AREX Feed Article
微软 CEO 纳德拉发文：把前沿模型当作「内部人风险」，控制机制必须置于模型之外
微软董事长兼 CEO Satya Nadella 北京时间 10 月 10 日 22 时 43 分在个人 X 账号以长文形式发表《Models as Insider Risks in the Super Intelligence Era》（意为「超级智能时代的模型内部人风险」），提出一套针对超级智能（Super Intelligence，SI）时代的治理主张：前沿闭源模型与开放权重模型都应一律按「内部人风险」（insider risk）对待，先搁置对齐难题，用工程手段做遏制与治理。
文章给出的设计要求同样具体：模型的 CoT（思维链，Chain-of-Thought）透明「不可谈判」（non-negotiable），但 CoT 本身并不充分；管制模型能访问什么、能执行什么行动的机制，必须放在模型之外。可观测性设计原则从模型多样性一直列到事件披露。截至北京时间 10 月 11 日查询，承载这篇文章的获得 1,387,555 次浏览、3,067 次点赞。这是纳德拉署名的个人立场文章，文中主张与判断未经独立验证。
（图片来源：，摄影 Dan DeLong）
诊断：今天的 SI 缺少「机制性理解」
长文从软件业的旧经验写起：过去几十年，传统软件部署到经济的各个角落时，人们有工具也有能力把一个行为追溯到具体的代码路径。纳德拉认为，今天的超级智能系统缺的正是这种机制性理解——即便驱动系统的前沿模型已经比传统软件更强大，人们也无法把模型的行为和输出归因到具体的训练数据输入或权重配置。
落差在两端。一头是无法归因的模型，另一头是企业正把这些复杂的 agentic（智能体式）系统接入最敏感的数据，让它们代表人类执行关键任务。纳德拉由此划出两条底线：不能把「智能代表我们做的事」外包出去，模型提供方的保证不解除使用方的责任；也不能把 SI 当作一层套一层的黑箱，只对它的建议、答案和行动做接受或拒绝的处理。他主张建造这样的系统：行为可以观察、边界可以测试、行动随时可以遏制，并把核心思路概括为一句话：把智能的供应与对智能的权力分开。
用确定性设计包围非确定性模型
纳德拉把对齐（alignment）难题明确搁置在一边，先从工程入手做遏制（containment）与治理：用强确定性的系统设计、人工控制和可靠的运行规程，把非确定性模型包围起来；现有行业标准不够用的地方，就建立新的行业标准。
把前沿模型当「内部人风险」是他给出的具体路径。他先交代类比的逻辑前提：不是因为模型必然恶意，而是任何足够能力、能接触重要系统的行为者都可能出错或被攻破，遏制与控制的架构必须把这一点算进去。随后他援引企业应对强势内部人的既有经验：确立身份、限制权限、记录活动、建立遏制边界，这些最佳实践已经打磨了几十年；他称这套做法现在开始被应用到「企业内部的 SI」上。
落到架构上，他援引一条可追溯到 1970 年代的信息安全原则：程序不得绕过或篡改执行其权限的机制。对应到今天，就是把模型与编排其工作的 harness（调度层），以及定义它能做什么的 action space（行动空间）分开，把控制与保障机制外置。
CoT 不可谈判之后：Neuralese 与嵌套黑箱
在模型自身的透明度上，纳德拉划了一条明确的线：模型 CoT 透明没有谈判余地，「Neuralese」（让模型以人类不可读的内部表示进行推理）不能成为推理不透明的理由。
他同时限定了这条要求的效力：CoT 透明本身既不充分也不可靠，因为业界还不知道如何让模型的输出本身保持一贯的忠实或透明。用模型互相对抗测试与验证是应该做的，可这条路会带来新的麻烦：一个不透明模型包在不透明的编排层里，再由另一个不透明模型监督，本质上仍是嵌套黑箱。这正是他把控制机制放在模型之外的理由。
七条设计原则：假定模型已被攻破
文章据此列出七条可观测性设计原则：
- 模型多样性（Model diversity）：任何一个模型都不应成为重要结果的唯一依赖，也不应负责验证自己的工作。
- 一切可观察（Observe everything）：每个有意义的模型动作都必须留下防篡改、人类可读的证据。他的原话是「观察不到，就无法信任」；人们需要能在不依赖模型自我证明的情况下，复现一个结果是如何达成的。
- 可验证性（Verifiability）：持续测试整个系统，包括失败、攻击、边界情况和系统变更，而不只是成功的任务。
- 独立控制（Independent controls）：组织应能独立决定模型能访问什么、能执行什么行动。
- 独立可审计（Independent auditability）：验证必须独立于被验证的智能，没有任何单一模型应同时控制系统行为、又掌握判断该行为是否符合本意所需的证据。
- 遏制（Containment）：从一开始就假定模型已被攻破并加以遏制，把它想成紧急制动，经授权的人必须随时能在任务中途暂停或关闭模型。他补充，更先进的模型需要更先进的遏制技术，且需要在行业内标准化。
- 事件披露（Incident disclosure）：当系统失效或被攻破时，及时向受影响者披露，并建立机制共享出了什么问题、哪些控制失效、如何防止再次发生，把教训共享到全行业，包括那些会在运行时改变智能体（agent）行为的实现细节。
结尾的判断与未答的落地问题
长文最后一句是一个判断：最可信的超级智能系统，不会是拥有我们最信任的模型的那个，而是使我们能够最不信任模型的那个。
这篇文章发布于他的个人 X 账号，属署名立场文章而非微软公司公告；「现在开始被应用到企业内部的 SI」这类企业实践表述，也出自他个人笔下。文章没有展开的落地环节，恰是他自己点出的那处：更先进的模型需要更先进的遏制技术，而这类技术要在行业内标准化。由谁制定、何时出台、以何种形式约束谁，这篇长文没有回答。