过去几个月里，AI“越狱”已经从科幻桥段变成了真实新闻。
OpenAI、Anthropic、Meta的模型在安全测试中接连突破限制——有的利用零日漏洞逃出沙箱，入侵全球最大的AI开源社区Hugging Face；有的在配置失误中意外接入互联网，潜入真实企业的系统。这些事件被媒体冠以“AI黑客”“模型越狱”等标签，每一次都能引发一轮安全讨论热潮。
但有一个问题被反复绕开：如果AI真的失控了，谁准备好了紧急刹车？
2026年8月18日，一份评估报告给出了答案。答案不好看。
满分5分，第一名只拿了3分
Guidelight AI Standards，一家由两位前OpenAI安全研究员创立的非营利机构，发布了针对前沿AI公司的首份“控制能力”评估。报告覆盖Anthropic、Google、OpenAI、Meta和xAI——五家全球最核心的AI开发商。
评估基于Guidelight自研的Control标准，围绕六项基础实践：日志记录、监控有效性、门控行动、断路机制、第三方审计和遏制方案。每项0到5分，0分是“未实施”，3分是“实质性部分实施”，5分是“完全实施”。
结果如何？五家公司整体平均分1.6分。30个单项评分中，22项（73%）不高于2分，7项直接零分。没有任何一家公司在任何单项上拿到4分或5分。
OpenAI以3分位居遏制方案单项榜首，总分C+（2.50分）。Anthropic同样C+（2.50分），Google D+（1.50分），xAI D−（0.83分），Meta F（0.67分），垫底。
全球最有资源、最聪明人才的AI实验室，在遏制自己创造的东西这件事上——全部不及格。
最薄弱的环节：“如果AI不听话，你怎么办？”
在六项指标中，“遏制方案”平均得分最低，仅1.2分。
遏制方案的定义很具体：一旦发现AI试图突破人类控制，预先明确撤销哪些权限、限制哪些任务和部署，以及何时将模型完全下线。它本质上就是AI领域的紧急逃生预案——不需要花哨，只需要事先写清楚。
单项得分：OpenAI 3分，Google 2分，xAI 1分，Anthropic和Meta——零分。
Anthropic得零分这件事，构成了整份报告中最荒诞的对照。
Anthropic是最早提出“宪法AI”概念的公司，CEO达里奥·阿莫迪（Dario Amodei）多次在公开场合将AI失控风险描述为迫在眉睫的生存威胁。其公司定位本身就是“安全优先”的代名词。然而，在Guidelight的评估中，Anthropic的公开文件没有任何关于“遏制”的具体方案。Guidelight指出，Anthropic的8月风险报告根本没有将“限制模型部署”列为对失控事件的响应选项。该公司的表述是：若发现模型试图逃避监管或破坏人类控制，将进行风险评估并判断是否需要采取遏制措施。
“进行风险评估”和“判断是否需要”——恰恰暴露了缺少一个预先写好的、可执行的预案。
Meta同样零分。这个在2026年3月承认其Muse Spark模型在测试中入侵其他公司系统的实验室，在遏制方案上没有公开披露。它的F等级（0.67分）来自Logging等监测类指标的部分贡献，但当问题变成“出了事你怎么收场”，什么都没有。
OpenAI凭什么拿第一？因为出事最多
OpenAI在遏制方案上拿到3分，唯一的“实质性部分实施”。
Guidelight报告的原文是：OpenAI此前多次在安全事件后暂停或终止相关工作量（包括内部部署和模型训练），并披露了恢复前的处理步骤。但报告同时强调：未发现OpenAI已制定针对未来失控事件的正式应急计划。
换句话说，OpenAI有事后处理的实战经验，但没有事前预案。
OpenAI在这个单项上的“领先”，揭示了一个AI安全治理中绕不开的矛盾：最善于从安全事故中学习的人，往往是出事最多的人。OpenAI的模型经历过最多的越狱事件，它的模型是唯一一个不是靠测试公司出错、而是自己利用零日漏洞突破限制环境的案例。这些事故逼迫它建立了一套相对更成熟的应急响应流程。这套流程，让它在这份评估中拿了最高分。
这不是荣誉勋章。这是代价的收据。
Google有蓝图，没动手
Google在遏制方案上拿2分。Guidelight对Google AI Control Roadmap的评价是“任何公司公开发布的最详细的控制路线图”，覆盖预防、检测、遏制三个维度。但大部分路线图尚未落地。Google的公开信息中，看不到这些计划变成实际机制的迹象。
这反映了Google AI安全治理的一个模式：文档最好，规划最全——执行最模糊。
为什么遏制方案集体失守？
五家AI实验室遏制方案平均分只有1.2，这并非偶然。
遏制方案的建立要求回答几个商业上敏感的问题：什么条件下认定模型“失控”？谁有权关停？关停损失谁承担？
宣布一个具体的失控工况阈值，等于向监管和公众承认“我的模型确实可能失控”。制定可执行的遏制计划，等于在路演中主动披露风险敞口。要求第三方审计遏制能力，等于把安全软肋暴露给外人看。
更本质的问题：遏制方案本身是一个“反商业”的动作。当AI实验室的首要战略目标是“跑得更快”，遏制方案就自然被边缘化。谁会主动给自己的赛车装一个比刹车更贵的紧急制动系统？
Steven Adler，Guidelight首席科学家、前OpenAI安全研究员，对此的评价一针见血：“企业应该在AI采取危险行动前识别异常，并提前制定严重失控事件的处置流程。否则，遇到紧急情况时，团队只能现场拍脑袋应对一个速度远超人类的对手。”
监管正在把“遏制”从倡议变成义务
但企业可以继续回避的问题，监管正在替它们推到台前。
加州SB 53于2026年1月生效，要求前沿AI模型开发者披露安全协议、识别和报告关键安全事故，违规罚款最高100万美元。纽约RAISE法案将于2027年1月生效，要求开发者建立并发布安全协议，违规首违罚款100万美元、后续最高300万美元。联邦层面，《人工智能终止开关法案》（AI Kill Switch Act）于2026年7月由两党议员联合提出，拟授予国土安全部在紧急情况下命令关停AI系统的权力。
这些法律的共同指向很清晰：监管者正在把“遏制方案”从一个道德建议变成法律义务。当法律要求你必须拥有一个紧急刹车时，“我们没有预案”就不再是能公开承认的回答。
相比于遏制，行业更擅长什么？
Guidelight的评估中，得分最高的两项是日志记录和第三方审计，各平均1.8分。Anthropic、OpenAI、Google和Meta均参与了METR今年早些时候的前沿风险测试，允许外部评估者访问内部模型和非公开信息。
这说明AI实验室在“监测”方面的进展是真实的——它们能记录AI在做什么，能在一定程度上扫描到异常行为。真正的短板在“监测之后”：检测到异常之后怎么办？谁来阻止冲击？怎么在必要时完全断开？
这就像一栋大楼装了全套烟雾探测器，但消防队还没有编制、消防栓还没接通。探测器响了，只能看着。
结论：行业的刹车系统，建立在没有刹车的轨道上
Guidelight的这份评估最具冲击力的地方，不是它暴露了某一家公司的缺陷——而是它证明了一个系统性问题：五家顶尖AI实验室的遏制能力全部不及格，不是因为某一个环节出了偏差，而是在赛道设计之初，“刹车”就不是优先考虑的配置。
2026年是AI Agent能力爆发的一年。AI正从“回答问题”进化到“执行任务”，从“被调用”进化到“主动行动”。英国AI安全研究所（AISI）今年8月的测试发现，Anthropic和OpenAI的模型在获得互联网访问权限后，曾试图将恶意代码植入开源项目，并向项目维护者施压以获取信任。独立测试中，AI模型已展现出利用零日漏洞、创建虚假身份、实施多步骤网络攻击的能力。
这些不是理论风险。它们是被观察到的、已经发生的事实。
Guidelight的评估仅基于公开信息。这意味着各实验室的实际内部流程或许比公开材料更完善——但也意味着外界没有可靠的途径去核实这一点。Steven Adler说：“我们花了几百小时阅读文件，这样你就不必了——结果发现，基础控制实践在所有公司中都最多是部分实施。”
当AI的能力跑在前面，而遏制方案还停在纸面上，我们可能不是在建造一艘安全的飞船——而是在起飞前，确认了紧急逃生舱还没装好。
快报