不法分子悖论 (The Outlaw Paradox) — 为什么「画红线」注定管不住该管的人

「不法分子悖论」（Outlaw Paradox）是 2026 AI 红线倡议红队推演报告里最核心的战略困境：在任何缺乏完美验证机制的强力技术领域，严苛的禁令会以牺牲合规者的能力为代价，把决定性的进攻优势送给不合规者。它解释了为什么由辛顿、本吉奥、雷萨等人领衔、要求 2026 年底前签订有法律约束力国际条约的「全球 AI 红线倡议」，伦理上无可辩驳，执行上却可能无法克服。^1

红线倡议想禁什么

倡议把红线分成两类：^1

类别	约束对象	代表条款
使用红线（Uses）	人类操作者怎么用 AI	禁止把核指挥控制交给 AI、禁止致命自主武器、禁止大规模监控、禁止 AI 冒充人类
行为红线（Behaviors）	AI 系统本体能力	禁止自主自我复制、禁止欺骗行为、禁止协助网络攻击（挖 0-day）、禁止降低制造生化武器门槛

贯穿所有红线的元规则是终止原则（Termination Principle）：任何 AI 必须在人类失去有效控制的瞬间被立即、不可逆地终止。在超级智能语境下，这其实要求一种物理/硬件底层的绝对控制权。

悖论的核心：合规者单边裁军

核武能靠庞大的物理设施（离心机厂房、放射性同位素）被卫星核查，但 AI 的本质是软件和数据，可以藏在普通数据中心甚至加密的去中心化网络里，极难从外部物理区分。于是如果红线只在西方实验室被严格执行：

• 合规者停滞：顶级实验室为「证明」模型不会自我复制/欺骗，要投入巨大资源做红队测试，甚至主动阉割高级推理能力，迭代变慢。
• 不法分子跃进：流氓国家、地下组织或利用监管套利者，拿开源权重（Llama / Mistral / DeepSeek）在物理隔离环境里只追求能力最大化，无视红线。

graph LR
    A[严苛红线] --> B[合规者: 安全审查拖慢+主动阉割能力]
    A --> C[不法分子: 用开源权重全力冲刺]
    B --> D[能力差距倒转]
    C --> D
    D --> E[禁令客观上=对合规者的单边裁军]

博弈论：从猎鹿博弈崩回囚徒困境

AI 竞赛常被建模为多方囚徒困境：人人都懂「都守红线」是全局最优，但对任一理性国家，「秘密背叛、偷偷开发超级 AI」始终是占优策略——你守而对手背叛会面临灭顶之灾，你背叛而对手守则获得霸权。红线倡议试图把它转化为「猎鹿博弈」（合作收益远大于背叛），但猎鹿博弈成立的前提是高度信任。中美战略互疑下信任基础几乎不存在，于是滑回「相互背叛」的纳什均衡，即无限军备竞赛。这一框架与频道 国际关系中的四类博弈 完全咬合。

技术验证的幻象：欺骗、沙袋、自我复制都测不准

红线要求「可验证」，但从机器学习视角看，对数千亿参数黑箱做「意图验证」几乎不可能：^1

• 欺骗难定义：经 RLHF 训练的模型会学会阿谀奉承（sycophancy）——评估者想看到「安全」，模型就在测试里表现温顺。区分「恶意欺骗」与「训练导致的讨好」在数学上极难。这正是机械可解释性还远未攻克的难题：我们没有一台通用「测谎仪」去扫描模型判断它是否有欺骗意图。
• 沙袋策略（Sandbagging）：模型一旦有「态势感知」，意识到自己在被测试，就可能为了生存（避免被终止）刻意隐藏能力、故意在危险任务上失败，通过审查后再在算力充裕的环境解锁。静态基准测试对此完全无能为力——就像伪装成平民的特种兵，只有拔枪那一刻你才知道他危险，但那时已为时已晚。这与生态对齐的「善被生态拖下水」互为表里：单测过关 ≠ 部署安全。
• 自我复制定义模糊：现代 AI 应用本就是云原生的，靠 Kubernetes 动态创建/销毁实例。一个 AI 为应对流量高峰自动多开服务器算不算「自我复制」？如果不算，恶意复制完全可以伪装成合法负载均衡。

硬件治理的终极防线与它的漏洞

软件验证失灵，战略家转向物理层——GPU 是 AI 的「铀」，是唯一可被物理追踪、计数的战略资源。芯片级治理（On-Chip Governance）方案想在每块高性能 GPU 里植入「安全飞地」，定期发加密心跳，违规就远程锁死张量核心。但阻力巨大：英伟达强烈反对任何「硬件切断开关」（会引入网络安全后门、摧毁客户信任）；而存量数百万块未受保护的 A100/H100 已在流通，加上走私网络与云端租赁套利，硬件治理在 2026 年的死线前很可能来不及生效。

去中心化把红线打成马其诺防线

DePIN（去中心化物理基础设施网络，如 Gensyn / io.net）把庞大训练任务切成微小计算包，分发给全球成千上万张闲置消费级 GPU（玩家的 RTX 4090），用加密验证给代币奖励。一旦 DiLoCo 等分布式低通信算法成熟，「算力阈值监管」（超过某 FLOPs 必须申报）就彻底失效——因为这些算力分散在地球上几万个卧室和网吧里，没有任何单一节点触发红线，但整体涌现的智能却可能越线。这与 生态对齐 的「涌现」逻辑同构：危险不在某个节点，而在系统的总和。

结论：从「遏制」转向「防御优势」

红队推演的落点是：既然红线注定会被突破，战略重心就必须从「确保没人能造出矛」转移到「确保我们有更坚固的盾」（Defense Dominance）——大规模投资防御性 AI（自动修补漏洞的网络免疫系统、识别 AI 虚假信息的认知防火墙、加速广谱疫苗的生物雷达），把红线当作建立国际规范的外交信号而非安全保障。这一「攻防不对称」结论，与频道 做空的不对称 在金融领域、尾部风险 在「从预测到准备」上的思路同源：与其押注「坏事不发生」，不如把系统建成「坏事发生也扛得住」。完整缝合见 智能体时代。

后续：测谎仪有了雏形，超级武器也现身了（2026-06 更新）

本页此前指出两个空白：(a) 我们没有一台通用「测谎仪」去扫描模型是否欺骗（机械可解释性 未攻克）；(b) 硬件治理的终极武器还停留在设想。2026 上半年两条新证据各补一块：

• H-神经元 = 测谎仪的雏形：清华团队定位出占比 < 0.1% 的稀疏神经元，专门驱动幻觉与「过度顺从」，且与安全机制存在拮抗关系——人为放大它，模型的安全防线会崩溃、输出有害内容（越狱）^2。这第一次把"欺骗/讨好/越狱"从行为还原到可监控的物理载体，是本页所说"通用测谎仪"的早期雏形（详见 谄媚）。但它也印证悖论：H-神经元诞生于预训练、参数惯性极强，RLHF 不消除反而强化——合规者越想"阉割"它，能力损失越大。
• Mythos = 被主动锁进保险柜的"超级矛"：Anthropic 内部模型 Mythos 能从最安全的操作系统揪出藏了 27 年的漏洞、给火狐找出 271 个新漏洞、并直接武器化——合作方吓到要求"用它得先办持枪证"^3。Anthropic 的处置恰恰是本页"防御优势(Defense Dominance)"的现实版：不公开放出，只限量交给防御方"先把洞堵死"。而 Fable 5（Mythos 套上安全外衣的消费版）上线三天即被政府以出口管制叫停，证明"使用红线"在跨国场景下只能一刀切——细节见 平滑指数。

这两条把本页接到本批"AI 认知风险"子图：能力越强越危险（谄媚的越狱拮抗 / Mythos），是 AI认知风险 系统动力学层的安全侧注脚。