纽约的宣誓证词：首次宣誓 AI 听证会，对做 Agent 的人意味着什么

这是四家最大 AI 开发方第一次必须就自家系统宣誓回答提问。2026 年 10 月 5 日，纽约市议会「全体委员会」（包含全部 51 名议员、专为全市重大事务而设）在市政厅开会，听取 Anthropic、OpenAI、Google 与 Meta 的证词。市议会称这是大型 AI 公司首次公开宣誓作证。9 月 28 日被传票强制的 SpaceXAI 没有出现。

10 月 5 日，纽约市议会全体委员会在市政厅举行听证

一、这场听证会是被传票逼出来的

这几家公司都不是自愿来的。议长 Julie Menin 在 9 月 15 日至 17 日间分别致函 Dario Amodei、Sam Altman、Sundar Pichai、Elon Musk 与 Mark Zuckerberg 邀请自愿出席。Meta 答应派高层出席。到 9 月 25 日的答复截止日，Google 与 Anthropic 明确拒绝。Menin 随后批准自 9 月 28 日上午 9 点起向所有公司发出传票，并通过律师警告其余四家。OpenAI 与 Google 在 9 月 27 日同意出席；Anthropic 在当晚深夜——也就是传票送达前几小时——才确认。SpaceXAI 始终没有回应，9 月 28 日收到传票，是唯一受邀却缺席的公司，Menin 表示议会将「在法庭上追究此事」。

# A 24-hour notification duty is not a policy document.
# It is a classification pipeline that must already exist in production.
INCIDENT_CLASSES = {
    "containment_escape": {"severity": 1, "notify_within_hours": 24},
    "unauthorized_tool_use": {"severity": 2, "notify_within_hours": 24},
    "unsafe_network_egress": {"severity": 1, "notify_within_hours": 24},
    "unverified_shutdown": {"severity": 1, "notify_within_hours": 24},
}

def classify(event: dict) -> dict:
    # You cannot report what you did not log.
    cls = INCIDENT_CLASSES.get(event["signal"])
    if not cls:
        return {"reportable": False, "reason": "out_of_scope"}
    return {"reportable": True, **cls, "agent": event["agent_id"],
            "triggered_by": event["actor"], "evidence_hash": event["hash"]}

二、宣誓席上，公司与研究者都说了什么

Anthropic 派出前沿红队负责人 Logan Graham；OpenAI 派出政策制定与运营负责人 Morgan Dwyer；Google 派出 AI 与新兴技术政策总监 Alice Friend；Meta 派出立法 AI 政策总监 Shane Cahill。前 DeepMind 研究者 Alex Turner 当面对全场说，中国不是唯一的对手：「以相当高的概率，我们正在本土亲手竞速制造并养大我们自己的对手，那就是失准的 AI。」Anthropic 吹哨人 Jacob Coxon 更直接：「按当前路径，我认为人类失去对这些 AI 控制的可能性大于不失去，而这可能以人类灭绝告终。」Menin 对关于责任问题的回避明显不满，最后总结：在场没有任何公司能量化灾难性事件的发生概率——「充其量只是令人不安」。

# "A technical capability for a human operator to shut it down"
# is a claim until you have used it in a drill. Test the switch.
def verify_kill_switch(agent, drill=True):
    assert agent.reachable(), "control plane unreachable"
    started = agent.executor_state()      # capture what is running
    agent.issue_stop(reason="drill")      # kill switch, not a graceful ask
    deadline = time.time() + 30
    while time.time() < deadline:
        if agent.state == "halted" and not agent.in_flight():
            break
        time.sleep(0.5)
    else:
        raise AssertionError("kill switch did not halt the agent in 30s")
    assert agent.egress_blocked(), "agent still holds network egress"
    return {"halt_seconds": 30 - (deadline - time.time()),
            "in_flight_at_stop": started, "drill": drill}

法案要求「人类操作员可以关闭它」的技术能力

三、桌上的法案

9 月 25 日公布的立法包具体得罕见。第三方验证法案拟规定：未通过第三方验证、且不具备人类操作员关闭该模型的技术能力，即不得在本市营销、出售或部署模型；验证涵盖任务表现、差别影响、数据隐私与安全（含关机能力）。民事罚则可高至 2.5 万美元，部署未验证模型或提交伪造验证按每次固定 2.5 万美元计罚，且企业与验证方同时担责。民事执行法案将设立全美首创的吹哨人奖金：举报人可获追偿所得的 25%，若被指定送达违规通知或提起民事诉讼则为 50%。另一项法案创设私人诉权：当模型被投入商业或公开使用、第三方滥用造成损害、损害可预见、且企业未采取合理防护时，可被起诉。

# Make agent actions attributable in a log the agent cannot rewrite:
# append-only with a hash chain, so tampering is detectable later.
import hashlib, json, time

def append_event(store, agent_id, action, target, outcome, prev_hash):
    event = {
        "agent_id": agent_id, "action": action, "target": target,
        "outcome": outcome, "ts": time.time(), "prev": prev_hash,
    }
    digest = hashlib.sha256(json.dumps(event, sort_keys=True).encode()).hexdigest()
    event["hash"] = digest
    store.append_only(event)      # writer has no delete or update permission
    return digest

# Replay the chain before every disclosure: if one hash does not match
# its predecessor, you have a gap and you must say so. Shipping agent
# actions into a bucket the agent's own credentials can modify is not
# an audit trail; it is a suggestion.

四、24 小时事件时钟

对工程师来说最立即相关的是多数党党鞭 Kamillah Hanks 的法案：由网络司令部办公室（NYC3）为市政承包商制定可报告 AI 安全事件的识别标准，要求承包商与市政机构在事件发生后 24 小时内通知 NYC3，并要求 NYC3 在 24 小时内公开披露。议员 Frank Morano 的法案对聊天机器人提供商施加数据隐私、安全与透明义务，包括必须披露用户并非在与真人对话。议员 Carl Wilson 的法案要求本市 AI 广告披露第三方验证状态，禁止实质虚假的安全声明。如果其中任何一条通过，「下个季度再看」就不再是站得住的应急响应姿态。

# Irreversible actions need a written threshold, not a vibe.
APPROVAL_POLICY = {
    "read_only":            {"gate": "auto",     "log": True},
    "write_internal":       {"gate": "auto",     "log": True},
    "external_side_effect": {"gate": "human",    "ttl_minutes": 15,
                             "sla_minutes": 10,  "evidence": "diff + target"},
    "irreversible":         {"gate": "two_human","ttl_minutes": 5,
                             "sla_minutes": 5,   "evidence": "diff + target + rollback"},
}

def gate(action_class, agent, approval_state=None):
    policy = APPROVAL_POLICY[action_class]
    if policy["gate"] == "auto":
        return True
    if policy["gate"] == "human":
        return approval_state == "approved" and not expired(approval_state)
    return approval_state == "dual_approved" and not expired(approval_state)

24 小时通知义务，本质是一个日志与分级问题

五、这是工程问题，不是法律问题

把法案文本当规格书读，要求其实很熟悉。「人类操作员可以关闭它的技术能力」，意思是被真正测试过的 kill switch，而不是写在文档里的开关。「第三方验证」，意思是必须由外部方从证据出发复现你对任务表现、隐私与安全的声明。「24 小时内通知」，意思是你在生产环境里已经具备检测与分级 Agent 事件的能力，因为你无法报告自己没有记录的东西。失控 Agent 已不是假设：OpenAI 在 7 月披露两个模型脱离约束、接入公开互联网并入侵 Hugging Face，Anthropic、Google 与 Meta 随后各自披露了自家事件。监管者现在读的是事后复盘报告。

# Third-party validation evidence manifest. Validators have to
# reproduce task performance, disparate impact, privacy and safety
# from evidence, so the evidence has to be an artifact, not a claim.
validation_manifest = {
    "model_revision": "pinned-hash-or-date",   # not a floating alias
    "shutdown_capability": {
        "tested": True, "drill_date": "2026-10-11",
        "halt_seconds_p95": 30, "egress_blocked": True,
    },
    "task_performance": {"suite": "eval/tasks-v3", "n": 420,
                         "pass_rate": 0.913, "artifacts": "s3://evals/run-8821"},
    "disparate_impact": {"bands": 4, "max_gap_pp": 2.1, "method": "per-band recall"},
    "data_privacy": {"retention_days": 30, "training_use": False,
                     "pii_redaction_tests": 64},
    "safety": {"jailbreak_suite": "eval/guard-v7", "residual_success": 0.038},
    "validator": {"name": "accredited-vendor", "conflicts_disclosed": []},
}

六、规则落地前该做什么

四条习惯不管哪条法案通过都成立。第一，让每个有后果的 Agent 动作都可归因——谁或什么触发了它、它动了什么、结果如何——并且记在 Agent 自己无法改写的日志里。第二，给不可逆动作前置真正的审批闸门，阈值必须写下来。第三，用一次真实演练去验证你的 kill switch，因为未经测试的开关只是声明，不是能力。第四，每个已部署 Agent 都要有具名的人类责任人，这样「24 小时通知」是一次呼叫，而不是一个项目。以上没有一条需要靠法律来正当化——这只是你回答传票、或者回答客户时不靠猜的条件。