第三方 AI 评测的可信度，不能只靠评测机构的名气。真正决定结论强度的是三份可执行合同：谁能影响评测、评测者能看到什么、结果能否按原意公开。本文结合 OpenAI 与 Anthropic 在 2026 年公布的机制，给出一套可以直接检查的评测协议。
阅读时间： 7 分钟 | 字数： 约 2400 字
TL;DR
- 独立性是一套利益冲突控制机制，不是组织名称。
- 访问范围决定结论上限。输入受限，结论也必须收窄。
- 披露权决定公众看到的是评测结果，还是企业批准后的摘要。
- 可信评测应保留范围、删节、异议、整改和版本变化的完整审计链。
第三方不自动等于独立
一家模型公司可以聘请外部机构，只开放一个受限接口，逐句审批最终报告，然后仍然把结果称为第三方评测。第三方只能说明执行者来自组织外部，无法说明谁控制了问题、证据和发布。
OpenAI 在 2026 年 9 月提出了一组原则，包括预注册评测主张、比例适当的访问、利益冲突披露、方法透明、编辑独立和明确的删节政策。Anthropic 在 10 月给出了更具体的实现：6 名 METR 员工获得了接近其内部风险评测团队的硬件、办公空间和系统访问，同时客户数据、律师保密信息和部分模型架构仍被排除。
这些材料属于企业公开声明，还不是机制有效性的独立证明。它们的价值在于把可审计条款暴露了出来。
合同一：独立性要控制激励
独立性并非有或无的二元状态。评测机构可以在法律上独立，同时在收入、系统访问或后续合同上高度依赖被评企业。
一份有效的独立性合同至少要披露：
| 控制项 | 应公开的证据 |
|---|---|
| 资金与报酬 | 付款方、合同类型、报酬是否与结论或交付挂钩 |
| 财务利益 | 股权、投资、资助和重大商业关系 |
| 既往参与 | 评测者是否参与过被评系统或安全措施的建设 |
| 回避机制 | 哪些冲突会触发人员退出或工作流隔离 |
| 续约压力 | 被评企业是否控制下一次访问和合同续签 |
| 方法控制 | 谁决定问题、方法、停止条件和严重性等级 |
Anthropic 明确提出，独立评测者不应持有被评公司的股权，也不应在财务或运营上依赖它。OpenAI 同样要求披露组织和个人冲突，并隔离商业压力。
只有当这些原则形成冲突登记表和回避记录时，独立性才从声明变成证据。
合同二：访问权决定结论上限
黑盒 API 可以测试外部行为，却无法验证内部监控覆盖率、训练控制、事故处理过程，或者某个部署路径是否关闭了安全措施。
Anthropic 把评测访问分成三层。第一层执行窄范围调查，由 Anthropic 决定开放内容，报告发布需要批准。第二层可以自主发布，信息范围更大，但特定内容仍可被要求删除。第三层增加员工级访问，当前 METR 合作属于这一层。
层级名称仍然不够。每份报告都应附一份版本化访问清单：
- 可访问的系统、模型版本、日志、文档和检查点；
- 被排除的数据与环境，以及排除理由；
- 样本由谁选择；
- 测试运行在评测方还是企业控制的基础设施中；
- 模型、策略或安全措施变化后，结果能否复现。
随后，每个结论都要绑定这份清单。架构资料未开放时，可以评价观察到的安全措施，不能暗示完成了全架构审计。客户数据不可用时，事故调查也要明确这一盲区。
合同三：披露权要保护结论
深度访问缺少发布自由，只能形成企业内部学习。发布自由缺少安全约束，则可能泄露客户信息、攻击方法或商业机密。披露合同需要同时处理两类风险，并避免任何一方拥有不可见的结论否决权。
Anthropic 表示，它不能否决 METR 发布报告，但可以要求删去狭窄且预先定义的敏感类别。METR 可以公开说明发生了删节，并评价删节是否合理，只要不泄露被删内容。OpenAI 提出的框架也包含类似结构：评测者保持编辑独立，企业可以按既定规则请求删节和合理整改期，实质性删节应当可见。
披露合同至少应回答六个问题：
- 谁可以延迟发布，最长多久；
- 哪些类别允许删节；
- 评测者能否披露删节存在及其对结论的影响；
- 事实修正与解释分歧如何区分；
- 企业能否发布不同意见；
- 整改或模型变化后，何时必须更新报告。
保护具体敏感信息的权利，与控制结论的权利是两回事。前者可以和独立性兼容，后者会直接削弱独立性。
一套最小评测协议
三份合同可以串成一条证据链：
| 阶段 | 必备工件 | 失败信号 |
|---|---|---|
| 委托 | 冲突登记表与资金条款 | 依赖关系没有披露 |
| 定界 | 预注册主张与范围外问题处理机制 | 不方便的问题被静默移除 |
| 访问 | 版本化访问清单 | 报告暗示看过实际未获得的证据 |
| 执行 | 方法、测试日志、不确定性和失败运行 | 只有有利结果被保留 |
| 异议 | 事实修正与解释分歧记录 | 企业审阅演化为编辑控制 |
| 发布 | 删节账本与发布权条款 | 结论必须获得企业批准 |
| 整改 | 责任人、期限、复测和剩余风险 | 承诺修复被当成问题关闭 |
| 变更 | 模型与安全措施版本绑定 | 旧结论被包装成当前保证 |
这套协议也提醒我们，深度访问本身不会解决所有问题。它能增强证据，也会增加评测者的安全义务、依赖关系和文化同化风险。独立性需要持续维护，而不是入场时一次性授予。
当前公告究竟证明了什么
OpenAI 与 Anthropic 的材料显示，前沿模型公司正在靠近几项共同机制：按主张确定评测范围、更深的评测访问、利益冲突控制、发布权和结构化删节。Anthropic 与 METR 的合作进一步公开了人员数量、访问方式、排除类别和否决边界。
这些材料尚未证明机制能够稳定发现严重问题、抵御商业压力或改变部署决策。后续需要看到真实报告、删节记录、整改结果和重复评测。
可以用五级证据梯度约束结论：
- 企业宣布一套治理机制；
- 合同和访问条款可以被检查；
- 评测者发布带明确边界的结果；
- 结果得到独立复核或复现；
- 整改或部署决策可以追溯到评测发现。
结论强度应停在已经完成的最高一级。
常见问题
什么才算独立 AI 评测？
法律主体独立只是起点。完整的操作独立还需要资金披露、冲突控制、方法主导权、足以支撑结论的访问，以及按原意发布结论的自由。
评测者嵌入模型公司后还能保持独立吗？
可以，但深度嵌入会同时放大访问收益和依赖风险。回避、续约、信息安全和发布条款因此更重要。
企业可以要求删节报告吗？
客户数据、可利用攻击细节、律师保密信息和合理的知识产权可以设置窄范围删节。类别应预先定义，评测者还应能说明发生了实质性删节，以及它如何影响结论信心。
黑盒测试够不够？
它足以支撑部分行为结论。涉及训练控制、内部部署、监控覆盖和事故响应的结论，需要对应层级的内部证据。
评测漏掉风险时谁负责？
模型公司仍对开发和部署负责。评测机构对方法准确和结论边界负责。治理机构则要决定当前证据是否足以支持训练、部署或整改决策。
下一步
下次看到独立 AI 安全报告时，先找三个附件：冲突登记表、访问清单和删节账本。少任何一份，报告仍可能有信息价值，但它的保证边界是不完整的。