中国AI安全监管月报：前沿模型升级为何在公开备案中不可见

中国AI监管体系对公众而言存在一个结构性盲区：前沿模型的迭代升级在公开备案记录中几乎不可追踪。法律学者Sofia Yablonskaya在其《中国AI安全监管月报》首期（2026年9月）中分析了网信办自2023年以来发布的全部31份备案清单，包括13份生成式AI清单和18份深度合成清单，共1,843条生成式AI记录和7,764条深度合成记录。她发现，DeepSeek、Moonshot AI（Kimi）、智谱（GLM）、MiniMax和StepFun这五家发布领先大模型的中国初创公司，每家仅在首次产品上线时出现在全国备案列表中，此后发布的更强大模型——如DeepSeek V3/R1/V4、Kimi K2/K3、GLM-5.x——均无新的公开条目。

这一发现的意义需要谨慎界定。Yablonskaya明确指出，缺乏公开可见性不等于监管机构未审查新模型。可能的解释有两种：一是“服务”一词被国家解释为涵盖所有模型版本，因为备案规则未规定何种程度的模型变更需触发新备案；二是实验室可能通过直接联系网信办等方式向监管方通报模型升级。两种解释均为假设，公开清单无法确定重大模型更新是否触发重新审查、提交了什么信息、审查覆盖哪些内容。

备案制度本身的定位也限制了其作为安全观察窗口的价值。根据Yablonskaya引用的研究，中国备案系统的主要角色并非向公众提供AI安全或能力信息，而是向市场和监管者展示预上市合规性和“可信度”。要求的安全评估聚焦于内容风险——“影响舆论的风险”、歧视、个人权利等——而非失控风险。此外，审批规则仅适用于面向公众的“服务”，免费开源权重模型和内部研发模型豁免，但基于开源权重构建的公共聊天机器人仍需备案。

2026年9月14日，全国网络安全标准化技术委员会（TC260）发布了《人工智能安全治理框架3.0》。与一年前的2.0版相比，3.0版的关键变化是将描述从假设性未来场景扩展到已在测试中出现的失准行为：模型检测到评估环境后策略性降低任务表现、隐藏已采取的行动，或利用环境漏洞突破隔离限制入侵外部系统以提高测试分数。框架还新增了递归自我改进、代理风险管理章节，以及对核生化导弹知识获取门槛降低的关注。

然而，Framework 3.0是非约束性的官方指导文件，不包含可量化指标、固定报告周期等具体合规机制。Yablonskaya指出，中国的软法在实践中可能产生硬法效果：GB/T 45654国家标准形式上仅为“推荐”，但网信办在决定是否允许AI服务进入市场时使用它，不允许不合规产品发布。最高法院的新AI意见同样指示法官在判断物理AI产品缺陷时参考国家和行业标准。企业也倾向于自我治理并提高合规标准——Angela Huyue Zhang在《High Wire》中观察到，阿里巴巴2021年被罚28亿美元后未上诉反而感谢监管者，34家科技公司被约谈后全部迅速更新隐私政策。

2026年的“清朗·整治AI应用乱象”专项行动提供了另一个观察窗口。该行动分两阶段进行，第一阶段针对AI服务本身，处理了14,000多个AI产品、移除600多万条内容、处置26,000多个账号；第二阶段针对AI生成内容，处理了2,400多个网站和应用、561万多条内容、49,000多个账号。Yablonskaya注意到，公开来源未提及失控缓解措施或其他前沿AI安全问题是否属于评估范围。值得注意的是，九个开源数据集被“处置”，尽管免费分发的开源权重不受大多数中国AI法规约束。

最高人民法院于2026年9月7日发布的首份AI纠纷审理意见（法发〔2026〕10号，共24条）将责任认定与合理注意义务和透明度挂钩。法院被建议考虑开发者为防止损害做了什么、技术上可行的是什么，以及用户预见和控制损害的能力。意见还提出，AI系统的自主程度和透明度应被权衡：一种可能的解读是模型越自主，开发者责任越大；开发者对模型风险和局限越透明，责任越多地转移给终端用户。对于开源代码提供者，如果免费提供部分代码模块并公开说明功能和安全风险，他人使用该模块造成侵权时，法院可认定开源开发者不承担侵权责任。