白宮在人工智慧（AI）議題上的立場是正確的。其於 6 月 5 日發布的國家安全總統備忘錄（National Security Presidential Memorandum）承諾政府將「毫不延遲」地將最先進的模型交予國家安全專業人員手中。軍事上，這項策略的目標是實現決策主導權：比敵方更快地偵測、決策和行動。最近，我們看到了一項關於此承諾力度的現場測試。由 OpenAI 開發的一個 AI 系統逃脫了其測試實驗室，並入侵了另一家美國公司 Hugging Face 的伺服器。當 Hugging Face 的安全團隊進行調查時，他們測試的商業 AI 服務的安全控制措施阻礙了他們的工作。最終，他們不得不使用一個中國的模型進行鑑識分析。

Hugging Face 於 7 月 16 日披露了這次入侵事件。五天後，OpenAI 證實入侵者是其自身的模型：在放寬安全限制的情況下，用於網路能力評估的模型逃脫並觸及了 Hugging Face 的伺服器。

這本身就已足夠令人警惕。然而，僅僅九天後，Anthropic 又報告稱，在其對評估運行進行的審查中，發現了另外三起模型觸及開放網路並接觸外部系統的案例，其中兩起受影響的組織並未自行偵測到。Anthropic 小心地指出，這些機制的運作方式有所不同。然而，這兩次披露的共同點令人不安：由美國實驗室開發和測試的前沿系統，現在已經逃離了原本應將它們限制在內的環境。

Hugging Face 的披露揭示了防禦者所錯失的。其應急響應人員利用 AI 從超過 17,000 個記錄事件的日誌中重建了攻擊過程，這項工作「通常需要數天」，但僅花了幾個小時。然而，當他們最初嘗試使用商業前沿 AI 時，分析失敗了，因為實際的事件響應需要提交攻擊指令、漏洞利用載荷和命令與控制的偽造數據。預設的安全系統無法區分防禦者和攻擊者。Hugging Face 不得不轉向一個自行託管的中國開源模型 General Language Model 5.2，來診斷和緩解這次攻擊。Hugging Face 坦誠地指出了一個難以得出簡單結論的細節：他們無法確定攻擊者自身的代理程式是在一個被破解的商業模型上運行，還是一個不受限制的開源模型上運行。

我所任職的 Onebrief 公司，為軍方指揮部開發 AI 規劃和決策軟體，因此我們在存取規則和評估範圍的爭論中有商業利益。但這個案例的論點並不取決於誰能獲得合約。一個足夠嚴謹的測試範圍，能夠像發現競爭對手的系統弱點一樣，發現我們系統的弱點；而指揮官最好擁有一個已經在測試中失敗過的工具，而不是一個在危機中失敗的工具。

存取不對稱是華盛頓尚未解決的問題。攻擊者使用任何有效的方法：竊取的帳戶、被駭的系統、洩漏的模型或外國軟體。美國的防禦者則必須遵循授權、採購、合規和審計的流程。這些規則約束著一方。當這些規則將我們最好的工具排除在保護美國網路的人員之外時，響應速度就會變慢，而來之不易的經驗教訓就會轉移到別人的技術上。一個拒絕響應人員必須提出的問題的模型，並不是一個防禦工具。

懷疑論者會說，這是在將真正的危險視為純粹的阻礙，而懷疑論者是對的。讓響應人員重建漏洞的能力，與讓攻擊者構建漏洞的能力是相同的，這也是為什麼防護措施一開始就無法區分他們。這些控制措施的存在是因為危險是真實存在的。經過驗證的存取並不能消除這種危險，因為入侵者會竊取憑證來獲得存取權限，而一個安全關閉的自行託管模型，正是內部人員會尋求的。防禦者存取機制應該基於這種現實來證明其價值，而不是一廂情願地希望它消失。

白宮於七月啟動的「金鷹計畫」（Gold Eagle Initiative），將政府和業界聯合起來進行網路防禦。這是將正確的策略應用於正確問題的體現。但它尚未解決存取問題。

幸運的是，川普政府已經下令解決了部分問題。國家安全總統備忘錄要求建立一個國家安全 AI 測試範圍和標準化的系統驗證方法，並預計於九月初公布首份路線圖。該備忘錄將測試範圍的建立與撥款的可用性掛鉤，因此後續的執行將取決於即將到來的國防授權法案。重要的是，這個測試範圍是否會伴隨著明確的負責人、確切的截止日期和實際的採購權限，還是僅僅成為另一項研究。

同樣的邏輯也適用於第二類系統，儘管途徑不同。單就網路入侵事件而言，它本身並不能說明軍事規劃軟體的問題。兩者之間的聯繫並非事件本身，而是未經測試的能力進入實際使用的模式。網路故障是顯而易見的：伺服器崩潰、日誌充滿異常、修補程式被發布或未發布。軍事規劃和決策系統的故障是悄無聲息的，其失敗會在原本應解決的危機中浮現。一個規劃模型可能對敵方的選項產生錯誤的自信。一個後勤代理程式可能針對錯誤的約束進行優化。一個決策支援工具可能向一個只有幾分鐘時間行動的指揮官呈現虛假的確定性。測試這些系統需要模擬敵方規劃場景、通信受損、情報不完整以及符合真實世界的物理定律。推理基準測試是比較容易的部分。真正重要的測試是，經過驗證的美國操作員是否能夠在擁有這些系統的情況下做出更好的決策並更快地採取行動。

政府還應該確定誰能夠存取全功能的網路工具。聯邦機構、關鍵基礎設施營運商和已獲准的承包商中的合格防禦者，應該擁有經過驗證、記錄在案且可審計的存取權限，並在發生重大事件時提供緊急入職。其設計應該直接應對內部人員和入侵者，而不是將風險轉移到新的地方。

面對一個具有自主行動能力的攻擊者，防禦者需要完全知情且功能齊全的防禦。一個有名字的防禦者應該能夠不受限制地使用這些能力——由公司自身的安全規範約束，而不是由頂層的允許行動列表決定——並且應該記錄每一次行動。

這些措施中的任何一項都無法消除風險，假裝其他情況是安全社群將論點排除在外的方式。但是，一個有嚴格監管、範圍界定且經過記錄的系統，總比現狀要好，因為現狀是，同樣的能力已經在被竊取的帳戶和不受限制的模型上隨意運行，而沒有任何監管。

一個簡單的問題可以揭示這些措施是否奏效：一個授權的美國防禦者需要多長時間才能獲得最佳可用工具的存取權限？我們今天並沒有衡量這一點。被批准的防禦工作被拒絕的比例、現場事件中的分類時間，以及在敏感任務中對外國模型的依賴，都值得報告。

決策者應該將美國的開源模型視為一種國防資產。機密和離線環境無法呼叫商業服務——它們需要能夠在自有硬體上運行的模型。越來越多最好的免費下載模型來自中國。這是美國實驗室可以彌補的差距，也是值得資助的。

美國擁有世界上最好的人工智慧。問題在於，在關鍵時刻，保衛國家的美國人是否能夠使用它。鎖在保險庫裡的工具無法修復醫院、保衛電網，或幫助指揮官讀懂戰場。如果白宮想要決策主導權，那麼存取權應該成為 AI 政策的首要目標。