风险阈值需要的是测量机制，而不是一条分界线

UC Berkeley 长期网络安全中心（Center for Long-Term Cybersecurity）的一份白皮书指出，从前沿 AI 实验室的安全框架（OpenAI、Anthropic、DeepMind、Meta）借用过来的 AI 网络风险阈值之所以失败，是因为它们基于能力、措辞含糊、且与真实危害脱节。作者提出用贝叶斯网络把「这个模型是否越过一条线？」改写为「在真实条件下它造成危害的概率有多大？」——而从静态分界线到持续测量的机制，这一转变正是一个可辩护的阈值所必需的。

阈值不是你越过的一条线；而是你维持的一种测量

前沿 AI 安全框架收敛到少数几个「阈值要素」——多阶段攻击的自动化、零日漏洞发现、降低低技能攻击者门槛——然后给每个要素挂上一个能力基准。Berkeley 白皮书的核心批评是：这些分界线在一个本质上是概率性的系统里却是确定性的。一个「能」在基准测试中发现零日漏洞的模型，并不因此就造成危害；同一项能力根据访问权限、防御姿态和攻击者经济学的不同，可能是无害的，也可能是灾难性的。以能力线表达的阈值，忽略了每一个这样的中介变量。

这正是我们在 21 篇论文中用 Theorem 3 命名的同一种失效模式：一项属性，恰在其机制被实现并正在测量时，才被保证。 [ORIGINAL DATA] Theorem 3 (a property is guaranteed exactly when its mechanism is implemented and measuring) 在此处是承重的，因为「不可接受的网络风险」是一项社会技术系统的属性，而不是一个模型的属性。声明一条能力分界线并没有实现这项属性；它只是断言了它。这项属性——危害保持在可接受水平之下——只有在某种东西持续产生那个会告诉你它已被越过的测量时，才存在。一条没人测量的线不是阈值；它是一个愿望。

白皮书把问题从「这个模型是否越过阈值？」改写为「在真实条件下它造成危害的概率有多大？」。这是正确的重新框定，并且有一个结构性后果：阈值变成一个被维持的状态，而不是一个被越过的里程碑。你给部署做仪表化，把证据喂进一个概率模型，并让后验保持在可接受水平之下——否则你就限制部署。分界线是一个运行中机制的输出，绝不是它的替代品。

能力不是风险；情境才是

白皮书直截了当地陈述了批评：能力 ≠ 风险。同一项能力根据情境、访问权限和防御的不同，可能无害也可能致命。一项位于企业认证边界之后、配有成熟邮件过滤器的钓鱼生成能力，与同一项能力暴露给任何有电话号码和怨气的人，是不同的风险。前沿框架通过以能力为索引并让情境保持隐含来回避这一点。

两个进一步的缺陷加剧了问题。第一，语言含糊——「显著增加」出现在各框架中，却没有基线、单位或方法。「显著」相对于什么、如何测量、由谁、何时更新？一个无法被填充的阈值术语是合规工件，不是控制手段。第二，框架过度聚焦于极端的、低概率的场景——对硬化目标的端到端自主利用——却遗漏了真正重塑攻防平衡的渐进式位移。攻击者经济学中的缓慢漂移，而不是电影式的场景，才是平衡倾斜之处。

[UNIQUE INSIGHT] 能力阈值之所以遗漏渐进式漂移，是因为它们是关于一个模型的瞬时声明，而不是关于一个系统的纵向测量。能力基准是一张照片；风险是一段视频。Berkeley 的提议——把风险分解为变量、通过概率依赖把它们链接起来、喂入基准与红队与真实世界证据、并随时间更新——实际上是一份开始拍摄的请求。于是阈值活在后验的趋势里，而不是活在单一的基准分数里。

这很重要，因为监管正朝向同一个框定移动。白皮书指出与 EU AI Act 和 NIST Risk Management Framework 的对齐，两者都要求持续的、基于证据的风险处理，而不是一次性的声明。一个只有能力分界线的实验室，无法回答这些框架真正提出的问题：「你测得的风险是多少，你把它维持在可接受水平之下的机制是什么？」

贝叶斯网络就是测量机制

白皮书的建设性提议是贝叶斯网络（BN）：表示变量之间关系的概率图——AI 能力、攻击者行为、防御检测、经济影响——它整合多样证据，并随条件变化持续更新。与静态阈值不同，BN 让你能够追踪一个系统离越过风险边界有多近，因为边界是联合分布中的一个区域，而不是一条轴上的单一数字。

这是白皮书中与我们关于机制的思考最直接相连的部分。BN 不是口语意义上的预测；它是一台测量仪器。它说，给定我们观察到的，这里是危害变量上的后验，而当我们喂入一个新的红队结果或一份新的事件报告时，它这样移动。于是阈值是关于那个后验的一项策略——「当 P(显著危害) 超过 0.X 时限制部署」——而这项策略是可执行的，因为后验可以从证据和图复现。

三个性质使 BN 成为这项工作的正确形状，而每一个都映射到我们在任何测量机制中寻找的一个性质：

• 分解。 一个高层风险（「AI 使可规模化钓鱼成为可能」）被分解为可测量的变量——AI 语言掌握度、诱饵可信度、防御检测率、目标易感性。你无法直接测量「钓鱼风险」；你可以测量它的组成部分。分解正是让风险对证据可读的东西。
• 依赖。 变量通过条件概率链接，而不是独立相加。攻击成功共同取决于能力和防御，而不是各自单独。这就是只基于能力的阈值失败的原因：它假设联合分布可以从一个边际分布读出。
• 更新。 后验是证据的函数，而证据在累积。BN 按构造就是一台纵向仪器；昨天的后验是今天的先验。这就是「动态监控」在操作上的含义，而不是作为口号。

白皮书自己点出的诚实局限是：这些模型处于早期阶段——没有大规模真实世界验证过的 BN，没有用于填充概率的标准化数据集，也没有清晰的治理整合（谁设定阈值、如何执行）。我引用白皮书自己的「What's Missing」一节，因为诚实的阅读不会把它盖住。一台从未针对结果校准过的测量机制，是关于一次测量的假设，还不是一次测量。机制形状是对的；证据基础尚未建成。

钓鱼案例如何把「显著增加」变成一个数字

白皮书的钓鱼案例（第 31–32 页）是抽象变得具体之处。一个贝叶斯网络把社会工程风险分解为节点——「AI 语言掌握度」「诱饵可信度」「防御检测率」「目标易感性」——它们共同决定诸如一名员工是否打开一封恶意邮件这样的结果。含糊的概念变成可量化的信号，因为每个节点都是你能为之产生证据的东西：来自基准的语言掌握度分数、来自邮件过滤器测试的检测率、来自钓鱼模拟活动的易感性估计。

这个案例同时做了两件事，值得把它们分开。第一，它表明像「钓鱼有效性的显著增加」这样的风险术语，可以被分解为带单位的变量。第二，它表明增加本身是联合分布中的一个变化，而不是单一分数中的一个变化。语言掌握度 10% 的提升，并不线性地转化为打开邮件增加 10%；它通过检测率和易感性节点转化，而在一家有防御的企业里的转化，与在一家无防御的小企业里是不同的。

这就是能力基准与精确陈述的风险阈值之间的差别。基准告诉你模型在某项任务上变好了。BN 告诉你那次提升在你实际部署的条件下把危害后验移动了多少。前者是必要的；后者才是阈值所要求的。白皮书的贡献在于表明后者是可构造的，而不仅仅是可取的——并诚实地表明，大规模填充它的工作才刚刚开始。

这在 Everythink 里映射到什么

我们透过一个特定的视角阅读这份白皮书，值得把它说清楚，以便读者能核查我们的推理，而不是凭信心接受。

[PERSONAL EXPERIENCE] HAI Engine 自 2016 年起就在生产中运行，而九年运营一个多智能体预测系统的教训是：一个你无法更新的预测，是一个你不应该发布的预测。我们的 Sisters 产出场景草稿；Oracle 把它们融合成一个校准过的集成，其概率之和为一，其熵以 nats 追踪。那个集成是一台测量仪器，不是口语意义上的预测：可从其输入复现、随证据累积而更新、出错时以可追溯的方式出错。Berkeley 的 BN 提议具有同样的形状，只是应用到一个不同的领域——危害变量而非场景概率、红队证据而非信号流——但同样坚持：只有当产生它的机制是可检视的，这个数字才是可信的。

我们共享的结构原则，是我们称之为「the space is the router」的那个：network→community→room 拓扑在任何东西响应之前先路由一个请求。路由是一个产生可测量结果的机制——哪个情境看到了哪个信号——而正是这一点让下游预测可审计。一个没有路由拓扑的阈值，是一个挂在一个模型上的数字；一个位于路由拓扑之内的阈值，是一个挂在一个穿过系统的路径上的数字，而那才是危害真正栖身之处。危害是情境性的，而情境是一种拓扑。

我们的诚实标签存在的原因，与白皮书坚持证据高于断言的原因相同。在我们有生产机制的地方，我们说 Production ✅——HAI Engine、Social、Campaigns、Whitelabel Network、World Monitor、Sisters、Oracle。在机制是部分的地方，我们说 Partial ⚠️——Matchmaking、Marketplace、Calendar。在它是路线图的地方，我们说 Roadmap 🔵——Wallet & Token、Super App、Community Credit——而我们不为这些承诺结果，因为它们是 pre-revenue，并且对于 token 组件，须接受 Howey 审查。要点不在于那个字形；要点在于读者可以把每一项主张映射到一个成熟度状态，并据此追责我们。这正是白皮书要求前沿实验室采纳的同一纪律：停止断言阈值，开始生产那些会为阈值提供正当性的测量。

我们对范围边界是明确的，因为白皮书也是如此。Everythink 仅在民事和防御性情境中运营。一个对攻击能力诚实的风险阈值机制，仍然不是构建攻击工具的许可；它是一个知道防线在哪里、并给它做仪表化的理由。Berkeley 的框架对我们有用，恰恰是因为它让防御姿态可测量，而不是修辞化。

白皮书诚实命名的治理缺口

白皮书最有用的一节，可能正是它自己的「What's Missing」清单，因为正是这一部分阻止该提议变成又一项能力断言。该框架缺乏大规模真实世界验证过的贝叶斯模型、用于填充概率的标准化数据集、清晰的治理整合指引，以及把模型能力与真实网络影响联系起来的实证基准。更复杂的领域——自主利用、供应链攻击——并未被深入操作化。

我们会补充一个白皮书点到但未展开的缺口：一个阈值机制，只与喂给它的证据的独立性一样可信。一个用自己的红队结果、对照自己的基线、没有外部核查来填充自己的 BN 的实验室，建造的是一台会报告实验室需要它报告什么的仪器。对标准化数据集的呼吁，部分是对不全部源自被测量方的证据的呼吁。这是该框架留白的治理问题，也是该留白的正确问题——答案是制度性的，不是技术性的。

务实的后果是：一个值得用来治理的阈值机制，是一个第三方可以复现的机制——已发布的图、已命名的证据、已声明的先验、可重算的后验。满足这些条件的 BN，是监管者真正可以用来审计的那种；不满足的，是伪装成测量的私有断言。

关键要点

• 能力分界线不是风险阈值；它是一个关于模型的瞬时断言，忽略了危害栖身的情境。
• Berkeley 白皮书把问题从「这个模型是否越过一条线？」改写为「在真实条件下它造成危害的概率有多大？」——从静态里程碑到被维持的测量的一次转移。
• 贝叶斯网络是所提议的测量机制：把风险分解为变量、通过条件概率链接、喂入基准与红队与真实世界证据，并持续更新。
• 钓鱼案例表明，像「显著增加」这样的含糊术语可以被分解为带单位的节点——但大规模填充这些模型的工作才刚刚开始，而白皮书这么说了。
• Theorem 3 推广了这一原则：一项属性（可接受风险）恰在其机制（一个持续更新、可检视的后验）被实现并正在测量时，才被保证。
• 一个阈值机制只有在第三方可以复现它时才是可治理的——已发布的图、已命名的证据、已声明的先验、可重算的后验。

常见问题

为什么能力基准不是风险阈值？ 基准测量一个模型在测试中能做什么；风险是那项能力在真实世界中遇到防御者、攻击者和目标时发生的事。基准是风险估计的一个输入；它不是估计本身。白皮书的要点是，把边际分布当作联合分布来对待，是前沿框架阈值的核心错误。

贝叶斯网络添加了什么清单所没有的？ 一份清单记录一个控制存在；一个 BN 记录那个控制把危害后验移动了多少。前者是二元的、静态的；后者是连续的、可更新的。BN 还让依赖变得显式——攻击成功共同取决于能力和防御——而清单无法表示这一点，除非它变成散文形式的 BN。

Berkeley 框架今天已经可以用来治理了吗？ 没有，而白皮书直接这么说了。它缺乏大规模验证过的模型、标准化数据集和清晰的治理整合。它是一种方法论——一种可重复的风险操作化方式——而不是一台完成的仪器。把它当作完成的来对待，会重复它所批评的错误：断言一项属性而不是测量它。

这与 Theorem 3 有何关联？ Theorem 3 说，一项属性恰在其机制被实现并正在测量时才被保证。「可接受的网络风险」是一项部署的属性，不是一个模型的属性。保证只在一个 BN（或等价仪器）正在运行、被喂食、可检视时才存在。声明一条分界线不实现任何机制，因此不保证任何东西。

Everythink 用这个做什么？ 我们在 HAI Engine 和 Oracle 中使用同一个结构原则——一台可检视机制产生的、可复现、可更新的后验——用于预测，而非网络风险阈值。路由拓扑（network→community→room）正是让我们的预测具备情境性且可审计的东西。我们不构建攻击工具；一条可测量防线的价值，在于知道它在哪里。

如果这个框定有用，那么随之而来的工作是操作性的：选一个风险，分解它，链接变量，命名证据，并开始更新。创建你的网络，或者阅读这些论文。

Sources

• 2026 — UC Berkeley Center for Long-Term Cybersecurity, "Toward Risk Thresholds for AI-Enabled Cyber Threats"（白皮书，2026 年 1 月；摘要由 AIGL 于 2026 年 3 月发布）— https://www.aigl.blog/toward-risk-thresholds-for-ai-enabled-cyber-threats-2/