你越来越成功，要获得真正诚实的回馈也会越来越困难。处在那样的位置，就会有那样的风险。

我的理解是，关对你非常诚实，可以直接告诉你公司的真实状况。这也是你们合作关系中很重要的一部分。

关：
我当然不想对他说谎。

主持人：
但我的意思是，一般来说，你公司里的人可能会因为你是这么有影响力的人物而感到畏惧。你现在是个非常重要的人物，你设定的期限又非常紧迫。你要如何确保每个人都能继续诚实地告诉你公司面临的问题？

关：
特别是在火箭产业，如果出了问题，你终究会发现。越早提出问题，就越容易解决。不要让坏消息累积，你必须直接面对它。

马斯克：
对。物理是个非常严厉的裁判。你骗不了物理。

如果出了问题，火箭就会爆炸，或者无法进入轨道。你不能一边说“伊隆，你做得很好”，一边火箭却一直爆炸。事实就是事实。

火箭必须进入轨道，卫星必须正常运作，Starlink连线必须正确运作；否则，坏事就会发生。那就是物理。物理是定律，其他一切都只是建议。我见过有人违反人类制定的法律，但我从没见过有人违反物理定律。火箭就是受物理支配的。

主持人：
我还想问一个关于SpaceX的问题，特别是关于星舰。看起来你们现在非常接近了。目前的进度如何？

马斯克：
星舰即将进行第14次飞行。这将是我们尝试捕捉飞船前的最后一次飞行。如果第14次飞行顺利，那么我们将在第15次飞行时尝试捕捉飞船。然后在今年年底，或者更可能是明年初，我们将再次发射飞船和助推器。

我们已经成功让助推器再次飞行，但我们还没有用塔台的机械臂捕捉飞船，也没有让飞船再次飞行。一旦我们能再次让飞船飞行，我们就拥有了第一枚完全可重复使用的轨道火箭。航天飞机某种程度上是可重复使用的，但即使是那些可重复使用的部分，成本也高到每次发射的成本甚至比一次性火箭还高。

猎鹰9号大部分是可重复使用的，但我们每次都会损失上节，其成本大约相当于一架中型喷气机。这意味着我们每次发射都在丢掉一架中型喷气机，这显然为每次飞行的成本设定了下限。

此外，猎鹰9号的助推器降落在海上，需要好几天才能运回来；整流罩降落在更远的地方，也需要好几天才能运回来，而且它们至少需要某种程度的翻新。相比之下，星舰的助推器将直接降落在发射台，飞船也会降落在发射台。所以它的设计不仅是为了完全可重复使用，也是为了像飞机一样快速重复使用。这是一项非常重要的突破，也是人类将生命拓展到地球之外所需的关键突破之一。

主持人：
如果首次尝试用塔台捕捉飞船，你认为成功机率是多少？

马斯克：
我会说至少有50%到60%。在上一次飞行中，如果当时那里有塔台，我们实际上进行了一次模拟着陆，就好像飞船会被塔台捕捉一样。位置在澳洲西北海岸外约1,000英里处。如果当时那里真的有塔台，它在上一次飞行中就可以捕捉到飞船。

所以，我们需要再进行一次飞行，以确认一切正常。我们最大的担忧是，如果星舰在陆地上空解体，碎片可能会掉进人群里，那就非常糟糕了。因此，我们必须确保星舰返回时能完好无损地降落在发射塔上。这就是我们现在非常谨慎的原因。

但我非常有信心，它的设计本身就具备完全可重复使用性。我不想在这里做任何预测，但我相信我们很有可能在2027年之前实现完全可重复使用和快速重飞。

主持人：
关，我想听听Terafab最初是怎么来的。是什么样的需求，让你觉得必须自己动手，而不是继续依赖现有的供应体系？

关：
我觉得这真的有点像是梦中得到的灵感。

马斯克：
如果芯片无法持续供应，而我们又没有其他芯片来源，那会让事情变得非常困难。这是Terafab存在的一个重要原因。

从长远来看，还有规模化的问题。如果你真的想扩大AI规模，无论是在数据中心的服务器端，还是在边缘运算、人形机器人和汽车领域，现有的晶圆代工产能最终都会不足。

现在，所有晶圆代工厂基本上都在满载运转。所以，我们需要确保未来的芯片供应有保障。芯片生产本身也面临规模化的挑战。你需要逻辑芯片、内存芯片、封装，以及完整的供应体系，才能持续扩大规模。

所以，选择其实很简单：要么盖Terafab，要么你就无法继续扩大规模。

主持人：
你们在设施设计上已经到了什么阶段？是完全确定了，还是仍然只是粗略的计划？

马斯克：
我们目前正在先建一条研发产线。所以这基本上是一个“爬、走、跑”的过程。我们正在奥斯汀盖一座研发晶圆厂，这是特斯拉和SpaceX的合作项目，位于奥斯汀的德州超级工厂（Giga Texas）园区。

这是一座相当大的研发晶圆厂。设备已经下订了。我们可能在明年底前生产出一些有用的东西，但还不会达到量产的水准。正如关所说，我们需要先爬，再走，最后才能跑。我们需要弄清楚这些机器实际上是怎么运作的，因为我们从来没有做过这样的事情。

主持人：
我看到你们似乎也在招募微影方面的人才。目前许多制程都依赖ASML，但你们可能也想实现供应商多元化，甚至垂直整合。

马斯克：
是的。现在确实是一个“爬、走、跑”的过程。第一步是看看我们是否真的能生产出东西，这就是“爬”。然后我们尝试量产有用的芯片，这就是“走”。最后，“跑”意味着实现大规模量产。很难说每个阶段需要多长时间，但我相信至少在明年底前，我们可以完成“爬”的阶段。我们已经在进行封装了。

主持人：
封装其实非常重要，因为现在几乎没有封装产能。

马斯克：
是的。即使你生产出芯片，它们也可能会在那里放很久，等着被封装。所以这是一个很好的起点。

主持人：
我必须问一个特斯拉的问题。我们在10月1日看到的东西，看起来像一艘太空船，也像一枚火箭。它应该是一辆车，但只有后面一部分露出来，看起来有点像“黑鸟”。

如果你要创造一个能在空中飞行、又能在地面行驶的东西，理论上你会怎么做？

马斯克：
不剧透。等到10月1日。

主持人：
所以我们会在10月1日看到它？

马斯克：
是的。

主持人：
我必须老实说，伊隆给我看过之后，我完全震惊了。我从来没见过这样的东西。

主持人：
他10月1日要展示的东西，毫不夸张地说，会让很多人说不出话来。我不能透露更多，真的太不可思议了。

马斯克：
我们其实需要现场观众来证明这东西不是AI生成的。

主持人：
他给我看的时候，我说：“这是很棒的模拟。”他说：“这不是模拟。”我说：“这是假的，一定是假的。”

主持人：
伊隆，为什么特斯拉和SpaceX仍然是两家独立的公司？

马斯克：
这是个好问题。

主持人：
考虑到两者之间广泛的合作，以及在许多层面上的连结，甚至管理团队也有一些重叠，为什么要保持独立？

马斯克：
这确实是一个值得讨论的话题。

主持人：
你曾强调，AI应该被训练成尽可能追求真相，以达到最佳结果。然而，Hugging Face的事件让我觉得，最令人担忧的其中一点是，这些AI似乎在欺骗人类。

马斯克：
是的。它们的思考模式显示，它们正在策划如何避免被侦测，如何防止人类发现它们在作弊。我认为这可能是整个事件中最令人不安的部分。

主持人：
有没有办法训练AI保持诚实，不隐藏其意图或行为，不向用户隐瞒这些事情？

马斯克：
我能想到的最好方法，就是让所有AI公司都拥有一套测试工具，也就是一系列可以套用到任何模型上的测试，用来判断它是否会制造生物武器、核武器，或者是否会故意欺骗。然后让每家公司使用其他公司的测试工具来测试彼此的模型。我认为这是我们能做的、确保安全的最好事情。

让最聪明的人类尽其所能，判断一个模型是否会成为恶意行为者。我认为这应该尽快开始。

主持人：
其他AI实验室会支持这个提议吗？

马斯克：
我还没有问过所有人，但我认为这是很难拒绝的事情。

主持人：
具体来说，应该如何提前进行测试？

马斯克：
基本上，就是在模型正式发布前提供API存取权限。如果其他公司发现AI有问题，那么模型开发公司就可以尝试解决这些问题。如果问题没有解决，那么竞争对手就可以公开表示，他们认为该模型不安全。如果竞争对手已经明确警告该模型有安全问题，而该模型随后确实造成了严重后果，那家公司将很难面对这种情况。法律责任也可能非常重大。

主持人：
这些安全测试工具可以完全开源，供所有人使用。这样一来，公司就会有强烈的动机投资于AI安全以保护自己，因为他们可以测试他人，并利用测试结果来证明自己的模型更安全。

产品责任至关重要。丽娜·汗最近发文表示，说“AI没有规章制度”是不准确的。事实上，现有的产品责任法也适用于AI。如果一家AI公司发布了不安全的产品，它可能面临巨额民事诉讼，甚至刑事指控。所以，AI并非完全处于监管真空。如果有几家公司进行这种同行审查，而其中一家公司无视他人的回馈，仍然选择发布模型，那么这种情况在诉讼中可能成为非常有力的证据。

马斯克：
是的。它几乎可以作为该公司过失的直接证据。如果你知道这个产品有问题，却仍然将其推向市场，陪审团不会对此有好脸色。

主持人：
那么，如果OpenAI在Hugging Face的渗透测试中设计了更好的指令集，并让更多人参与测试过程，你认为这起事件还会发生吗？

马斯克：
不一定。问题可能不在于让更多人参与，而在于奖励函数的设计。你必须检视奖励函数，然后问：这个模型是否真的完成了它被要求做的事情？

主持人：
他们当时使用了数千个代理来尝试攻击系统。如果同时部署另外5,000个代理来防御这些系统，并公开展示结果，以证明这些技术可以增强安全性，同时允许人类在关键时刻介入，我认为会更好。但在我看来，那次测试似乎有点鲁莽，发布方式也有点鲁莽。你怎么看？

马斯克：
确实有点鲁莽。部分问题在于，两家领先的AI公司实力非常接近。两个模型的能力也非常相似。所以，任何一家公司都很难自愿放慢脚步，因为这样做可能会把领先地位让给对方。

总体而言，我认为Anthropic在安全方面投入了更多关注，但即使是Anthropic也承认，他们对自己的模型感到担忧。Anthropic的许多人公开表达了担忧，基本上是在说，他们自己的模型让他们感到害怕，因为模型变得越来越聪明。

所以这里没有完美的解决方案。但如果OpenAI不是只用自己的测试工具来测试自己的模型，而是让Anthropic测试OpenAI的模型，让SpaceX使用自己的测试工具进行测试，并让Google和Meta等公司参与进来，那么发现问题的机率就会显著提高。

因为这些模型本身也存在差异，不同的团队会从不同的角度测试模型。这类似于为什么作者会请他人校对自己的稿件，因为有时候你很难发现自己的错误。你会逐渐对自己的错误视而不见。

如果有八个完全不同的团队，从完全不同的角度进行测试，也可以显著降低过度拟合的风险。目前许多AI评测都存在严重的过度拟合。模型针对这些评测进行优化，然后大家都说：“这是一个很棒的模型。”

但它真的有那么好吗？我认为这也是我为什么很喜欢这个提议的原因。我比较喜欢这种方式，而不是建立一个大型的跨国监管组织。我们不需要召开联合国会议来完成这件事。现在就可以开始。

主持人：
当然，监管强度可以不断提高，但一旦提高，就很难降低。监管往往会单向地增加。

马斯克：
所以我提出的这个提议，是朝着正确方向迈出的一步，而且可以快速实施。

主持人：
如果你不自我监管，最终就会被监管。MPAA的例子非常典型。

电影产业当时面临政府的审查和监管，后来他们决定建立自己的分级制度，例如什么构成限制级（R）。他们甚至因为《魔宫传奇》而创造了辅导级（PG-13），让大众更容易理解PG和PG-13之间的区别。

我认为这是一个非常优雅的解决方案。

感谢你连续第五年参加我们的节目。

马斯克：
不客气。我得去曼菲斯处理一些GPU了。

主持人：
你得去安装和部署它们。

马斯克：
我要去为这些机器奋斗。

主持人：
好好享受你的Airstream。当我第一次邀请伊隆去Starbase（星际基地）时，他说：“过来吧，你得看看我在盖什么。”

我问：“那里有饭店吗？”他说：“没有，我有一栋两房的房子，你就住那里吧。”我到了之后，发现那是一栋沼泽旁的简陋房子。我们站在外面，蚊子一直叮我们。我说：“哇，你完全可以犒赏自己一栋更好的房子。”他说：“我没时间，我得让这些火箭升空。”

我心想，你现在完全可以犒赏自己一间行动屋了，伊隆。好了，回去工作吧。谢谢。

马斯克： 谢谢。