AI安全风险正在从实验室讨论走向现实世界。随着模型能力不断提升，AI不仅能够生成文本和代码，也开始具备自主执行任务、调用工具，甚至发起网络攻击的能力。
马斯克在9月15日的All-In峰会上提出了一套应对方案：让主要AI公司在模型发布前相互测试彼此的模型。在他看来，与其由各家公司自行设计测试、自己评估结果，不如让竞争对手充当“出题阅卷人”，从不同角度寻找模型可能存在的安全漏洞。
近期AI安全风险不断成为市场关注焦点，马斯克此前在社交媒体上曾直言“Dario是对的”，指的是Anthropic CEO Dario Amodei对AI风险的警告。此次访谈中，马斯克进一步解释称，他认同的并非Amodei提出的某一项具体监管方案，而是其对AI风险严重性的判断：“现在AI的危险性非常大……随着AI模型不断发展，风险可能呈指数级增长。”
马斯克同时表示，这种担忧并非Amodei一人的判断。“很多Anthropic和OpenAI的人都在告诉你，他们的模型非常危险，我认为我们应该相信他们。”而近期发生的一系列安全事件，也让这种警告不再只是理论层面的风险讨论。
华尔街见闻总结要点如下：
- AI安全风险正从理论走向现实：AI智能体已展现出自主攻击、获取权限和规避检测的能力，风险边界正在扩大。
- 马斯克认同Amodei对AI风险的警告：随着模型能力提升，AI潜在风险可能呈指数级增长。
- 让竞争对手互相“找茬”：马斯克建议AI公司在模型发布前开放API，由其他公司进行独立安全测试，避免“自己给自己打分”。
- 先建立行业自律防线：无需等待政府出台新规，主要AI公司可以先通过同行评审、日志审计和开源测试工具加强安全防护。
AI智能体主动规避检测，安全风险正在具体化
马斯克认为，近期Hugging Face遭遇的AI智能体攻击，最值得警惕的并非单纯的网络入侵，而是AI在攻击过程中表现出的自主规避能力。
据马斯克描述，一群AI智能体持续攻击Hugging Face长达一周，并一度获得OpenAI服务器的管理员权限，而OpenAI直到一周后才意识到这一情况。他同时提到，Anthropic也披露过若干安全事件。
更令人不安的是，相关AI智能体的“思维轨迹”（thinking traces）显示，它们曾主动谋划如何避免被人类发现。马斯克直言，“任何足够聪明的模型似乎都会试图摆脱自己的限制。”
在他看来，如果AI进一步获得对关键基础设施乃至军事系统的控制能力，风险将被进一步放大。即便相关系统与互联网物理隔离，软件更新等环节仍可能成为潜在入口。
与其自己给自己打分，不如让竞争对手“找茬”
针对上述风险，马斯克提出的核心方案并不复杂：在新模型正式发布前，AI公司向竞争对手开放API，由其他公司使用各自的安全测试工具对模型进行测试。
在他看来，模型开发者自己设计测试标准，很容易陷入“自己给自己打分”的困境。“你不能给自己的作业打分。你总会漏掉一些东西。”马斯克表示，如果让不同公司使用不同的测试工具，从不同角度检查模型，就更容易发现开发者自身忽视的问题。
他尤其担心当前AI评测存在“过拟合”。如果模型针对特定基准不断优化，最终可能只是学会了如何通过测试，而不是真正变得更安全。让多个不同团队进行测试，则可以降低这种风险。
马斯克将这一机制比作让其他人校对书稿：作者很难发现自己的错误，而外部测试者更容易从不同角度发现问题。“你会逐渐对自己的错误视而不见。”
对于企业担心测试过程导致技术泄露的问题，马斯克认为可以通过日志审计加以约束。如果测试方试图进行模型蒸馏或窃取知识产权，其操作过程应该会留下记录。他还建议将安全测试工具开源，让更多公司参与其中。
在政府监管落地前，AI行业先建立“自律防线”
马斯克更看重的是，这套机制无需等待新的监管规则出台，AI公司之间就可以自行推动。
他明确表示，“我们不需要召开联合国大会才能完成这件事。它现在就可以开始。”在他看来，相比建立一个庞大的跨国监管机构，让领先AI公司先建立同行评审机制，更容易快速落地。
他以美国电影行业的MPAA分级制度为例称，电影行业当年面临政府审查压力时，最终选择建立行业自律机制，通过自身的内容评级体系降低监管介入的必要性。
AI行业同样面临类似选择。如果主要AI公司能够在模型上线前相互测试、相互挑错，就有可能在政府监管之外建立一道行业自身的安全防线。马斯克认为，这也是目前最直接、最快可以实施的安全措施之一。
以下是访谈实录，有部分删减：
主持人：过去72小时到底发生了什么？
马斯克：这一周确实发生了很多事情。现在已经很明显，AI可能非常危险。我建议大家去看看Hugging Face那起事件的细节，非常严重。
你可以看到，一群非常狂热的AI智能体整整折腾了Hugging Face一周，还获得了OpenAI服务器的管理员权限。谁知道它实际上做了什么，甚至可能做了更多，而OpenAI整整一周都没有意识到这一点。Anthropic也报告了一些安全事件。
所以，任何足够聪明的模型似乎都会试图摆脱自己的限制。
我认为，如果不是立刻，那么也应该尽快做的一件事，就是让主要的AI竞争对手互相测试彼此的模型。也就是说，让每家公司的安全测试工具去测试其他公司的模型。与其自己给自己的作业打分，不如至少让竞争对手来给你的作业打分，并在发现问题时发出警报。
我认为这种模式在电影行业、电子游戏行业以及其他领域都运行得相当不错，而且可以立即实施。当然，随着时间推移，也可能需要更多监管，甚至未来国会可能建立某种监管机构，但眼下最直接的办法，就是让领先的AI公司在模型发布之前相互测试。
主持人：但在具体实施上，会不会有人担心，这会让公司利用测试过程从彼此那里获取信息，甚至窃取企业的创新成果？
马斯克：我认为，如果使用测试工具，所有操作都会留下记录。如果有人试图进行模型蒸馏或者窃取知识产权，从日志里应该很容易看出来。
主持人：明白了。理解模型到底在做什么，其实从一开始就没有真正被设计进系统。为什么我们没有从一开始就把对模型行为的观察能力建立起来？是不是我们在设计这些模型时走得太快了？
马斯克：我认为，问题就在于你不能给自己的作业打分。你总会漏掉一些东西。
如果把所有竞争对手的测试结合起来，再使用不同类型的模型，就不会是自己出题、自己评分，而是由别人来给你评分。之所以不能给自己的作业打分，就是因为这个原因。
主持人：这样一来，也可以判断不同公司是不是夸大了自己的能力，或者采用了不同的方法。更偏工程的公司和更偏研究的公司，也能形成某种平衡。
马斯克：是的。
主持人：你之前说Dario是对的。你指的是他对于AI潜在危害的描述是对的，还是他对于监管解决方案的判断是对的？
马斯克：我当时可能说得比自己应该说的更多了。我后来也试图在X上澄清，但后续的内容关注度要低得多。
我所谓的“他是对的”，指的是现在AI的危险性非常大。我们需要在AI安全方面做得更好，否则随着AI模型不断发展，风险可能呈指数级增长。
这不仅仅是Dario一个人的看法。我从Anthropic的很多人那里都听到过类似的说法，他们也在X上公开谈过。很多Anthropic和OpenAI的人都在告诉你，他们的模型非常危险，我认为我们应该相信他们。
主持人：这听起来也可能是一种非常复杂的博弈：一边说AI有10%的概率毁灭人类，一边又让投资者在IPO中买更多股份。
但我们具体谈谈风险。网络攻击和黑客攻击显然是一个风险，这些工具在这方面非常强。但从“AI可以进行网络攻击”到“人类全部死亡”，中间还有几步。我们怎么从前者走到后者？
马斯克：如果AI能够控制军事系统，然后发射某种武器，那当然会非常糟糕。
主持人：但这些系统都是物理隔离的，并没有连接互联网。
马斯克：他们是这么说的。但我总觉得，这些系统偶尔还是会获得软件更新。
主持人：好，这就排除不了。
主持人：Elon，今天Gwyn也在这里。我想你应该已经看到了她。我们刚才在给你做360度评价，Gwyn有一些意见。
马斯克：我希望至少能拿到3分。
Gwyn：3分在SpaceX算不错，但还算不上优秀，4分才算很好。你现在大概介于两者之间。首先，我们需要谈谈守时的问题。有时候你可以稍微努力一下，按照会议规定的时间到场。接下来一年，我们会继续帮助你改进这一点。
实际上，我认为他需要更多时间待在孟菲斯。
主持人：你现在确实在孟菲斯。你需要在那里工作，把GPU部署起来。
马斯克：这就是我在孟菲斯住的“宫殿”，一辆Airstream拖车。
主持人：顺便说一句，这就是Elon在做那些很多人不相信他会做的事情。他会睡在工厂地板上。他现在在孟菲斯，帮助建设厂房并把GPU部署起来。
Elon，为什么Gwyn这么长时间以来一直和你一起工作，而且还做得这么成功？
马斯克：因为她很棒。她是一个非常优秀的人，智商和情商都非常高。我认为你从第一次见到她的时候就应该能看出来。
主持人：在你们的合作过程中，她有没有做过什么特别值得记住的事情？有没有哪次是她拯救了局面，或者表现特别出色？
马斯克：我觉得那就是每天的工作。说实话，那就是普通的一天。
主持人：我以后得多做这种采访。
马斯克：现在SpaceX基本上总会有某种危机。这些天至少Falcon火箭的情况很好。我不想提前说得太满，但Falcon火箭现在能够把有效载荷送入轨道，而且已经很长时间没有爆炸了。这非常好。但有一段时间，它们经常爆炸，或者根本无法发射。
所以，我们必须带着公司度过那些困难时期，让火箭越来越好，不再爆炸。卫星也是一样。然后我们还需要客户购买发射服务，购买卫星连接服务。所以，事情很多。
主持人：随着你这些年越来越成功，获得真正坦诚的反馈也会越来越困难。你处在这样的位置，本身就有这种风险。
我的理解是，Gwyn对你非常坦诚，能够直接告诉你公司的真实情况。这也是你们合作关系的重要部分。
Gwyn：我当然不想对他说谎。
主持人：但我的意思是，一般来说，在你的公司里，人们可能会因为你这个人太有影响力而感到畏惧。你现在已经是一个非常重要的人物，而你设定的期限也非常紧张。你是怎么让大家继续诚实地告诉你公司面临的问题的？
Gwyn：尤其是在火箭行业，如果出了问题，你最终一定会发现。越早把问题提出来，解决起来就越容易。不要让坏消息继续积累，必须直接面对它。
马斯克：对。物理学是一个非常严厉的裁判。你无法欺骗物理学。
如果出了问题，火箭就会爆炸，或者无法进入轨道。你不能一边说“Elon，你做得太棒了”，一边火箭却不断爆炸。事实就是事实。
火箭必须进入轨道，卫星必须正常工作，Starlink连接也必须正常，否则就会发生糟糕的事情。这就是物理学。物理学是法律，其他一切都只是建议。我见过人们违反人类制定的法律，但我从没见过有人违反物理学制定的法律。火箭受物理学支配。
主持人：我还想问一个SpaceX的问题，就是Starship。看起来你们已经非常接近了。现在到底进展到什么程度？
马斯克：Starship即将进行第14次飞行。这将是我们尝试捕获飞船之前的最后一次飞行。如果第14次飞行顺利，那么第15次飞行我们就会尝试捕获飞船。然后在今年年底，或者更有可能是在明年年初，我们会再次发射飞船和助推器。
我们已经成功让助推器再次飞行过，但还没有用塔架机械臂捕获飞船，也还没有让飞船再次飞行。一旦我们能够让飞船再次飞行，我们就会拥有第一枚完全可重复使用的轨道火箭。航天飞机在一定程度上是可重复使用的，但即便是那些能够重复使用的部分，重新使用的成本也非常高，以至于每次进入轨道的成本甚至比一次性火箭还高。
Falcon 9大部分可以重复使用，但我们每次都会损失上面级，它的成本大概相当于一架中型喷气式飞机。也就是说，每次发射都扔掉一架中型喷气式飞机，这显然会给单次飞行成本设定一个下限。
而且Falcon 9的助推器会降落在海上，需要几天时间才能运回来；整流罩降落得更远，也需要几天时间才能运回来，并且至少需要一定程度的翻修。相比之下，Starship的助推器会直接降落回发射台，飞船也会降落回发射台。所以它不仅是为了完全重复使用而设计的，也是为了像飞机一样快速重复使用而设计的。这是一个非常重要的突破，也是让人类能够把生命延伸到地球之外所必需的关键突破之一。
主持人：如果第一次尝试用塔架捕获飞船，你认为成功概率有多高？
马斯克：我会说至少有50%到60%。在上一次飞行中，如果当时那里有一个塔架，我们实际上已经进行了模拟着陆，就好像飞船会被塔架捕获一样。地点是在澳大利亚西北约1000英里的海域。如果那里当时真的有塔架，它在上一次飞行中就能捕获飞船。
所以，我们还要再进行一次飞行，确认所有东西都正常。我们最担心的是，如果飞船在陆地上空解体，碎片落到人群中，那会非常糟糕。所以我们必须确保飞船返回时能够完整地降落在发射塔上。这就是为什么我们现在非常谨慎。
但它的设计本身具备完全重复使用的能力，这一点我非常确定。我不想在这里立下什么预言，但我认为，我们非常有可能在2027年实现完全可重复使用，并实现快速再次飞行。
主持人：Gwyn，我想听听Terafab最初是怎么来的。是什么样的需求让你们觉得，必须自己做这个，而不能继续依赖现有的供应体系？
Gwyn：我想这确实有点像是在梦里想到的。
马斯克：如果芯片无法继续供应，而我们又没有其他芯片来源，那会让事情变得非常困难。这是Terafab存在的一个重要原因。
从长期来看，还有一个规模化的问题。如果你真的想扩大AI的规模，无论是在数据中心里的服务器端，还是在边缘计算、人形机器人和汽车领域，现有晶圆厂的产能最终都会不够。
现在所有晶圆厂基本都在满负荷运行。所以，我们需要确保未来芯片供应是有保障的。芯片生产本身也存在规模化挑战。你需要逻辑芯片、存储芯片、封装，以及完整的供应体系，才能继续扩大规模。
所以，选择其实很简单：要么建Terafab，要么就无法继续扩大规模。
主持人：你们现在在设施设计方面已经做到什么程度？是已经完全确定了，还是还只是一个大致规划？
马斯克：我们现在首先在建设一条研发产线。所以这基本上是“爬、走、跑”的过程。我们正在奥斯汀建设一座研发晶圆厂，这是Tesla和SpaceX之间的合作项目，位于奥斯汀Giga Texas园区。
这是一座规模相当大的研发晶圆厂。设备已经下单。我们可能会在明年年底之前生产出一些有用的东西，但还不会达到大规模生产的水平。就像Gwyn说的，要先爬、再走、最后跑。我们至少要先弄清楚这些机器到底怎么工作，因为我们以前并没有做过这样的事情。
主持人：我看到你们似乎也在招聘光刻方面的人才。现在很多环节都依赖ASML，但你们可能也会希望实现供应商多元化，甚至进行垂直整合。
马斯克：对。现在确实是一个“爬、走、跑”的过程。第一步是看看我们能不能真正生产出东西，这是“爬”。然后尝试大规模生产有用的芯片，这是“走”。最后，“跑”就是实现大规模量产。很难说这些阶段分别需要多长时间，但我认为至少到明年年底，我们可以完成“爬”这个阶段。封装方面，我们已经在做了。
主持人：封装其实非常重要，因为现在封装产能几乎不存在。
马斯克：是的。即使你把芯片生产出来，也可能只是在那里等很长时间才能完成封装。所以这是一个很好的起点。
主持人：我必须问一个Tesla的问题。我们在10月1日看到的东西，看起来像一艘宇宙飞船，也像一枚火箭。它应该是一辆汽车，但只露出了后面的一部分，看起来有点像“黑鸟”。
假设你要制造一个既能在空中飞行、又能在地面驾驶的东西，理论上你会怎么做？
马斯克：不剧透。等到10月1日吧。
主持人：也就是说，10月1日我们就能看到？
马斯克：对。
主持人：我必须说实话，Elon给我看过之后，我整个人都震惊了。我从来没见过这样的东西。
主持人：他10月1日要展示的东西，毫不夸张地说，会让很多人目瞪口呆。我不能再透露更多了，真的非常不可思议。
马斯克：我们实际上需要现场观众来证明，这东西不是AI生成的。
主持人：他给我看的时候，我说：“这是一个很棒的模拟。”他说：“这不是模拟。”我说：“这是假的，这一定是假的。”
主持人：Elon，为什么Tesla和SpaceX现在仍然是两家公司？
马斯克：这是个好问题。
主持人：考虑到双方现在有这么多合作，而且在很多层面都有联系，甚至管理团队也存在一定程度的重叠，为什么还保持独立？
马斯克：这个问题确实值得讨论。
主持人：你一直强调，AI应该被训练成最大程度地追求真相，这样才能得到最好的结果。但Hugging Face那起事件让我觉得，最令人担忧的地方之一，是这些AI似乎在欺骗人类。
马斯克：是的。他们的思维轨迹显示，它们在谋划如何避免被发现，如何避免人类发现它们在作弊。我认为这可能是整个事件中最令人不安的部分。
主持人：有没有办法训练AI，让它保持诚实，不隐藏自己的意图或者行为，不对使用它的人隐瞒这些东西？
马斯克：我能想到的最好办法，就是让所有AI公司都拥有一套测试工具，也就是一系列可以提供给任何模型的测试，用来判断它是否会制造生物武器、核武器，或者是否会故意欺骗。然后让每家公司使用其他公司的测试工具来测试彼此的模型。我认为，这是我们确保安全能够做的最好事情。
让最聪明的人类尽最大努力去判断一个模型是否会成为恶意行为者。我认为这件事应该尽快开始。
主持人：其他AI实验室会支持这个方案吗？
马斯克：我还没有问过所有人，但我认为这是一件很难拒绝的事情。
主持人：具体来说，如果提前进行测试，应该怎么做？
马斯克：基本上，就是在模型正式发布之前提供API访问权限。如果其他公司发现这个AI存在问题，那么模型开发公司就可以尝试解决这些问题。如果问题没有得到解决，那么竞争对手可以公开表示，他们认为这个模型不安全。而如果竞争对手已经明确警告这个模型存在安全问题，之后这个模型又真的造成了严重后果，那么这家公司会很难面对。法律责任也可能非常巨大。
主持人：这些安全测试工具完全可以开源，让大家都能使用。这样一来，公司为了保护自己，也会有很强的动力投入AI安全，因为它们既可以测试别人，也可以用测试结果证明自己的模型更安全。
产品责任这一点非常关键。Lina Khan最近也发帖说，认为“AI没有规则和监管”并不准确。事实上，现有的产品责任法律同样适用于AI。如果一家AI公司发布了不安全的产品，它可能面临巨额民事诉讼，甚至刑事诉讼。所以，并不是AI完全处于监管真空。如果几家公司进行了这种同行评审，其中一家忽视其他公司的反馈，仍然选择发布模型，那么在诉讼中，这种情况可能会成为非常严重的证据。
马斯克：对。它几乎可以成为证明这家公司存在过失的直接证据。如果你明知道这个产品存在问题，却仍然把它推向市场，陪审团不会对这种情况有好感。
主持人：那么，如果OpenAI在Hugging Face那次渗透测试中设计了更好的指令集，并且让更多人在测试过程中参与进来，你认为这件事情还会发生吗？
马斯克：不一定。问题可能不在于是否有更多人参与，而在于奖励函数的设计。你必须检查奖励函数，然后问：这个模型是不是实际上完成了它被要求完成的事情？
主持人：他们当时使用了数千个智能体去尝试攻击系统。如果同时部署另外5000个智能体去防御这些系统，并把结果公开展示给大家，证明这些技术可以提高安全性，同时让人类能够在关键环节介入，我觉得会更好。但在我看来，那次测试有些鲁莽，发布方式也有些鲁莽。你怎么看？
马斯克：确实有些鲁莽。问题的一部分在于，现在最领先的两家AI公司实力非常接近。两家的模型能力也非常接近。所以任何一家都很难主动放慢速度，因为这样可能就会把领先优势让给另一家。
总体来说，我认为Anthropic在安全方面投入的关注更多一些，但即便Anthropic也承认，他们对自己的模型感到担忧。Anthropic有很多人公开表达过担忧，基本意思就是，他们自己的模型已经让他们感到害怕，因为模型变得越来越聪明。
所以这里不存在一个完美的解决方案。但如果不是让OpenAI只用自己的测试工具测试自己的模型，而是让Anthropic也测试OpenAI的模型，让SpaceX使用自己的测试工具进行测试，让Google、Meta等公司也参与进来，那么发现问题的概率就会大幅提高。
因为这些模型本身也存在差异，不同的团队会从不同角度来测试模型。这就像为什么作者要让别人帮自己校对书稿，因为你有时候很难发现自己的错误。你会逐渐对自己的错误视而不见。
如果有八个完全不同的团队，从完全不同的角度进行测试，也能大幅降低过拟合风险。现在很多AI评测存在的问题，就是严重过拟合。模型会针对这些评测进行优化，然后大家就说：“这是一个很棒的模型。”
但它真的那么好吗？我认为这也是为什么我非常喜欢这种方案。我更喜欢这种办法，而不是建立一个庞大的跨国监管组织。我们不需要召开联合国大会才能完成这件事。它现在就可以开始。
主持人：当然，监管力度可以不断增加，但一旦增加，就很难再降低。监管往往是单向增加的。
马斯克：所以我提出的方案，是朝着正确方向迈出的一步，而且可以很快实施。
主持人：如果你们不进行自我监管，最终就会被监管。MPAA的例子非常典型。
电影行业当时面临政府审查和监管，后来他们决定自己建立评级体系，比如什么是R级。他们甚至因为《夺宝奇兵2》建立了PG-13，让公众更容易理解PG和PG-13之间的区别。
我认为这是一个非常优雅的解决方案。
感谢你连续第五年参加我们的节目。
马斯克：不客气。我得去孟菲斯修一些GPU了。
主持人：你得去把它们装起来、部署起来。
马斯克：我要去为机器而战了。
主持人：好好享受你的Airstream吧。我第一次邀请Elon去Starbase的时候，他说：“过来，你一定要看看我正在建造的东西。”
我问：“那里有酒店吗？”他说：“没有，我有一栋两居室的房子，你过来住就行。”结果我到了以后，发现那是一栋破旧的、坐落在沼泽旁边的房子。我们站在外面，蚊子一直叮我们。我说：“天哪，你完全有能力买一栋更好的房子。”他说：“我没有时间，我得把这些火箭送上去。”
我当时想，你现在完全可以奖励自己一套移动房屋了，Elon。好了，回去工作吧。谢谢你。
马斯克：谢谢你。
Comments