2026.10.06 | AC | AI Demand | AI Safety as Compute Demand

摘要

一、AI安全正在成为真实的算力需求。 越来越多评估、对齐、红队测试和行为监控由模型完成。为了让更强的模型安全运行，实验室需要额外投入算力。

二、安全算力有三个阶段。 先是模型研发时的额外投入，再是高风险 Agent 上线后的持续监控，最后才可能成为训练和部署的扩展门槛。前两个阶段增加算力需求。

三、单层安全机制变便宜，不等于安全算力总量下降。 Anthropic的案例显示，单位安全成本可以大幅优化，但覆盖范围扩大、模型能力增强，也会带来更多安全层。

四、笔者判断，行业目前仍处于倒U左侧。 今天安全主要增加算力投入；真正的尾部风险，是额外安全投入仍无法控制能力增长，迫使下一轮训练或部署限速、延后甚至暂停。

AI模型越强，安全要求越高。对算力投资者来说，这究竟意味着需要更多GPU，还是意味着模型扩张最终会被叫停？过去我们很容易把安全理解成审核、合规和监管成本，但现在出现了一个变化：越来越多安全工作本身由AI完成。模型在执行任务，另一套模型同时判断它的行为是否安全。安全因此开始直接消耗算力。

本文据此提出一个“倒U”框架，讨论安全要求提高对AI算力需求的双重影响。 在倒U左侧，研发阶段的评估、对齐和监控增加算力投入；模型上线后，安全工作又跟着每一次Agent任务持续运行，形成推理工作负载的安全税。在右侧，如果更多安全投入仍无法控制模型能力带来的风险，下一轮训练和部署就可能被限速、延后甚至暂停。当被削减的能力算力超过新增的安全算力，总需求才会下降。OpenAI和Anthropic披露的实践，可以帮助我们判断行业目前处于哪一侧，以及转向右侧需要什么条件。

一、阶段一：研发安全税——以OpenAI的监控机制为例

2026年8月18日，OpenAI发布了关于高网络攻击能力模型开发节奏的文章，介绍了一套强化监控框架。公司要求，Sol及更高能力模型在进行涉及工具调用的强化学习训练和评估时，启用这套系统。它观察模型的内部信号、可见推理、工具动作和完整任务过程，发现可疑行为后，再交给专门的自动调查模型处理。

简单翻译就是主模型负责做任务，旁边再运行一套模型来观察它有没有越界；一旦出现异常，还要追加调查。这些监控和调查本身也会运行模型、生成token、占用GPU，因此会带来真实的额外算力。

OpenAI同时给出的估算是：这套监控系统当前的额外算力开销，约相当于被监控推理算力的20%。 按这个平均口径做示意，如果原本被监控的任务推理需要100单位算力，监控约再增加20单位，合计约120单位。

这里的分母必须说清楚：20%对应的是“被监控的推理算力”，不是OpenAI全部推理，也不是一整轮训练。强化学习训练时，模型要先实际执行任务、生成答案和调用工具，然后根据结果获得评分并更新参数；前面执行任务的部分就是推理。监控主要加在这一段，整轮训练增加多少总算力，公司没有单独披露。

这构成第一个阶段：研发侧安全税。 每开发一代更强的模型，除了训练模型本身，还要运行更多评估、对齐和红队测试——也就是模拟攻击、寻找漏洞——并监控训练中的高风险行为。只要这些投入帮助模型继续开发和发布，安全就是额外的算力需求。

二、阶段二：推理工作负载的持续安全税

后续更重要的变化发生在OpenAI的Astra模型上。OpenAI判断，它可能达到Critical Cyber这一网络安全风险阈值，即模型具备的网络攻击能力已经需要更严格防护。因此，公司把额外监控进一步扩展到所有带工具的Astra推理；Astra系统卡也说明，外部部署会使用类似的监控机制。

这使安全算力进入第二个阶段：生产侧持续安全税。过去主要是为了开发一个模型，额外投入一批算力；现在则是模型上线后，每执行一次需要监控的任务，都可能带来额外开销。Agent越多地操作代码环境、账户和企业系统，任务过程中的行为检查、异常调查和后续审计，就越可能成为常规工作。

对AI基础设施而言，这比单轮训练的安全成本更有持续性。一代模型的研发有结束时点，而上线后的任务量可以持续增长。安全算力也就从研发阶段的集中投入，扩展为随生产推理量增长的长期负载。

但这不能推导成“每个Astra任务都固定增加20%”，更不能套到所有模型。OpenAI没有单独披露Astra生产推理的监控比例。更合适的分析框架是：

生产侧安全算力 ≈ 生产推理算力 × 纳入监控的流量占比 × 单位监控开销。

图1 安全算力的三个阶段

资料来源：OpenAI等公开资料；笔者整理。三阶段为本文分析框架。

分析生产侧需求，需要同时看“税基”和“税率”：有多少任务需要监控，每单位任务的监控又需要多少算力。前者可能随着Agent的应用范围扩大而上升，后者可以被工程优化。只有当安全投入已经无法支撑下一轮能力扩张时，才会进入第三阶段——扩展门槛。

三、单层安全机制在降本，整个安全体系在增厚

Anthropic提供了一个理解“税率”的具体案例。它的Constitutional Classifiers，是在主模型之外增加一层安全分类器，检查输入是否试图绕过防护，以及输出是否包含危险内容。第一代系统带来的额外计算开销约为23.7%。

到了2026年的升级版Constitutional Classifiers++，Anthropic改用了更节省算力的分级架构：先用成本很低的内部信号检测器筛查流量，只把少量可疑请求升级给更强的分类器。这套安全机制的平均额外计算开销降到了约1%。

这说明单一安全层的单位成本可以大幅下降，但它并不等于所有安全工作的总成本都能降到1%。OpenAI的20%和Anthropic的23.7%→1%对应不同的监控系统与测试口径，也不能直接拿来比较两家公司的安全效率。

对长期需求，更重要的是三个变量同时变化：同一层防护在变便宜，需要覆盖的任务在增加，模型变强又要求新的防护层。 原来主要检查输入和输出，后续还可能需要观察模型推理、工具动作、完整任务轨迹，并增加自动调查与红队测试。

因此，笔者的判断是：单位安全层的成本下降，但整个安全体系在增厚。“永久安全税”并不是永久维持20%的固定税率，而是随着AI活动扩大，安全工作本身很可能长期存在。安全工具越来越高效，并不会自动让总安全算力归零。

四、真正的拐点：更多安全算力也换不回足够的安全把握

OpenAI首席科学家Jakub Pachocki的讨论，解释了这条路径为什么会出现拐点。他认为，机器智能的进步仍然由计算能力增长推动；但模型越强，对齐和监控并没有同步变得更容易。

一个关键问题是对模型思维链的监控，也就是观察它写出来的推理过程。模型进入更复杂的环境，与人类、其他AI和工具长期互动后，任务过程更难完整理解。模型也可能更善于操纵可见推理；同时，预训练能力提高，又让它在不写出大量推理文字的情况下完成复杂任务。过去依赖“看它怎么想”来判断是否安全，可靠性就可能下降。

Jakub的核心判断是：AI系统的扩展，必须受到我们对其安全性把握的约束。 换成投资语言，就是模型能力不能无条件扩张。增加算力让模型变强，同时也会提高安全要求；实验室必须证明，新的安全手段仍然能控制这些能力。

只要这个循环还能成立，安全仍是算力正反馈：能力提高，安全要求提高，安全投入增加，模型得以继续训练和部署。真正的拐点是，更多安全算力已经无法把剩余风险控制在要求以内。这时需要解决的就不再是“多买一些GPU能不能做到”，下一轮训练或部署本身可能被延后或限制。

五、倒U框架：安全如何从算力乘数变成扩展门槛

据此，安全对算力需求的净影响，可以理解为：新增的安全算力，减去因安全约束而被取消或延后的能力算力。这里的“能力算力”，指用于训练主模型和完成用户任务的算力；“安全算力”，指额外用于评估、对齐、红队和监控的算力。

在倒U左侧，实验室继续训练和部署模型，同时增加安全工作。主模型照常运行，旁边又增加安全模型，总需求随之上升。到右侧，如果安全要求开始直接限制下一轮训练或部署，被延后、取消的能力算力超过新增安全算力，总需求才会下降。

图2 AI安全的双重算力效应：从安全税到扩展门槛

资料来源：OpenAI、Anthropic、Jakub Pachocki与Dario Amodei公开论述；笔者推演。曲线为情景示意，实际总算力等于能力算力与安全算力之和，不代表比例、时间或量化预测。

这张图真正要表达的，不是峰值在什么时候，而是条件如何变化：每提高一单位模型能力，需要增加多少安全投入，才能维持足够的安全把握？ 如果这个关系可控，安全就会长期表现为算力税；如果安全投入快速增加，却仍无法控制风险，才会进入右半边。

六、阶段三：扩展门槛——从能力迭代限速到训练暂停

Anthropic首席执行官Dario Amodei提出的分级放慢框架，把这种约束具体化成一条政策路径。它是分层应对的思路，并不是已经实施的监管规则。

第一层是限制明显危险用途，例如直接帮助实施严重的生物或网络攻击，对总算力的直接影响相对有限。第二层是要求前沿模型发布前接受更严格的网络、生物和对齐风险评估，主要增加测试和安全算力，仍对应倒U左侧。

第三层开始对递归式自我改进（RSI）设置速度限制，也就是AI参与改进下一代AI的迭代过程受到约束。第四层则是在具备足够可验证性的条件下，考虑更全面的放慢或暂停。这时，约束已经从增加安全工作，转向限制能力扩张，才可能对应倒U右侧。

Jakub和Dario的讨论互相补充：前者说明为什么安全把握会成为技术约束，后者说明这一约束可能如何变成评估要求、速度限制和暂停措施。

七、结论：现在仍在倒U左侧，但不能无限外推

笔者判断，行业目前仍明显处于倒U左侧。 现在看到的变化，是前沿实验室增加评估、对齐、红队和监控，并把部分监控从研发扩展到生产推理。当前这条路径增加的是安全算力，尚未体现为行业范围内对能力扩张的全面叫停。

对AI基础设施投资而言，安全因此仍更像一项持续增加的工作负载。单层机制可以降本，但Agent任务量、需要保护的应用范围和安全层数都可能增长。不能把20%或23.7%当作永久税率，也不能因为某一层降到1%，就认为安全算力不再重要。

不过，MBI近期的《The Ever-Widening Overton Window of AI Safety》提醒了一个不能忽略的尾部风险：市场越来越习惯“安全利好算力”的判断，却可能低估安全要求最终限制能力扩张的可能性。这个判断在左侧成立，并不意味着可以一直成立。

如果未来模型能力增长真正超过对齐和监控能力，更多安全投入也无法提供可信的控制，实验室或监管者就可能限制更激进的下一轮训练。安全会从算力乘数，变成扩展门槛。

只要安全算力跟得上能力增长，安全就是永久的算力税；跟不上的那一刻，它才会成为算力的上限。

本文为笔者个人研究、交流与学习分享，仅供参考，不构成任何投资建议。