利用 Assurance Technologies 避免人工智能军备竞赛

随着人工智能的变革潜力和国家安全意义日益增强，各国发展人工智能能力以超越对手的动力也日益增强。美国和中国政府领导人都表示，他们认为两国正在进行一场军备竞赛，以利用强大的人工智能带来的经济和战略优势。

然而，随着人工智能带来的好处层出不穷，其风险也随之而来。在《科学》杂志2024年的一篇文章中，来自学术界和工业界的众多专家对先进人工智能可能很快带来的严重威胁发出了警告——例如人工智能滥用或失控事件，从而导致大规模网络、核或生物灾难。

由于这些风险不受地域限制，降低风险符合所有人的利益，因此多国科学家呼吁国际社会共同努力规范人工智能。然而，只有所有参与方（包括竞争对手）都能确保其对手方履行承诺，国际人工智能发展协议才能取得成功。

在最近的一次采访中，副总裁 JD Vance 被问及，如果风险变得无法容忍，美国是否会考虑暂停前沿人工智能开发：“对此的诚实回答是，我不知道，因为这场军备竞赛的一部分是，如果我们暂停，中华人民共和国是否不会暂停？”

万斯的言论反映了国际外交史上一个长期存在的问题：保证困境。即使我们与对手达成了互利协议，我们又如何知道他们会信守承诺呢？尽管美国和中国政府都渴望利用人工智能带来的好处，但他们都承认人工智能可能带来的风险。如果这些风险随着能力的增长而变得更加突出，保证困境可能会成为阻碍缓和人工智能竞赛的主要因素。

这个问题很难解决，但并非无法解决。我们相信，创新的技术方法可以帮助解决人工智能的保障困境。这些工具将帮助我们验证对手是否履行了未来交易的承诺，从而确保人工智能开发的安全。

人工智能的保障机制

保证困境可以通过保证机制得到解决： 允许各方验证是否遵守协议的流程。

保证机制通常围绕一项或多项对危险技术发展至关重要的关键要素展开。例如，核不扩散条约依赖于通过全球辐射传感器网络监测铀供应和浓缩设施，以及定期审计核设施的库存。

在人工智能的发展中，计算是最类似于铀的组成部分。许多专家认为，计算的几个独特属性——最显著的是它的可追溯性、可量化性以及通过高度集中的供应链生产——使其成为人工智能中最易于治理的元素。

那么，我们能否为人工智能设计一个保障机制，像核组织监测铀一样，监测全球计算供应？并非如此。人工智能与核技术之间存在着重要的差异。例如，《不扩散核武器条约》（NPT）的遵守情况部分是通过现场检查来验证的，现场检查监测核设施中储存的铀浓缩水平。这些检查可以检测核燃料是用于民用目的（能源生产）还是被禁止的军事目的（武器研发）——后者所需的铀浓缩水平要高得多。

然而，在人工智能案例中，检查人员在访问人工智能数据中心时，很难区分用于允许目的和恶意目的的芯片——计算不会留下物理痕迹。

定期检查或审计等久经考验的验证方法的另一个问题是，人工智能技术可能会以不可预测的速度改进。

就核武器而言，可以通过计算一个国家的“突破时间”来设定检查频率：即他们需要多长时间才能生产出制造一枚核武器所需的武器级铀。虽然可以使用有关一个国家现有的铀库存和浓缩设施的信息来估算突破时间，但我们还没有成熟的科学来预测人工智能的进步。新的人工智能能力可能相对出乎意料地出现，而训练计算和性能之间的关系尚不清楚。这将使以适当的节奏安排审计或检查变得困难。即使没有不连续性，人工智能也在以惊人的速度进步，这将需要异常灵活的监管。

这些挑战不应该阻碍政策制定者。人工智能芯片是通用计算设备，这使得直接在人工智能硬件上实现复杂的验证机制成为可能。

硬件支持的机制

使用基于硬件的解决方案来确保安全性和合规性的想法并不新鲜。例如，苹果在每部 iPhone 中都包含一个名为“安全区域”的子系统。“安全区域”具有多种功能，例如安全地处理和存储生物特征数据或加密密钥，从而有助于防止用户运行未经授权或损坏的应用程序。

“硬件赋能机制”（HEM）这一术语涵盖了非常广泛的可能技术。一般而言，它们是集成到AI硬件堆栈中的安全系统，可以执行多种功能。一些类型的HEM已被提议作为政策解决方案。最近提出的《芯片安全法案》包含一项条款，要求美国制造的先进AI芯片配备位置验证机制，以防止芯片走私。兰德公司2024年的一份报告描述了另外两种类型的HEM：离线许可（要求芯片拥有专门的许可证才能运行）和 固定集（对GPU施加网络限制，以防止它们聚合到大型集群中）。

然而，这些方法仅仅触及了 HEM 技术所能实现的功能的表面。

先进的高密度模块（HEM）不仅可以验证芯片的位置，还可以验证芯片的使用方式。它们不仅可以检测，还可以防止违反多边协议的行为。

今年4月，本文作者之一Nora Ammann与其他合作者发表了由三部分组成的系列报告，提出了一种HEM的变体，我们称之为“灵活硬件支持保证”（flexHEG）。FlexHEG旨在确保遵守由多边决策过程产生的灵活规则。一个安全处理器在保持完全保密性的同时，监控进出芯片的信息，并阻止不合规的计算。

这些机制不再局限于有限的应用场景，而是可以重新编程，以支持广泛的验证机制。这种适应性至关重要，确保硬件即使在部署后也能无缝适应不断变化的政策需求、科学进步以及不可预见的未来人工智能用例。

如果我们可以大规模构建 flexHEG，它们可用于确保符合各种验证制度，从要求在开发超过特定计算阈值的模型之前运行某些安全测试，到限制训练运行的规模。

这听起来可能有点雄心勃勃——但我们相信从技术上讲这是可行的。

设计有效的HEMs保障机制

如果设计和实施得当，基于高能效管理 (HEM) 的保障机制可以为人工智能的安全带来巨大的益处。但该机制也需要避免一些严重的陷阱，包括监管过度和单边控制的可能性。FlexHEG 有潜力帮助规避这些挑战。

我们认为，有效的基于 HEM 的人工智能保障制度应具备以下特点：

先发制人

由于人工智能有可能造成灾难性的损害，使得任何事后对不合规行为的处罚都变得无效，因此有效的保证制度需要防止而不仅仅是阻止违反规则的行为。

flexHEG 设计包含一个安全处理器，用于监控进出芯片的指令。它还能阻止芯片执行不允许的指令，例如在训练过程中执行超出特定计算阈值的操作，或在成功通过所需评估之前继续训练。

主动安全系统可以确保利益相关者无法通过物理篡改绕过协议。这将建立在安全外壳的基础上，就像过去20多年来用于保护加密协处理器和其他芯片免受物理篡改的安全外壳一样，以及一种自禁用机制，如果检测到篡改企图，该机制将使芯片无法运行。

灵活的

随着人工智能的发展，我们对其风险的理解也随之加深。HEM 应该是可编程的，这样我们就能随着收集到更多关于哪些规则可能最有效的信息，更新芯片中编码的规则。

这是 flexHEG 设计的一个关键方面。授权方（或适当数量的授权方）将能够通过定期固件更新来更新编码规则。

FlexHEG 的可更新性使我们能够应对新的危险，集成新开发的安全措施，或启用之前被禁止但后来被我们确定为安全的操作。它也是确保风险缓解措施不会阻碍人工智能发展的关键。

隐私保护

要求芯片“打电话回家”提供有关芯片活动的验证信息的保证制度可能会被利益相关者所接受，因为他们不希望与第三方监管机构或对手共享有关其芯片运行的详细信息。

我们可以通过在AI硬件本身上本地检查或执行规则的HEM来避免这种情况。FlexHEG可以通过上述处理器实现这种现场保证，防止芯片被用于不合规的任务。

某些属性甚至可以在零知识证明中得到验证，也就是说：使用加密工具，一方可以证明关于人工智能系统的某个陈述是正确的——例如，它符合商定的安全标准——而无需透露有关该系统的任何其他信息。这有助于解决人们对验证技术会泄露具有战略意义的能力细节的担忧。目前，零知识证明在人工智能领域仍然需要大量的计算资源，因此，如果没有重大突破，其应用目前将仅限于相对狭窄的用例。

多边

一项基于 HEM 的多边人工智能开发协议可能包含一些规则，要求在进行任何更新之前，必须获得法定数量的授权方（例如，被任命为国际原子能机构（IAEA）类机构的代表）的批准。正如我们在flexHEG 报告中所讨论的那样，flexHEG 的设计应该完全开源，以便所有各方都能独立验证其功能是否符合声明，从而在这些机制中建立合理的信任。

最后，此类高能效模型 (HEM) 还可用于实施强有力且可信的利益共享协议。各国可以通过例如补贴已部署模型的使用权等方式，获得最先进的人工智能带来的回报，作为交换，各国自身不开发前沿模型。这将共同实现安全、不扩散和共同繁荣。

解锁新的政策选择

国际政治的核心在于达成交易。能够可靠地验证此类交易，将为一系列雄心勃勃的政策选择打开大门，从而促进国际安全。这些政策选择可能包括限制训练过程中使用的计算能力或数据量，要求对超过特定阈值的计算进行评估，或要求对导出的模型权重进行加密，以防止未经授权的使用。

关于哪些政策能够最有效地降低人工智能相关风险，仍然存在诸多争论。此外，关于哪些政策最有可能获得世界人工智能超级大国的支持，也存在着另一场争论。

但任何全球协议的成功都取决于能够确保共同签署方信任并核实其竞争对手是否遵守相同规则的技术。因此，任何“保证技术”的关键在于其能够通过稳健的流程或可验证的成果，创建无法伪造的合规证据。这些证据必须能够由多方独立审计和验证，从而避免任何单一利益相关者盲目相信他人的主张。

虽然我们相信 flexHEG 是缓解保证困境的技术挑战的可靠方法，但我们的目的不是规定特定的干预措施，而是倡导对保证技术进行投资，以便为政府在未来提供更广泛的选择。

为人工智能创建保障机制并非易事。这需要我们摒弃过去依赖的、久经考验的验证方法。但我们坚信，人工智能带来的稳健验证机遇远大于挑战。我们可以利用人工智能的技术复杂性，创建具有前瞻性、敏捷性且可独立审计的验证系统，持续实时监控人工智能行为。

关于全球人工智能监管的讨论常常会让人做出错误的选择：要么是“天真”的未来愿景，即对手们搁置分歧，共同守护世界，远离危险；要么是热衷于现实政治，这将导致一场不可避免的、不受约束的、朝着更强大系统的竞赛。但围绕人工智能安全发展的协调并非必须依赖盲目的信任——如果我们能够成功地为人工智能建立安全保障机制，即使在地缘政治高度紧张的时期，我们也能避免局势升级。