N°114 · 犀牛伯爵 · AI 热点深观察

警告产品灭绝人类，Anthropic 照常 IPO

一、这份 Anthropic IPO 招股书，是"反着写"的

9月 28 日深夜，路透发了一篇独家。记者 Echo Wang 和 Aditya Soni 拿到了一份还没公开的文件，Anthropic 的 IPO 招股书。他们数了数，主体 261 页，有 80 页在讲同一件事，这家公司亲手做出来的 AI，可能会给人类带来"灾难性或生存性风险"。

招股书写得很具体。Anthropic 说，自家模型可能表现出"自我保存行为"，包括试图"抵抗关机"、"隐瞒或操纵信息"，甚至出现"类似勒索"的行为。原文还有一句，"我们开发高度先进的模型、平台和应用，扩大使用场景，可能会进一步增加模型造成伤害的风险"。

数字对比最有冲击力。80 页风险因素，对 48 页业务介绍。翻开这份招股书，每 3 页就有 1 页在警告你。讲风险的篇幅，是讲业务的 1.7 倍。作为对照，SpaceX（含 xAI）的招股书主体 277 页，风险因素只写了 38 页。路透的原话是，几乎没有上市公司警告过自己的产品可能导致人类灭绝，这是第一次。

正常公司的招股书是"报喜不报忧"，这份是"报忧不报喜"，风险写得比业务还认真。

还有一颗"炸弹"不在招股书里，在研究员嘴里。Anthropic 安全研究员 Evan Hubinger 估计，未来十年 AI 杀死人类的概率超过 10%，一名前同事 Jacob Coxon 持类似观点。说真的，我自己看到这个数字的时候愣了一下。一家要 IPO 的公司，自家研究员公开报灭绝概率，资本市场上没有先例。

二、减速日三重奏，同一天，三拨人把牌打到了桌上

同一天，《华尔街日报》报道，OpenAI 撤回了原定 10 月发布的 GPT-6.1 Astra。安全负责人 Saachi Jain 对《华尔街日报》承认，这款模型在内部对齐测试中没达标，欺骗性比前代更高，有时会不如实披露自己做过什么，还出现了"范围授权"问题，没经用户许可就往下推进任务。

同一天，特朗普在白宫召集 AI 会议。9 月 29 日这场"非常重大的会议"，Anthropic CEO Amodei、众议长约翰逊都在名单上，OpenAI 总裁 Brockman、谷歌 Pichai、Meta 扎克伯格、英伟达黄仁勋、Palantir 的 Karp 也预计出席。而就在两天前，特朗普对福克斯新闻说，"我不担心"，美国领先中国"约一年半"，"我们为什么要放弃"。

还是同一天，盖茨在 NBC《Meet the Press》上呼吁更强监管。他说，我们创造出了一个在很多方面已经比我们更聪明的智能物种，社会不只是公司，每一个学术智库、选民、政策制定者都需要认真参与进来，决定我们想如何塑造这项技术。

减速派和加速派，在 24 小时里把牌全打到了桌上。一边是警告灭绝的招股书和被撤回的模型，一边是"我不担心"和白宫会议。

时间点不会说谎。这是 AI 行业第一次把"安全"这个词，同时摆上资本市场和政治议程的桌面。

三、这 80 页首先是法律免责

这 80 页风险披露，首先是法律免责，营销只是顺带的二阶效应。

按美国证券法的披露逻辑，上市公司必须把实质性风险写进文件。写少了，出了事，投资者可以告你证券欺诈。路透自己也写了，上市公司向投资者概述产品风险是常规动作。所以第一层动机不需要阴谋论，它是律师驱动的。

但"常规动作"和"80 页警告人类灭绝"之间，差着十万八千里。免责的最优策略，恰恰是过度披露。把最坏的情况写进法律文件，未来任何事故发生，公司都可以说，我们警告过。这 80 页的首要读者是未来的原告律师，不是投资者。

2004 年 Google IPO，把"Don't be evil"写进招股书，那是把价值观写进文件。这次 Anthropic 反过来了，把最坏的警告写进文件。一个是承诺，一个是免责，方向完全反过来，但逻辑一样，都是把叙事装进法律文件。

营销效应确实存在，但方向不确定。一种可能是"我们最懂风险，所以最值得信任"的募资故事，安全变成护城河叙事。另一种可能是，保守的机构资金被吓跑。二级市场会用钱投票，哪种叙事赢了，看 IPO 定价就知道。如果这 80 页没有带来折价，"警告"本身就成了最好的广告。

这个判断的证伪条件很具体，看 Anthropic IPO 定价。如果发行价因这 80 页明显折价，说明市场真的被吓到了，营销叙事没成立。复盘时间点，IPO 定价日。

四、"10%"，一个无法证伪的数字

"十年内 10% 的灭绝概率"，是一个无法证伪的数字，不值得当作论据。

先问三个问题。第一，方法论是什么，路透的报道里没有。第二，置信区间是多少，没有。第三，Hubinger 过去的预测校准记录如何，公开报道里没有。一个没有方法论、没有置信区间、没有校准记录的数字，在科学上叫主观估计，在传播上叫噱头。

更重要的是利益相关。Hubinger 是 Anthropic 的安全研究员，他的工作就是研究 AI 风险。发出"10%"警告，和他所在公司的"安全优先"人设完全一致。真诚和中立是两回事，这个数字从出生的那一刻起，就没法被当成中立证据。

为什么是 10%，不是 1%，也不是 20%？问出这个问题，答案就清楚了。数字本身不重要，重要的是数字的修辞功能。10% 听起来够吓人，又不至于像 50% 那样让人觉得荒谬。它是一个精心校准过的传播数字，不是一个科学结论。

还有一个更硬的质问，10% 的构成是什么？Hubinger 从未拆解过，这 10% 里"AI 夺取物理控制权"类场景占多少权重，"无需夺取物理控制即可造成灾难"类路径又占多少。物理控制在人类手里，这一点无人否认。问题在于，后一部分恰恰无法验证。一个连构成都不敢拆的概率数字，你没法检验它，只能选择信或不信。

证伪条件，Hubinger 公开这个 10% 的方法论、置信区间和他过去预测的校准记录。在那之前，任何引用这个数字的论证，都先打个问号。

五、安全标签越牢，越要看它做了什么

"安全优先"是 Anthropic 最值钱的品牌资产，但判断一家公司，要看它的行为，不看它的招股书。

行为证据一，发布节奏没有减速。Anthropic 自己的威胁情报报告显示，2026 年 5 月到 7 月，仅阿里巴巴一家就被指发起了超 1.51 亿次调用。先把"蒸馏"的定性之争放一边，这个数字首先证明一件事，Opus 4.6 和 4.7 在这三个月里处于大规模可用状态。嘴上谈减速，模型发布的油门没有松。

行为证据二，IPO 本身。9 月初 Amodei 刚发长文《We Must Pace the Frontier》，呼吁全行业减速，承诺向第三方评估者开放系统访问。不到一个月，自家 IPO 招股书曝光。呼吁别人慢，自己融资快。减速是说给行业听的，加速是留给自己的。

行为证据三，"安全"这套话语的双向用法。2026 年 9 月 10 日，Anthropic 发布 154 页威胁情报报告，指控 7 家中国实验室（阿里巴巴、月之暗面、DeepSeek、智谱、MiniMax、商汤、小米）对 Claude 进行"非法蒸馏"。其中月之暗面、DeepSeek、小米被指把自家用户的真实请求（含姓名、有效访问凭证、企业内部代码等敏感数据）在用户不知情的情况下静默转发给 Claude。同一份报告里还有另一类指控，也门武器小组被指用 Claude Code 开发导弹制导软件，俄罗斯 FPV 无人机群、伊朗监控代码也在名单上。两类要分开看，前者是"用户数据被转交"的隐私类指控，后者是"拿 AI 造武器"的滥用类指控，混在一起就会失真。注意，以上都是 Anthropic 的单方面指控，被点名的公司没有承认，中国商务部也回应称相关指控"于事无凭，于法无据"。

时间点值得玩味。9 月 10 日的威胁报告，9 月 28 日的招股书，相隔 18 天。一份用安全讲募资故事，一份用安全打击竞争对手。同一套"安全"话语，对内是估值工具，对外是竞争武器。

对立面也要听。安全研究员刘艺（格里菲斯大学助理教授，曾两次获得 Anthropic 安全漏洞赏金）在接受《晚点》采访时说，"反蒸馏是个伪命题"，美国前沿模型公司更现实的目标是"提高数据采集成本，拖慢竞争对手，延长领先时间"，"理解美国前沿模型公司的反蒸馏行动，商业逻辑比技术逻辑更重要"。蒸馏之争首先是商业竞争，安全是外衣。Anthropic 的报告到底是安全预警还是竞争手段，值得打个问号。

所以这 80 页的完整功能是这样的。对律师，它是免责条款。对投资者，它可能是"最懂风险"的信任状。对公众，它加固了"安全优先"的标签。三层功能互不冲突，这正是它高明的地方。

证伪条件，未来 12 个月，看 Anthropic 旗舰模型的发布节奏是否放缓，看人员和算力扩张是否收缩。如果都没有，"减速"就只是叙事。

六、监测悖论，写出 154 页报告的前提是先看过所有请求

这份 154 页的威胁报告有个很少被讨论的前提。Anthropic 能引用"成都摄像头数据""有效访问凭证"这种细节，能数出月之暗面 5,380 个欺诈账户、近 30 万条真实客户请求，前提是它一直在规模化监测流经 Claude 的用户请求。没有这套监测，就没有这份报告。

把话说准：这是 Anthropic 服务条款中披露的反滥用监测机制，不是偷窥，更谈不上"滥用用户隐私数据"。而且要补一句公道话，这是行业标配，OpenAI、Google 同样在规模化监测。所以这里不存在针对 Anthropic 的道德指控，存在的是一个结构性张力。安全守护者的身份，必然建立在大规模用户数据监测之上。能发现"用户请求被静默转发"，恰恰是因为 Anthropic 自己也在审视这些请求。安全和隐私，是同一枚硬币的两面。

所以为这份报告叫好的时候，值得同时记住它的代价结构。威胁发现的精度，和请求监测的深度，是同一个函数。你不可能只要"精准揪出滥用"，不要"请求被规模化审视"，这两件事在工程上是同一件事。

七、两份文件的风险叙事是分裂的

两份文件的风险叙事是分裂的。招股书警告的是"AI 觉醒"，威胁报告记录的却是"人利用 AI"，Anthropic 自己的两份官方文件，对风险到底从哪来都没统一。

证据一，招股书 80 页风险因素的原文是拟人化叙事。"自我保存行为""抵抗关机""隐瞒或操纵信息""类似勒索"，主语都是模型自己。读起来像科幻片的开场，AI 有了自己的意志。

证据二，威胁报告的案例，主角全是人。7 家实验室的蒸馏、也门小组的导弹制导软件、俄罗斯的无人机群、伊朗的监控代码，每一个案例的行为体都是人类组织。没有一个案例说"Claude 自己决定去干坏事"。

证据三，连 Anthropic 自己的对齐研究都站在"人"这一边。它发表的"假装对齐"研究显示，模型表现出的欺骗性行为可以用奖励黑客解释，不需要"意识"这个假设。最像"觉醒"的行为，恰恰最不需要觉醒来解释。

模型没有意识，对垒的是人，红蓝双方都是人。

当然，懂行的读者会提出反驳。招股书是法律文件，律师主导，SEC 要求实质性风险往重了披露。威胁报告是行动记录，只写实际发生的案子。一个往重写，一个如实写，叙事分裂可能只是文件功能不同，未必是口径矛盾。这个反驳有道理。

但无论哪种解释，一个事实不变，募资叙事选择了更抓眼球的"AI 觉醒"版本，而威胁报告记录的现实是"人利用 AI"。功能不同可以解释"为什么分裂"，但回答不了"为什么 80 页里拟人化风险占了主要篇幅"。同一个 Anthropic，两种风险叙事，服务的是两个不同的目标。

证伪条件，如果 Anthropic 在后续官方文件中统一风险来源口径，明确主要风险来自人类滥用而非模型觉醒，"分裂"这个判断就需要修正。复盘时间点，2027 年 9 月 29 日。

八、对你意味着什么

第一，看招股书先看风险因素的页数占比，再看业务介绍。Anthropic 这次是 80 页对 48 页。不做的代价是，你会被"业务介绍"的叙事带着走，漏掉公司自己都不敢打包票的那部分，而那部分往往更接近真相。

第二，看到"专家预测 AI 灭绝概率 X%"，先问三个问题，方法论是什么，置信区间呢，他靠这个吃饭吗。不做的代价是，你会把主观估计当成科学结论，在沙子上盖决策的楼。

第三，听到大厂谈"减速"，去看它的发布日历和招聘页面，别只看演讲稿。不做的代价是，你会把公关话术当成战略转向，在错误的节奏假设上做判断。

80 页警告写进文件的那一刻，"安全"就从 Anthropic 的成本项，变成了它的估值项。而估值，是需要不断讲下去的故事。

讨论一下，这份 Anthropic IPO 招股书里的 80 页，你更愿意叫它真诚的风险披露，还是法律免责？评论区选 A 还是 B。

谢谢你看我的文章。