《2026 年国际人工智能安全报告》由 Yoshua Bengio 主席领导、逾百名专家共同撰写，并获得 30 多个国家和国际组织支持。它是一份科学证据综述，不为任何特定监管方案背书。
报告最有用的贡献不是给风险排出一个总分，而是说明哪里已有现实证据、哪里仍依赖实验或建模，以及为何单一测试或单层防护不足以管理快速变化的通用型 AI。
核心框架
报告将风险证据、能力不确定性与风险管理放在同一框架中。风险类别之间会相互作用，证据强度也不同，因此不能用一个统一分数替代逐场景判断。
| 类别 | 主要问题 | 证据读取方式 |
|---|---|---|
| 恶意使用 | 诈骗、操纵、网络攻击以及生物化学信息滥用 | 部分危害已有记录，但发生率、严重程度和攻防净效应仍有缺口 |
| 故障 | 幻觉、缺陷代码、误导建议、智能体长流程失控和部署环境偏差 | 基准表现不能稳定预测现实可靠性 |
| 系统性风险 | 劳动力、自主性、信息生态和关键系统依赖受到广泛影响 | 长期和因果证据较少，需要持续监测而非一次性结论 |
| 共同管理难点 | 能力突现、模型机理不透明、信息不对称和制度协调 | 需要威胁建模、评测、事件报告和多层防护组合 |
证据困境
通用型 AI 的能力进步速度快于现实影响证据的积累速度。过早固化干预可能锁定无效做法，等待完全确定又可能让严重风险失去准备窗口。
报告的处理方式是区分已记录危害、受控实验、模型推演和理论可能性，并明确证据空白。这个分层比把所有风险都写成确定事实更有用。
能力提升并不均衡
推理时扩展等方法推动了数学、软件工程和科学任务表现，但领先系统仍会在物体计数、物理空间推理和长工作流纠错等任务上失败。
这种参差性意味着高难任务的突破不能直接证明系统适合医疗、关键基础设施或自主智能体等高风险部署。真实环境、权限范围和人工接管条件必须单独评估。
三类风险需要不同证据
恶意使用关注行为主体如何利用系统；故障关注系统没有按预期工作；系统性风险关注广泛采用后对就业、信息环境和人类自主性的累积影响。三者的时间尺度和干预点不同。
报告明确指出当前系统尚不具备造成失控情景所需的能力，同时也记录了自主性、评测识别和规避监督等相关能力的进展。把当前状态与未来条件分开，是避免夸大或淡化风险的关键。
评测缺口限制了部署前判断
常见评测可能过时、受到数据污染，或只覆盖单项技能。部署前得分因此不能可靠预测现实效用和风险，尤其是会调用工具、访问外部内容并持续行动的智能体。
更稳健的做法是组合能力测试、威胁建模、红队、运行时限制、人工接管、事件记录和部署后监测，并保留对评测本身失效的检测。
纵深防御，而非单一安全开关
任何单项防护都可能被绕过、误配或在新场景中失效。报告因此强调在模型、系统和生态层面叠加多重措施，让一层失败时其它层仍能限制后果。
纵深防御也不是“已经安全”的证明。开放权重模型发布后难以撤回，闭源系统则存在信息不对称；两者都需要与其分发方式和威胁模型相匹配的治理。
方法论
本文依据报告执行摘要、能力、风险和风险管理章节进行原创归纳，并与官方发布页交叉核验出版状态、作者范围和许可。
官方报告综合截至 2025 年 12 月前发布的科学、技术和社会经济证据；不同风险的证据强度并不相同。
本文保留报告对不确定性、评测缺口和证据缺口的限定，不把情景分析写成已发生事实。
官方出版物原则上采用 Open Government Licence v3.0，但第三方材料可能另有权利；本文不复制图表或第三方内容。