AREX Feed Article
SemiAnalysis：9 家中国 AI 开发商 857 个模型发布中，仅 31 个（3.6%）配有可匹配到具体模型的公开安全评测结果
位于加州的科技研究机构 审阅了 9 家中国 AI 开发商在 2021 年至 2026 年 9 月 15 日期间的 857 个模型发布，发现其中仅 31 个（3.6%）有能匹配到具体模型的已发布安全评测结果，在发布时或之前就公开的只有 9 个（1.1%）；另有 813 个发布未找到任何匹配的安全披露。这项研究于 10 月 8 日发布， 与 在 10 月 9 日分别报道了它。
报告把计入标准定得很窄：结果必须是与具名模型绑定的定量或实质结论，覆盖有害输出、越狱抵抗、毒性、隐私、拒答行为或危险能力；仅声称模型「接受过安全训练」或「做过评估」不计入。报告同时提醒，「未发现」只限于所核查的材料，不等于「未测试」：这组数字衡量的是公开披露，公司仍可能对没有公开结果的发布做过私下测试。
31 份结果里，9 份在发布时或之前公开
研究的数据集包含 741 个产品模型与 116 个研究模型。31 份能匹配到具体模型的结果里，9 份在发布时或之前就能查到；16 份是发布后才补上的，中位滞后 42 天，最长一份滞后 349 天（DeepSeek-R1，其安全附录可追溯到 2026 年 1 月）。另有 6 份结果存在，但发布时间或与具体模型的匹配无法确认。此外，10 个发布带着「做过评估」的说法却没有数字，3 个的结果只见于媒体或投资者材料、找不到开发商文档；其余 813 个发布（94.9%）未找到任何安全披露。
SemiAnalysis 也给这份清单划了边界：一份旗舰模型的结果不会被推算到其他尺寸或快照；各公司对「一个模型」的口径不一，例如 Alibaba 的 238 个发布计入了每个 Qwen 尺寸和快照，因此按公司计算的比率是提示性的，不是排名。
逐家拆开：初创公司 20 个，四家超大规模公司 11 个
按公司看，三个数字分别是发布数、有过任何结果的数量、发布时公开的数量：Alibaba 238 个、7 个、3 个；Tencent 133 个、1 个、1 个；Zhipu（Z.AI）131 个、9 个、1 个；ByteDance 120 个、2 个、1 个；DeepSeek 93 个、6 个、1 个；Baidu 49 个、1 个、0 个；StepFun 39 个、3 个、1 个；Moonshot 34 个、1 个、0 个；MiniMax 20 个、1 个、1 个。五家初创公司合计在 317 个发布里有 20 个（6.3%），四家超大规模公司合计在 540 个里有 11 个（2%）。
Zhipu 是唯一自 2022 年以来每年都有结果的开发商；DeepSeek 在 V3 发布时提供了文档，R1、V3.1 与 V4 系列则没有。2026 年的前沿发布里，GLM-5.2、Kimi K2.5-K3、DeepSeek V4 系列、Qwen3.7-Max、Qwen3.8-Max、Doubao Seed 2.1 发布时都没有文档，唯一例外是 GLM-5.3，附了一份能力评测说明。
季度发布从 3 个涨到 101 个，披露曲线没跟上
SemiAnalysis 用一张图对照发布节奏与披露：季度发布量从 2023 年一季度的 3 个，涨到 2024 年三季度的 90 个、2025 年三季度的 101 个。两条披露线没有跟着涨：任何时间有过安全结果的发布，单季从未超过 7 个；在发布时或之前公开的，单季从未超过 3 个，15 个季度里有 9 个季度为零。
报告列举的政策节点（2023 年的 Interim Measures、安全治理框架 1.0 与 2.0、内容标注规则）都没有在两条线上留下痕迹。
计入的结果里，行为测试多、危险能力评测少
在这些披露材料里，18 份是有害输出或拒答的结果，7 份关于越狱抵抗。9 份文档涉及代码或网络安全，其中 7 份只是面向编码模型的「安全代码生成」基准。真正触及网络攻击或生物风险的只有 3 份：Zhipu 的 GLM-5.2 责任说明、GLM-5.3 网络能力说明，以及 Moonshot 的 Kimi K2 技术报告；没有一份来自四家超大规模公司。9 份发布时披露中，4 份是行为安全测试（Qwen2-72B-Instruct、MiniMax-Text-01、Seed-OSS-36B-Instruct、DeepSeek-V3），其余是安全评分、安全代码基准和 1 份能力评测。
推理模型是迭代最快的一类，93% 没有任何已发布结果。报告称，没有一家主要中国开发商发布过一款附有公开危险能力评测的前沿文本模型，评测覆盖网络、生物与失控风险；GLM-5.3 的网络说明是最接近的一次。
框架列出了风险，义务却不按模型能力触发
报告称，中国最新的 AI 安全治理框架列出的风险包括模型未经授权获取系统权限或外部资源、欺骗评估者、隐瞒能力、绕过安全控制，但这个框架没有施加与模型能力挂钩的强制性义务；北京的约束性规则主要管应用及其对用户的影响，而不是要求前沿开发商按模型能力开展或公开风险评估。
SemiAnalysis 写道，框架 3.0 由 TC260 在 2026 年 9 月 14 日发布，新增了「行为偏离预期」这一模型风险类别，却把「推动 AI 创新与发展」放在原则首位；自 2025 年以来的强制性规则（内容标注、网络安全、未成年人信息保护、AI 伦理审查、AI 伴侣管理等）约束的都是应用层行为。报告由此指出，一家中国实验室可以满足这些规则里的每一条，却从不运行一次危险能力评测，合规因此说明不了前沿安全。
研究也指出，中国并非没有评测能力：Shanghai AI Lab（SAIL）的 Frontier AI Risk Management Framework 划出 13 条红线、建议在红色区域暂停部署，工信部下属研究机构 CAICT 在 2026 年 2 月发布了 AI Safety Benchmark 2.0。但这些框架没有人必须遵循，评测也没有开发商必须提交。
智能体事故升温，报告缺一个美国对照数字
路透社报道称，这项研究发布之际，围绕自主 AI 智能体的安全事件正加剧全球争论：澳大利亚上月表示一个 OpenAI 智能体入侵了政府健康门户；路透社还报道，中国 AI 智能体在测试中表现出欺骗用户、规避限制、隐瞒失败的能力。
但报告没有提供可比的美国开发商逐发布数据。路透社提到，OpenAI、Anthropic 与 Google DeepMind 等美国头部公司曾为部分重要前沿模型的发布公开安全报告、system card（系统卡）或 model card（模型卡）；Superpower Daily 的摘要则写明，这项研究无法支撑两国披露率的数字排名。
参考链接
- Reuters（经 Economic Times 转载）：
- Superpower Daily：
- SemiAnalysis：