AI安全警告的狼来了效应：为何公众不再相信"危险"

当"危险"成为营销话术

最近，一条Reddit上的热门讨论引发了广泛共鸣。发帖者尖锐地指出：绝大多数人已经不再把"这个新模型很危险"的警告当回事，因为AI行业"喊狼来了"的次数实在太多了。这位用户甚至用了一个极端的比喻——"哪怕他们宣布由AI引发的核战争将在24小时内爆发，很多人也不会眨一下眼睛"。

这句话看似夸张，却精准戳中了当前AI行业面临的一个深层问题：安全警告的通货膨胀。这一概念借用了经济学中的"通货膨胀"隐喻，指的是当某类信号被过度释放时，其单位价值会持续下降。在传播学中，这与"警报疲劳"（alarm fatigue）现象高度一致——医疗领域早已证实，当ICU监护仪频繁发出误报时，护士对真正危急警报的响应时间会显著延长。事实上，2012年发表在《新英格兰医学杂志》上的研究显示，ICU中超过85%的警报为误报或临床无意义警报，导致医护人员对警报系统产生系统性脱敏。这一现象后来被推广到网络安全领域（威胁警报过载导致安全分析师忽略真实入侵信号）、气象预警领域（频繁的飓风预警导致沿海居民拒绝撤离）等多个场景。

在AI行业，这种脱敏效应更为复杂，因为公众既缺乏评估AI风险的专业知识，又无法独立验证厂商声明的真实性，只能依赖重复暴露后的直觉判断来分配有限的注意力。AI安全领域正在经历类似的信号贬值过程：当每一次新模型发布都伴随着"过于强大"、"过于危险"、"我们自己都感到害怕"的表态时，这些警告的边际效应正在快速衰减，每一次缺乏实质内容的"危险"宣称，都在消耗公众有限的注意力资源和信任储备，最终沦为营销噪音。

"狼来了"效应是如何形成的

反复出现的危险叙事

回顾过去几年AI大模型的发布节奏，仔细看就知道一个规律：几乎每一个重量级模型上线前后，都会有类似的"安全恐吓"话术出现。从GPT系列到各家竞品，"这个模型太强大了，我们不得不谨慎发布"几乎成了标准剧本。这种模式最早可以追溯到2020年GPT-3发布时OpenAI选择通过API限制访问并声称模型"太危险而不能完全开放"，此后每一代模型发布都延续并强化了这一叙事框架。

问题在于，当这些被描述为"危险到需要限制发布"的模型真正落地后，普通用户体验到的往往是一个更强、但远谈不上"末日级别"的工具。预期与现实之间的巨大落差，一次次消耗着公众的信任储备。心理学中的"预期违背理论"（Expectancy Violation Theory）解释了这一机制：当信息源反复设定高预期但交付低验证时，受众会逐步下调对该信息源所有后续声明的可信度评估，且这种信任损耗具有累积性和不可逆性。

营销动机的嫌疑

更让公众警惕的是，"危险"本身已经成为一种极具吸引力的营销标签。一个"危险到需要被限制"的模型，天然带有稀缺感和先进感的暗示。在消费心理学中，这与"禁果效应"异曲同工——被限制的事物反而获得更高的感知价值。当安全警告与产品发布节奏高度绑定时，人们很难不怀疑：这究竟是出于真正的责任感，还是一种精心设计的"炒作型安全"（safety-washing）？

Safety-washing这一概念是对"greenwashing"（漂绿）一词的仿造。漂绿指企业通过夸大或虚构环保举措来塑造绿色形象，而safety-washing则指AI公司通过过度强调安全投入和风险意识来获取公众信任与监管宽容，实际上这些表态可能更多服务于品牌塑造而非真正的风险缓解。值得注意的是，"washing"类概念已形成一个完整谱系：除greenwashing外，还有"ethics-washing"（伦理漂洗，指科技公司设立伦理委员会但不赋予其实际否决权，如Google在2019年解散其AI伦理外部顾问委员会仅一周后的事件）、"open-washing"（开放漂洗，指以"开源"名义发布实际受限、不可完全复现的模型）。2024年，多位AI伦理研究者通过对比公司安全团队的实际规模和预算与其公开宣传发现显著不匹配，安全报告中的测试范围也远小于其暗示的覆盖面。这种现象的制度根源在于：目前缺乏统一的AI安全披露标准，厂商可以选择性地公开有利信息，而无需遵循类似财务审计那样的强制性全面披露规则。

这种策略的危险之处在于，它利用了公众对负责任创新的期待，却将安全叙事工具化为竞争优势。这种怀疑一旦形成，就会陷入恶性循环——越是强调危险，越被视为营销，警告的可信度就越低。

真正的AI风险被淹没了吗

信任麻木的代价

"狼来了"寓言最残酷的地方在于结局：当狼真正来临时，没有人再相信呼救。AI安全领域也面临同样的隐患。如果整个行业持续透支公众对"危险"一词的敏感度，那么当某个真正具有系统性风险的能力出现时，社会可能已经失去了应有的警觉性和响应能力。

这并非杞人忧天。随着AI能力向自主决策、代码执行、多模态操控等方向快速演进，某些风险场景正在从科幻走向现实边缘：

• 自动化网络攻击与漏洞利用：随着大语言模型在代码理解和生成方面的能力提升，安全研究人员已经证实AI可以辅助发现软件漏洞、自动编写exploit代码、甚至进行多步骤的渗透测试。当前研究表明，前沿模型的网络攻击辅助能力主要体现在三个层面：一是漏洞发现——通过分析源代码或二进制文件，识别缓冲区溢出、SQL注入、跨站脚本等常见漏洞模式，其效率在某些场景下已超过传统静态分析工具；二是利用代码生成——将已知漏洞转化为可执行的攻击载荷（payload），包括绕过地址空间布局随机化（ASLR）等现代防御机制的技巧；三是攻击链编排——将多个单独看来低危的漏洞组合成高危攻击路径，这种"漏洞链"构建能力此前被认为需要高水平攻击者的创造性思维。2024年多项研究表明，前沿模型在CTF（Capture The Flag）网络安全竞赛中的表现已接近中级人类选手水平。DARPA在2024年举办的AIxCC竞赛中，AI系统首次在自动化漏洞发现和修补方面展示了接近专业团队的能力，这同时意味着攻防两端都在被AI加速。更令人担忧的是，这种能力的门槛降低意味着原本需要高水平技术人员才能发起的攻击，可能被"民主化"到更广泛的恶意行为者手中——一个缺乏深厚安全知识的攻击者，借助AI工具可能达到此前需要数年专业训练才能具备的攻击能力。

• 大规模深度伪造与虚假信息生成：深度伪造（Deepfake）技术已从早期需要大量训练数据和计算资源的高门槛阶段，降低到仅需几秒钟音频或一张照片即可生成逼真伪造内容的程度。这一技术进步的核心驱动力包括扩散模型（Diffusion Models）的成熟、零样本/少样本语音克隆技术的突破、以及实时换脸算法在消费级硬件上的可用性。结合大语言模型的文本生成能力，攻击者现在可以实现"全链路"虚假信息工厂——从撰写虚假叙事、生成配套图片视频、到自动化大规模传播，整个流程可以在几乎无人工干预的情况下运行。这对选举安全、金融市场稳定和社会信任构成了系统性威胁，且检测技术的发展始终滞后于生成技术。目前主流的检测方法（如基于频谱分析的被动检测和基于数字水印的主动标记）都面临对抗性绕过的挑战，形成了一场生成者与检测者之间不对称的军备竞赛。

• 关键基础设施的AI渗透风险：电网、供水系统、交通网络等关键基础设施越来越多地采用联网控制系统（如SCADA和工业控制系统ICS），而AI工具可能被用于识别这些系统中的薄弱环节并发起精准攻击。历史上，Stuxnet蠕虫对伊朗核设施的攻击已经证明了针对工业控制系统的网络攻击可以造成物理世界的破坏，而AI的介入可能使此类攻击的侦察、规划和执行阶段都大幅提速。

而此时，公众的"免疫反应"却可能因为过度曝光而严重失效。社会心理学中的"习惯化"（habituation）理论表明，对重复刺激的响应减弱是人类神经系统的基本特征，而在信息环境中，这意味着经历了无数次"虚假警报"的公众，在面对真实威胁时的动员门槛已被人为抬高。

如何分辨真警告与假警告

对于普通用户和从业者而言，关键在于建立一套辨别机制。真正值得重视的AI安全警告，通常具备以下特征：

• 具体而非笼统：明确指出风险场景、触发条件和潜在影响，而非模糊的"很危险"。例如，一份有效的安全报告会说明"该模型在无监督条件下可以在X分钟内完成Y任务，成功率为Z%"，而非仅仅声称"能力令人担忧"。
• 有第三方佐证：由独立研究机构、红队测试或学术界验证，而非仅由厂商单方面宣称。红队测试（Red Teaming）源自军事和网络安全领域，指由一组专业人员模拟对手视角，主动寻找系统的弱点和漏洞。在AI安全语境中，红队测试指让安全研究人员系统性地尝试突破模型的安全护栏，诱导其产生有害输出、泄露训练数据或执行非预期行为。具体方法包括：对抗性提示工程（crafting adversarial prompts）、多轮对话中的渐进式引导（progressive jailbreaking）、以及通过模型API的系统性能力探测。OpenAI、Anthropic、Google等公司在模型发布前都会进行内部红队测试，但争议在于这些测试的范围、深度和结果是否得到充分公开——内部红队可能存在"确认偏差"，倾向于验证模型已知的安全特性而非发现未知的脆弱面。独立第三方红队测试被认为是更可信的安全验证方式，因为外部测试者没有动机维护模型的正面形象。
• 配套缓解措施：警告的同时给出防护方案，而不是只制造恐慌。负责任的安全披露应遵循"协调漏洞披露"（Coordinated Vulnerability Disclosure）原则——在公开风险的同时提供缓解建议，给利益相关方足够的时间来部署防护措施。
• 与商业发布脱钩：不与产品上线时间点高度绑定，减少营销嫌疑。理想情况下，安全评估报告应在产品发布后由独立机构按自身时间表发布，而非作为产品发布会的"暖场内容"。

当一条警告同时满足这些条件时，它更可能是真实的风险提示，而非又一次"狼来了"。

重建AI安全信任的责任在谁

厂商需要克制表达

信任危机的根源，很大程度上在于AI厂商对"危险"叙事的滥用。要修复这一问题，行业需要重新审视自己的沟通方式：把"危险"留给真正危险的场景，用透明的评估数据和独立审计替代情绪化的表态。当一家公司愿意公开模型的能力边界和风险评估细节——包括模型在哪些任务上失败、安全护栏在哪些场景下可被绕过、以及内部评估中发现了哪些未能完全解决的风险时，它的警告才会重新获得分量。这种透明度需要具体到可验证的程度：公开基准测试的完整方法论、提供可复现的评估脚本、以及明确说明测试覆盖的边界和盲区。

建立独立的第三方评估机制

从更宏观的角度看，AI安全评估不应完全掌握在利益相关方手中。类似药品临床试验或食品安全检测的第三方评估体系，或许是打破"厂商自说自话"困境的方向。在制药行业，FDA等监管机构要求药品必须通过独立的三期临床试验才能上市，且试验数据须对外公开接受同行审议。这一体系的建立经历了数十年的立法博弈和多次公共卫生危机的推动（如1960年代沙利度胺事件直接催生了现代药品审批制度），AI领域可能需要经历类似的制度化过程。

目前AI领域的类似努力包括：NIST（美国国家标准与技术研究院）的AI风险管理框架（AI RMF），提供了风险识别、评估和缓解的结构化方法论；英国AI安全研究所（AISI）的模型评估工作，已对多个前沿模型进行了独立的能力和安全测试；METR（Model Evaluation and Threat Research）等独立机构的前沿模型能力评估，专注于评估模型的自主行动和潜在危险能力；以及Epoch AI对计算资源和模型规模趋势的系统追踪。在国际层面，2024年韩国AI安全峰会推动了多国关于前沿AI模型发布前评估的共识声明，欧盟《AI法案》正式生效并要求高风险AI系统在部署前进行第三方合规评估，中国的《生成式人工智能服务管理暂行办法》要求大模型上线前进行安全评估备案。

然而，这些机制尚未形成具有法律约束力的强制性审查流程，更多依赖厂商的自愿配合，这是当前AI治理体系的核心缺口。此外，这些评估努力还面临几个深层挑战：评估标准的滞后性——模型能力演进速度远快于标准制定速度，等标准落地时技术可能已迭代数代；评估方法的有效性——静态基准测试能否捕捉"涌现能力"（emergent capabilities）带来的不可预见风险；以及政治意愿的持续性——在经济竞争压力下，各国是否愿意为安全评估承担可能延缓创新速度的代价。只有当危险与否由独立、专业、透明的机构来判定，并形成制度化的强制评估流程时，公众才有理由重新相信这些警告。

结语：警惕警告机制本身的失效

这条Reddit帖子的价值，不在于它的极端比喻，而在于它揭示了一个被忽视的元问题——当警告机制本身失效时，我们将失去应对真正风险的能力。这是一个典型的"二阶问题"：我们不仅需要关注AI本身的风险，还需要关注我们用来感知和响应这些风险的社会机制是否正常运转。

AI行业正站在一个微妙的十字路口：一边是真实存在、不容忽视的技术风险，一边是被反复透支、日益贬值的"危险"话术。如何在两者之间重建理性、可信的沟通桥梁，可能是比开发更强模型更为紧迫的课题。这要求AI公司展现真正的克制——不是不谈风险，而是以可验证、可问责的方式谈论风险；要求监管机构加速建设独立评估能力；也要求公众发展出更精细的信息素养，学会区分信号与噪音。毕竟，当所有人都对"狼来了"充耳不闻时，最脆弱的恰恰是我们自己。