编者按：就在 OpenAI 宣布与五角大楼达成 AI 合作协议的数小时前，五角大楼刚刚以 Anthropic 坚持安全条款为由终止双方合作。随后，Anthropic CEO Dario Amodei 向员工发布了一封措辞异常激烈的内部备忘录，直指 OpenAI 所宣称的「安全机制」大多只是「安全表演」，并质疑其在自主武器与大规模监控问题上的立场。
在这封约 1600 字的邮件中，Amodei 不仅披露了双方与美国国防体系谈判的部分细节，也将矛头直接指向 OpenAI CEO Sam Altman，指责其通过公关叙事掩盖真实的合作结构。这场围绕 AI 军事应用、安全红线与政治关系的争议，正在把硅谷两大 AI 公司之间的分歧推向台前。
以下为原文：
我想把 OpenAI 当前释放的信息，以及这些信息中存在的虚伪之处，说得非常清楚。这正是他们真实的做法，我希望大家都能看清。
尽管我们对他们与战争部（DoW）签署的合同仍有许多未知之处（甚至他们自己可能也未必完全清楚，因为合同条款很可能相当模糊），但有几点是可以确定的：从 Sam Altman 和战争部的公开描述来看（当然还需要看到合同文本才能最终确认），他们的合作模式大致是这样的：模型本身没有任何法律层面的使用限制，即所谓「所有合法用途」；同时设置一层所谓的「安全层」。在我看来，这种「安全层」本质上就是模型的拒绝机制，用来阻止模型完成某些任务或参与某些应用。
所谓的「安全层」，也可能指合作伙伴（例如 Palantir，Anthropic 服务美国政府客户时的商业伙伴）在谈判中试图向我们推销的方案。他们提出了一种分类器或机器学习系统，声称能够允许某些应用通过，同时拦截另一些应用。此外，也有迹象表明 OpenAI 会安排员工（FDE，即前线部署工程师）对模型的使用进行监督，以防止出现不当应用。
我们的总体判断是：这些方案并非完全没有作用，但在军事应用的语境下，大约 20% 是真实防护，80% 是安全表演。
问题的根源在于：模型是否被用于大规模监控或完全自主武器系统，往往取决于更广泛的上下文信息。模型本身并不知道自己处在什么样的系统中，它不知道是否有人类处于「回路之中」（human-in-the-loop，即自主武器问题的关键）；也不知道它正在分析的数据来源是什么。例如，是美国国内数据还是境外数据，是企业在获得用户同意后提供的数据，还是通过灰色渠道购买的数据等等。
从事安全工作的人员对此早已深有体会：模型拒绝机制并不可靠。越狱攻击十分常见，很多时候只需要向模型谎报数据的性质，就可以绕过这些限制。
这里还有一个关键区别，使问题比普通安全防护更复杂：判断模型是否正在执行网络攻击，从输入和输出往往可以看出端倪；但判断攻击的性质以及具体上下文，却是完全不同的事情，而这恰恰是这里所需要的判断能力。在很多情况下，这项任务极其困难，甚至根本不可能完成。
Palantir 向我们推销的「安全层」（我想他们也向 OpenAI 推销了类似方案）情况更糟。我们的判断是，这几乎完全是一种安全表演。
Palantir 的基本逻辑似乎是这样的：「你们公司里可能有一些不满的员工，你们需要给他们一些东西来安抚他们，或者让正在发生的事情对他们不可见。这正是我们提供的服务。」
至于让 Anthropic 或 OpenAI 的员工直接监督部署的问题，我们几个月前在扩展机密环境下的可接受使用政策（AUP）时也进行过内部讨论。结论非常明确：这种方式只在极少数情况下可行。我们会尽力尝试，但它绝不是可以依赖的核心保障机制，在机密环境中尤其难以实施。顺便说一句，我们确实已经在尽可能这样做，在这一点上我们与 OpenAI 并没有区别。
因此我要说的是：OpenAI 采取的这些措施基本无法解决问题。
他们之所以接受这些方案，而我们没有，本质原因在于：他们关注的是如何安抚员工，而我们真正关心的是防止滥用。
这些方案并非毫无价值，我们自己也在使用其中的一部分，但它们远远不足以达到应有的安全标准。同时，战争部在对待 OpenAI 和我们时显然并不一致。
事实上，我们曾尝试在合同中加入与 OpenAI 类似的一些安全条款（作为 AUP 的补充。在我们看来，AUP 才是更重要的部分），但战争部拒绝了。相关证据就在当时的邮件讨论链中。由于我现在事务繁多，可能会让同事之后去查找具体措辞。因此，「OpenAI 的条款曾提供给我们而被我们拒绝」这一说法并不属实；同样，「OpenAI 的条款能够有效阻止大规模国内监控或完全自主武器」这一说法也不属实。
此外，Sam 和 OpenAI 的表述还暗示，我们提出的红线，即完全自主武器与大规模国内监控，本身已经是违法行为，因此相关使用政策是多余的。这种说法与战争部的表态几乎完全一致，看起来像是事先协调好的。
但这并不符合事实。
正如我们昨天在声明中解释的那样，战争部确实拥有进行国内监控的权限。过去在没有 AI 的时代，这些权限的影响相对有限，但在 AI 时代，其意义已经完全不同。
举例来说：战争部可以合法地从供应商处大量购买美国公民的私人数据（这些供应商通常通过隐蔽的用户同意条款获得转售权），随后利用 AI 对这些数据进行大规模分析，用于建立公民画像、评估政治倾向、追踪现实空间中的行动轨迹，他们能够获得的数据甚至包括 GPS 信息等等。
还有一点值得注意：在谈判接近尾声时，战争部提出，如果我们删除合同中一条关于 「大规模采购数据分析」（analysis of bulk acquired data） 的具体表述，就愿意接受我们的全部其他条款。而这一条恰恰是合同中唯一精准对应我们最担心情景的条文。我们对此感到非常可疑。
在自主武器问题上，战争部声称「人类在回路中」是法律要求。但事实并非如此。这实际上只是拜登政府时期的一项五角大楼政策，要求在武器发射决策中必须有人类参与。而这项政策可以由现任国防部长 Pete Hegseth 单方面修改——这正是我们真正担心的地方。因此，从现实角度来看，这并不是一个真正的约束。
OpenAI 与战争部在这些问题上的大量公关说辞，要么是在撒谎，要么是在刻意制造混淆。这些事实揭示了一种行为模式，而这种模式我在 Sam Altman 身上已经见过很多次。我希望大家能够识别它。
今天早上，他先表示自己认同 Anthropic 的红线，这样做的目的是显得支持我们，从而分走一些功劳，同时在他们接手这份合同时避免受到批评。他还试图把自己塑造成一个希望「为整个行业制定统一合同标准」的角色——也就是和平缔造者与交易撮合人。
但在幕后，他正在与战争部签署合同，准备在我们被标记为供应链风险的那一刻取代我们。
同时，他必须确保这一过程看起来不像是「在 Anthropic 坚守红线时，OpenAI 却放弃了底线」。之所以能做到这一点，是因为：
第一，他可以签署所有我们拒绝的「安全表演」措施，而战争部及其合作伙伴也愿意配合，把这些措施包装得足够可信，以安抚他的员工。
第二，战争部愿意接受他提出的一些条款，而当初我们提出同样内容时却遭到了拒绝。
正是这两点，使得 OpenAI 可以达成协议，而我们无法做到。
战争部以及特朗普政府不喜欢我们的真正原因是：我们没有向特朗普进行政治捐款（而 OpenAI 以及 Greg Brockman 捐了很多）；我们没有对特朗普进行独裁式的赞美（而 Sam 做了）；我们支持 AI 监管，而这违背了他们的政策议程；我们在许多 AI 政策问题上选择说实话（例如 AI 对就业的替代问题）；以及，我们确实坚守了红线，而不是与他们一起制造「安全表演」来安抚员工。
Sam 现在正在试图把这一切描述成：我们难以合作、我们态度强硬、我们缺乏灵活性等等。我希望大家认识到，这正是一种典型的 煤气灯操控（gaslighting）。
「某个人不好合作」这种模糊的说法，往往被用来掩盖真正难看的原因——也就是我刚刚提到的那些：政治捐款、政治忠诚，以及安全表演。
每个人都需要理解这一点，并在私下与 OpenAI 员工交流时反驳这种叙事。
换句话说，Sam 正在以「支持我们」的姿态削弱我们的立场。我希望大家对此保持清醒：他通过削弱公众对我们的支持，让政府更容易对我们进行惩罚。甚至，我怀疑他可能还在暗中推波助澜，虽然这一点我目前没有直接证据。
在公众和媒体层面，这种话术与操控似乎已经失效。大多数人都认为 OpenAI 与战争部的交易值得警惕，甚至令人不安，同时把我们视为坚持原则的一方（顺便说一句，我们现在已经是 App Store 下载榜第二名了）。
【注：随后 Claude 升至 App Store 第一。】
当然，这套叙事在一些推特上的蠢货那里起了作用，不过这并不重要。我真正担心的是：确保它不会在 OpenAI 的员工内部产生影响。
由于筛选效应，他们本来就是一群相对容易被说服的人。但反驳 Sam 正在向自己员工兜售的这些叙事，依然十分重要。
