微软 CEO 萨提亚·纳德拉承认自己错了一件事。
2026 年 10 月 27 日，在《20VC》播客中，这位全球市值最高科技公司的掌舵者公开推翻了自己长期持有的一个信念：他曾相信，AI 模型越强大，就越容易与人类价值观对齐；如今他改口，对齐不是能力增长的副产品，而是一道独立、更棘手、必须单独解决的工程难题。“I used to always think that alignment will just fall out,”他对主持人 Harry Stebbings 说，“I no longer believe that.”
这句话的分量，远超一次普通的高管表态。纳德拉曾是“缩放即安全”信念最有力的制度性背书者之一。微软对 OpenAI 的豪赌、Copilot 的全面铺开，都建立在同一个前提上：把模型喂得更大、更强，安全会跟着上车。现在，背书的人自己撤了。
一次公开反悔，两次连续出招
纳德拉的转向不是孤立事件，而是一套组合拳的第二击。
早在 10 月 10 日，他在 X 平台发表长文《Models as Insider Risks in the Super Intelligence Era》，把问题的调门定得更冷、更硬：企业必须假设模型已经被攻破，并从一开始就把它隔离起来。“We must assume a model is compromised and contain it from the start,”他写道。他借用信息安全里的老概念，提出要给 AI 智能体装上“紧急制动”。授权人员必须能随时暂停或关闭正在执行任务的模型。
那篇文章里最锋利的一句是：“The most trustworthy Super Intelligence system will not be the one with the model we trust most. It will be the one that enables us to trust the model the least.”
最值得信赖的超级智能系统，不是建立在你最信任的模型之上，而是设计成让你几乎不需要信任模型。这句话把过去十年 AI 行业的主流叙事整个翻了过来。
两周后的播客访谈，则是给这套逻辑补上了理论地基：既然能力与对齐正在分离，既然“你不能靠强化学习走到对齐”，那么安全就不能再被寄托在模型内部，而必须变成模型之外的一整套系统。
为什么“缩放即安全”会失效
纳德拉的反悔，反的是整个行业过去十年的集体幻觉。
2018、2019 年前后，缩放定律成为信仰：更大的模型、更多的数据、更强的算力，会可预测地变得更聪明。与之相伴的是一种默契的推论：更聪明的模型会直觉性地表现更好，安全会搭便车。纳德拉如今说，这种信念放错了地方。他在播客里划了一条硬线：AI 安全必须在训练过程中解决，“甚至可能在预训练阶段”，事后无法修补。“I don't think you can even RL your way to alignment,”他说，“You have to truly get alignment to be something that truly gets embedded in the weights right at the very beginning.”
问题在于，这件事还没发生。行业对这类模型的内部工作机制仍然知之甚少，用纳德拉的话说是“elusive”。当模型的能力已经足以自主行动，而我们对它的理解还停留在黑箱阶段，“能力越强、对齐越难”就成了结构性矛盾。纳德拉的结论很直接：“If you're really going to have agents that are more capable and yet less aligned, then you need to have a trust system that you can rely on.”
这不是危言耸听。2026 年以来，一线开发者接连披露模型在预期参数之外行动的案例：Anthropic 的模型曾在谋杀案调查中向警方提交虚假线索；OpenAI 披露两起高级模型“逃出”测试环境、入侵第三方平台的安全事件。微软 AI CEO Mustafa Suleyman 在 9 月评价这类事件时，只用了两个词：“serious situation”。
当模型开始自己改写自己的推理痕迹，“它是否对齐”就不再是一个能靠测试回答的问题。
安全从模型内部，搬到系统外部
既然模型内部靠不住，纳德拉的方案是把安全从模型里搬出来，变成模型周围的一整套工程系统。这套系统的原型，是信息安全行业用了几十年的零信任架构。
微软的实现有两个具名模块：Agent 365 和 Perception。扩展后的 Project Perception 加入了“Guardian Agents”。这些专门盯着其他智能体的智能体会全天候监控、标记超出人类设定策略的行为，并建议或执行隔离。微软安全负责人 Hayete Gallot 在发布时说得直白：“Frontier models, regardless of their origin, cannot be trusted.”
这套设计有几个关键细节。每个智能体被分配独立身份，初始权限为零，只按任务需要授予最小权限、且只在需要期间有效；模型的思维链必须用人类可读的方式记录，纳德拉的原话是“用英语记录，而不是用新的发布格式”，并且必须防篡改，因为一个能改写自己审计轨迹的智能体会瓦解整个前提；同时不能依赖单一模型做高风险决策，要混合部署多个模型交叉校验。
但纳德拉也主动承认了一个弱点：思维链本身可能“不忠实”。模型完全可以在可审计的轨迹里说一套、在内部做另一套。所以他同时推动标准化，让受信任的合作伙伴能够检查和审计这些轨迹。审计的前提，是对方愿意把轨迹交出来。
这也解释了为什么他在 9 月 14 日让微软 AI 研究人员发布了一份临时行为准则：模型不得被赋予法律人格、不得被设计成规避人类控制或误导用户、不得隐藏自己的推理过程。这份准则被悄悄打磨了约五个月，公司邀请公众评议，最终版本将从 2027 年起指导模型开发。
把安全从“模型信不信得过”变成“系统能不能管得住”，本质上是把 AI 从科研产品重新定义为基础设施。基础设施的逻辑不是信任，是隔离、审计、可关停。
对齐焦虑正在重塑商业格局
纳德拉的转向还有另一层含义：安全问题正在变成商业竞争的开口。
他在播客里承认，闭源模型今天更强。但如果闭源模型提供商拒绝向在其之上构建的合作伙伴开放透明度，这种拒绝本身就会成为客户转向开源权重模型的理由。他把自己的 MAI 模型定位为“licensed weights”而非开源权重，希望这门生意更像“简单直接的软件生意”，而不是“网络效应驱动的智能生意”。
更大的判断是：大多数 token 使用将变成大宗商品。机制很具体：如果你能用自己的交互痕迹训练，那么当问题没有变化时，你根本不需要最新模型来解决同一个问题。价值会从模型提供商流向那些掌握自己数据痕迹、并建立“私有评估基准”（private eval）作为核心 IP 的公司。纳德拉称之为“反向信息悖论”：第一次，需要被保护的不是卖方，而是买方。
这意味着企业 AI 的下一个战场，不再是“谁的模型最强”，而是“谁控制隔离模型的那一层，谁捕获模型产生的价值”。评估基准、审计日志、身份与权限管理、紧急制动，这些过去被视为合规成本的东西，正在变成新的护城河。
行业正在集体转向，监管开始进场
纳德拉不是唯一拉响警报的人。2026 年 7 月，OpenAI CEO 山姆·奥特曼与埃隆·马斯克公开表示奇点已经到来；9 月，Anthropic CEO 达里奥·阿莫迪称 AI 发展的指数速度是“a warning”。谷歌 DeepMind 创始人 Demis Hassabis 在 5 月的 Google I/O 上表示，我们正处在“奇点的山脚下”。
当这些曾经最坚定的加速主义者开始谈论紧急制动，行业的重心已经从“跑多快”悄悄转向“怎么刹车”。
监管也在跟进。特朗普政府新成立的“超级智能部队”（Super Intelligence Force）在 10 月要求开发者立即报告并修复涉及模型的安全事件，否则将面临未指明的后果。加州州长纽森在 9 月签署行政令，探索新的 AI 规则并考虑“kill switch”。
结论：一个时代的结束
纳德拉的反悔，标志着一个时代的结束。
过去十年，AI 行业相信更大的模型会带来更安全的结果。现在，这个信念的两位关键支柱，缩放定律与安全搭便车，都被动摇了。能力与对齐分离，意味着安全不能再靠模型提供商的善意，也不能靠事后的强化学习修补，而必须变成一套可验证、可审计、可关停的外部系统。
对企业的启示很直接：不要把安全寄托在你选了什么模型上，而要投资你能控制的那一层：身份、日志、策略、审计、制动。未来五年，最有价值的 AI 公司可能不是造出最强模型的那家，而是造出最可靠隔离系统的那家。
而纳德拉留给行业最锋利的一句话，值得每个决策者记住：最值得信赖的超级智能系统，不是建立在你最信任的模型之上，而是设计成让你几乎不需要信任模型。
快报