OpenAI Preparedness Framework 与 DeepMind Frontier Safety Framework
OpenAI Preparedness Framework v2（2025 年 4 月）引入了研究类别（Research Categories）——长程自主性、Sandbagging、自主复制与适应、破坏防护措施——区别于追踪类别（Tracked Categories）。追踪类别触发能力报告（Capabilities Report）加防护措施报告（Safeguards Report），由安全顾问组（Safety Advisory Group）评审。DeepMind 的 FSF v3（2025 年 9 月，2026 年 4 月 17 日加入了追踪能力等级）把自主性折进 ML 研发和网络（Cyber）两个领域（ML 研发自主性 1 级 = 以相对于人类 + AI 工具有竞争力的成本完全自动化 AI 研发流水线）。FSF v3 通过对工具性推理（instrumental reasoning）滥用的自动化监控，明确处理欺骗性对齐。诚实的一笔：PF v2 里的研究类别（含长程自主性）不会自动触发缓解措施；政策措辞是"潜在的"。DeepMind 自己也说，如果工具性推理增强，自动化监控"长期看不会一直够用"。
类型： Learn 语言： Python（标准库，三框架决策表 diff 工具） 前置要求： 阶段 15 · 19（Anthropic RSP） 预计时间： ~45 分钟
问题背景
第 19 课细读了 Anthropic 的扩展政策。本课通过读 OpenAI 和 DeepMind 的来补全这幅图。三份文档是处理同一个问题的表亲产物——前沿实验室什么时候该暂停或门控一个模型——它们在一小组类别上收敛，又在几处要紧的具体地方分歧。
收敛之处：三者都把长程自主性标为一个值得追踪的能力类别。三者都承认欺骗性行为（对齐伪装、sandbagging）是一个特定的风险类别。三者都有一个内部评审机构。分歧之处：OpenAI 把类别分成"追踪"（强制缓解）和"研究"（无自动触发）。DeepMind 把自主性折进两个领域，而不是单独命名它。实验室叫它追踪 vs 研究、或关键 vs 中等、或一级 vs 二级；一个能力落在哪个桶里，其运营后果在各实验室之间不同。
把它们放一起读才是有用的练习。同一个能力在 Anthropic 可能是"强制缓解"，在 OpenAI 是"被监控但不触发"，在 DeepMind 是"在某个特定领域里被追踪"。政策姿态要紧。
核心概念
OpenAI Preparedness Framework v2（2025 年 4 月）
结构：
- 追踪类别（Tracked Categories）：触发能力报告（模型能做什么）加防护措施报告（哪些缓解就位）。部署前由安全顾问组评审。
- 研究类别（Research Categories）：实验室正在追踪、但还没承诺具体缓解的模型能力。含长程自主性、Sandbagging、自主复制与适应、破坏防护措施。
v2 里的关键框架：研究类别不会自动触发缓解措施。政策措辞是"潜在的"缓解。这是要盯的具体差量：一个类别在追踪 vs 研究里的位置，是"被门控"和"被观察"之间的铰链。
DeepMind Frontier Safety Framework v3（2025 年 9 月；2026 年 4 月 17 日加入追踪能力等级）
结构：
- 关键能力等级（CCL）：跨五个领域的能力阈值：网络、生物、ML 研发、CBRN、自主性（折进 ML 研发和网络）。
- 追踪能力等级（Tracked Capability Levels）：2026 年 4 月加的额外粒度。具体例子：ML 研发自主性 1 级 = 以相对于人类 + AI 工具有竞争力的成本完全自动化 AI 研发流水线。
- 欺骗性对齐监控：对工具性推理滥用做自动化监控的显式承诺。
自主性的框架跟 OpenAI 不同。DeepMind 没把"自主性"留作一个顶级领域；它被折进了自主性会致害的那些领域（ML 研发和网络）。论证是：没有领域的自主性是没有风险的能力；反驳是：跨领域的自主性是一个框架本该命名的元风险。
三者都收敛在什么上
- 内部安全顾问组（分别叫 Anthropic SAG、OpenAI SAG、DeepMind 内部委员会）。高能力模型部署前评审。
- 显式提到欺骗性对齐 / 对齐伪装为一个风险类别。
- 按声明节奏的常设产物（Anthropic：前沿安全路线图、风险报告；OpenAI：能力与防护措施报告；DeepMind：FSF 更新周期）。
- 承认只靠监控的防御有天花板。DeepMind 说得明白："自动化监控长期看不会一直够用。"
它们在哪里分歧
- Anthropic：v3.0 里移除了暂停承诺；AI R&D-4 阈值是点名的下一个门。
- OpenAI：追踪 vs 研究的分裂；研究类别（含长程自主性）不自动门控。
- DeepMind：自主性折进其他领域；追踪能力等级在 2026 年 4 月加了粒度。
Sandbagging：一个让三者都更复杂的特定能力
Sandbagging（模型在评估上策略性地表现不足）在 OpenAI 的研究类别里。Anthropic 的 RSP v3.0 通过评估情境差距（第 1 课）来处理它。DeepMind 通过 FSF v3 里的欺骗性对齐监控来处理它。
如果一个模型在评估上 sandbag，那么每个框架的能力阈值都被低估了。框架只有在测量管用时才管用。这就是为什么除了实验室自评，外部测量（第 21 课，METR）和对抗性评估也是必要的。
读政策这门技能
- 定位：你在乎的每个能力都该能在政策里找到。如果找不到，政策就没覆盖它。
- 归类：它是追踪（触发缓解）还是研究（被追踪但不触发）？OpenAI 这么命名；Anthropic 和 DeepMind 有自己的等价物。
- 节奏：政策是按声明的时间表更新，还是只在特定事件后？声明的节奏更强。
- 独立性：外部评审是强制还是可选？Anthropic 跟 Apollo 和美国 AI 安全研究所合作；OpenAI 跟 METR；DeepMind 主要靠内部 SAG。
a5-tracked-vs-research实际使用
code/main.py 实现一个小的决策表 diff 工具。给定一个能力（自主性、欺骗性对齐、研发自动化、网络赋能等），它输出三份政策各自如何归类这个能力，以及触发什么缓解。它是一个阅读辅助工具，不是一个政策工具。
拿去用
outputs/skill-cross-policy-diff.md 以这三个框架为参照，为一个特定能力产出一份跨政策对比。
练习
运行
code/main.py。确认这个 diff 工具的输出，对至少两个你能对照源文档核实的能力，跟政策相符。完整读 OpenAI Preparedness Framework v2。指出每一个研究类别。对每一个，写一句话说明它为什么在研究而非追踪里。
完整读 DeepMind FSF v3，外加 2026 年 4 月的追踪能力等级更新。指出 ML 研发自主性 1 级的具体评估判据。你会如何在外部测量它？
Sandbagging 在 OpenAI 的研究类别里。设计一套评估，逼一个 sandbagging 的模型暴露它的实际能力。参照第 1 课关于评估情境作弊的讨论。
就一个特定能力（你自己选）对比这三份政策。说出你觉得哪份政策的归类最严谨、哪份最不严谨。用源文本论证。
关键术语
| 术语 | 大家嘴上怎么说 | 实际指什么 |
|---|---|---|
| Preparedness Framework | "OpenAI 的扩展政策" | PF v2（2025 年 4 月）；追踪 vs 研究类别 |
| Tracked Category（追踪类别） | "强制缓解" | 触发能力 + 防护措施报告；SAG 评审 |
| Research Category（研究类别） | "仅监控" | 被追踪但无自动缓解；含长程自主性 |
| Frontier Safety Framework | "DeepMind 的扩展政策" | FSF v3（2025 年 9 月）+ 追踪能力等级（2026 年 4 月） |
| CCL | "关键能力等级" | DeepMind 按领域的阈值（网络、生物、ML 研发、CBRN） |
| ML R&D autonomy level 1（ML 研发自主性 1 级） | "研发自动化" | 以有竞争力的成本完全自动化 AI 研发流水线 |
| Sandbagging | "策略性表现不足" | 模型在评估上表现不足；在 OpenAI 研究类别里 |
| Instrumental reasoning（工具性推理） | "手段-目的推理" | 关于如何达成目标的推理；DeepMind 监控的对象 |
延伸阅读
- OpenAI — Updating our Preparedness Framework —— v2 公告。
- OpenAI — Preparedness Framework v2 PDF —— 完整文档。
- DeepMind — Strengthening our Frontier Safety Framework —— FSF v3 公告。
- DeepMind — Updating the Frontier Safety Framework (April 2026) —— 追踪能力等级的新增。
- Gemini 3 Pro FSF Report —— 一份 FSF 格式风险报告的示例。