秘密 AI 项目

Brendan Halstead, Thomas Larsen

在 Plan A 情景中，我们提议通过国际协调来安全地开发 AI。要将风险保持在可接受的水平，需要大幅放缓 AI 开发的步伐。这类协调的一个核心障碍在于：某一方可能会秘密开发 AI，从而获得优势。

幸运的是，以一种可能造成灾难性后果的方式建设并运营秘密 AI 数据中心，似乎非常困难。在本补充材料的其余部分，我们将分析中国要秘密背离 Plan A 会有多困难，以及可以采取哪些缓解措施来防止背离。

总而言之，要以最优方式颠覆一个对我们所推荐的 Plan A 政策的有力实施，中国需要：

• 在芯片透明度协议达成之前就决定开始转移芯片（在 Plan A 情景中，这需要发生在 2028 年）。
• 在不被察觉的情况下获取约 150 万台 H100e（约占 2028 年底中国存量的 7%）。获取这些算力最有希望的方案是：(i) 在 2028 年期间转移走私来的芯片，(ii) 通过声称已退役并回收的方式转移较旧的芯片，以及 (iii) 在整个半导体供应链上协调伪造生产记录，以隐瞒部分协议前的产量。
• 在不被察觉的情况下建设非法数据中心。我们所知最有希望的策略是将数据中心建在地下，以避免卫星探测。
• 为地下数据中心供电和散热。一种策略是使用小型核反应堆在现场发电，并通过将水循环到大河或深水水源中来排热，同时避免产生可被红外探测到的热羽流。
• 在足够长的时间内运营这些站点而不被察觉，以便建立起足够极端的 AI 能力，从而显著改变地缘政治力量平衡。这涉及避开政府内部的间谍、网络行动、协助探测秘密项目的更聪明的 AI、卫星监测，以及任何达成一致的美中政府透明度措施（例如保护隐私的 AI 读取机密信息）。如果美国产生怀疑（例如由于上述任何一项提供的证据），中国将需要避免做出会暴露其秘密项目的让步（例如让美国实体检查员进入潜在的秘密项目地点），同时避免协议破裂的可能性。
• 避免测谎仪（或其他大幅改进核查能力的 AI 技术）的开发或使用。

中国也可以开展一个规模较小的秘密项目，其占用空间和被探测的可能性会按比例更小，但在迈向具有战略意义的 AI 能力方面进展也会更慢。

在实践中，美国将无法有把握地排除一个足够小的中国秘密项目。因此，值得关注的主要问题是：

• 能够躲避探测的秘密项目的最大规模是多少？
• 在我们当前的轨迹上，秘密项目会在什么时候对协议的完整性和全球安全构成威胁？

这些问题的答案将在很大程度上取决于整体情景。然而，在任何情景中，联盟（Consortium）成员都有余地调整策略，以扩大其相对于秘密项目的领先优势，主要方式是以协议在取得足够对齐进展之前就走向衰败的额外风险为代价来降低自身的软件进展速度，或者在推进之前坚持要求更稳健的探测技术。

第 1 节：我们缓解秘密项目策略概述

本补充材料概述了我们防止这类灾难性背离 Plan A 的计划。

此图概述了我们处理秘密项目的策略。该策略的各要素分布在四份补充材料中，如上图所示。在本节中，我们将概述整个策略。

对 Plan A 的背离可能发生在合法数据中心或秘密数据中心上。合法数据中心已被批准用于 AI 开发或使用，但需接受核查以确保其遵守相关规则。合法服务器的核查是《核查计划》（Verification Plan）的主要关注点。

本补充材料将聚焦于秘密项目带来的风险，即主要使用秘密数据中心的项目。

我们限制秘密项目的主要方式是限制其算力规模：秘密项目的数据中心必须非常小才能不被察觉。我们可以通过以下组合来限制秘密项目的算力：既阻止秘密项目获取算力，又在秘密数据中心建成后对其进行探测。

秘密数据中心的算力可以来自“存量”（2029 年之前生产的算力）或“增量”（在 2029 年期间或之后生产的算力）。我们对极强力地控制新芯片的增量持乐观态度，因为在 Plan A 下，算力生产受到高度受控晶圆厂的极其严密的监测。（具体而言，我们应能将转移量保持在近乎零的水平，并非常有把握地确信总转移量少于 10 万台 H100e。）在工业爆炸期间，核查新芯片的增量会变得更加困难，因为机器人的大量存在可能使建立秘密芯片供应链变得更加可行。联盟可以通过对机器人劳动力施加核查方法来防止这一点。

算力存量已经分散分布，因此更难找到，所以我们预测一个潜在的秘密项目会从现有存量中获取算力。这意味着 Plan A 的一个关键优先事项是估算协议前的存量，并对其中的高比例做出核算。

我们对一个能力过硬地执行的中国（PRC）秘密项目可能转移的算力量的中位数估计约为 150 万台 H100e（占 2028 年底世界算力的 0.5%，成本约为 150 亿美元）。

软件比硬件更难限制。然而，如果泄露了足够多的软件，即使是非常小的秘密项目也能开发出极其强大的 AI。秘密项目中的软件进展可分为两类：从合法项目获取的进展，以及秘密项目自身研究所取得的软件进展。

从合法项目获取的进展。对于大多数 AI 算法而言，安全防护几乎不可能实现。因此，我们在这里的主要防线是限制合法项目所取得的算法进展。尽管如此，在 Plan A 的大部分时间里，这仍将是秘密项目获取 AI 算法的主要方式。

秘密项目自身取得的软件进展。由于秘密项目所处的算力受到极端限制，这在默认情况下会很缓慢。此外，Plan A 旨在防止秘密项目能够使用最强大的可用 AI 系统来进行 AI 研发。但是，它们可能通过若干途径获得对高能力 AI 的访问，从而大幅加速秘密项目的软件进展速度：

• 从合法 AI 进行蒸馏。我们对通过隐藏中间计算等标准技术来缓解蒸馏持乐观态度，但仍预计秘密项目会由于蒸馏而获得能力稍强的 AI 系统。
• 使用合法的推理 AI 来进行 AI 研究。这可以通过默认拒绝来缓解。
• 窃取合法 AI 然后训练其消除拒绝行为。这可以通过模型权重安全来缓解。相比算法，我们对保护模型权重更为乐观，因为它们的体量较大。

第 2 节：防止秘密算力采购

我们估计，在美国有力地执行我们 Plan A 政策的情况下，一个在协议开始前一年就展开的、能力过硬地执行的中国转移行动，能够在协议开始时获取世界 AI 相关算力的 0.1% 到 1.4%（80% 置信区间），而不会让美国获得明确的违约证据。我们在下表中以各种单位展示了这一点。

第 2 节的其余部分论证这些数字。

在第 2.1 节中，我们阐述我们的核查方法，其核心涉及准确确定世界上的算力总量，然后追踪销售直至终端用户，以核实尽可能多的协议前算力的物理位置。

在第 2.2 节中，我们描述秘密项目可用来颠覆我们核查方法的策略。所有这些途径都需要在协议实施之前采取行动；这里我们假设中国在协议前一年开始转移：

最后，在第 2.3 节中，我们预测每条途径能产出多少算力，并对一个秘密项目可能获取多少算力做出综合估计。

第 2.1 节：限制秘密项目算力获取的政策

在 Plan A 实施之后生产的 AI 相关算力受到严密追踪和监测。因此，秘密项目在 Plan A 期间获取算力最可行的路径是从协议实施日期之前生产的算力入手。

现有算力最终将进入以下终端状态之一：

简而言之，我们建议

• 追踪 AI 算力生产投入品的记录，以准确了解协议之前实际生产了多少算力，
• 追踪成品 AI 算力的销售和转售记录，最终将其追溯到当前的物理位置
• 使用激励计划和航拍图像来定位任何销售未被记录或以其他方式无法追踪的算力。

这些分别聚焦于流程图最左侧的节点、流程图内部的蓝色分支树，以及流程图中的“未记录销售”部分。

建议 #1：审计半导体供应链，以获得所有协议前算力生产的准确记录

要详尽核算所有协议前的算力，我们需要从协议前生产的准确申报入手。换句话说，我们需要确保 AI 加速器供应商（如 Nvidia 和 Huawei）申报其所有协议前的销售。为了让瞒报生产尽可能困难，我们建议美国要求参与生产 AI 加速器的各上游供应商提供记录。

具体而言，你将从 Nvidia 和 AMD（商用 GPU）、Broadcom 和 Marvell（定制 AI 加速器）以及中国的 Huawei 和 Cambricon 的销售申报入手。然后这些公司将申报其库存、供应商和采购历史，例如：

• 来自 TSMC、Samsung Foundry、Intel Foundry 和 SMIC 的逻辑芯片制造；
• 来自 SK Hynix、Samsung 和 Micron 的高带宽内存；
• 来自 ASE/SPIL、Amkor 和 JCET 的先进封装。

然后这些上游供应商将申报其供应商、采购、库存和累计产量。在每一层，这些流量都可以交叉核对，因此要在不引入不一致的情况下瞒报生产，就需要以下几种做法的某种组合：

• 瞒报上游投入品的采购，这意味着上游供应商也需要瞒报其生产，
• 虚报某项上游投入品的库存，这在对所申报库存进行实物检查时会被发现
• 虚报生产环节的损耗，这将要求所有后续节点也瞒报其投入流量以相匹配。

值得注意的是，参与生产中国芯片的许多供应商总部并不在中国。可以想见，中国无论如何都可能协调这种造假。为了进一步震慑中国瞒报生产的企图，美国可以

• 作为举报人（whistleblower）计划的一部分，采访中国晶圆代工厂、加速器供应商等的员工。
• 在协议达成前的数年里，利用国家情报（如网络行动、人力情报来源等）在中国供应链中搜寻造假证据。

我们认为中国公司在这些条件下做出准确披露的可能性较大但并不确定。尽管我们不将此作为核心建议，也不在估计中依赖它，但供应链可以且应当在协议前采取行动，以使核查过程更为容易（示例）。

建议 #2：将申报的算力销售追溯到其物理最终使用地点

我们建议联盟通过两个层级来核实所有协议前算力的位置：通过向下追踪供应商的销售记录，详尽审计每一个规模超过阈值的算力所有者；并对剩余的小规模所有者尾部进行随机抽样，将每个被抽样的算力单元追溯到其当前的物理位置。其结果是一份在选定置信水平下的证书，为可能被转移到秘密项目的算力量设定上限。

• 从建议 #1 中已核实的供应商向直接客户销售的记录入手，审计每一个规模超过阈值 T 的直接客户，然后递归地审计已审计公司的每一个超过阈值的客户，直到所有未审计的接收方都低于 T。例如，你可以将此阈值设定为协议前世界算力的 0.01%（3 万台 H100e，当时成本约为 2 亿美元）。T 应处于或低于条约对秘密项目规模的目标界限，这样任何本身大到足以构成一个秘密项目的公司都会被确定性地审计。所谓“审计”，是指“获取所有购买、转售/转移或作为库存保留的算力记录”，以及“对该公司当前拥有的任何算力进行实物检查”。
• 例如，你可以将此阈值设定为协议前世界算力的 0.01%（3 万台 H100e，当时成本约为 2 亿美元）。T 应处于或低于条约对秘密项目规模的目标界限，这样任何本身大到足以构成一个秘密项目的公司都会被确定性地审计。
• 所谓“审计”，是指“获取所有购买、转售/转移或作为库存保留的算力记录”，以及“对该公司当前拥有的任何算力进行实物检查”。
• 有些已记录的流出无法继续追溯。这些将被全额计入一个未追溯的资金池 L，并被计为可能已被转移。两种主要情形：向无法审计的交易对手销售。如果一家公司的记录显示向一个无法接受审计的买家销售（例如空壳公司，或未保留任何后续记录的走私者），则整笔销售都被计入 L。由于 T 处于或低于目标界限，单笔超过 T 的此类销售就足以阻止认证，因此联盟还应调查卖方的其余记录，并将该案例转交给建议 #3 的工具。无法核实的退役声明。如果一家公司声称已报废或回收算力，联盟会将该声明与回收方的记录（回收方本身也是可审计的交易对手）、可获得时的序列号，以及精算的机队损耗率进行交叉核对。通过这些核查的数量被接受；其余的计入 L。如上所述，超过 T 的无法核实声明会阻止认证并需要调查。
• 向无法审计的交易对手销售。如果一家公司的记录显示向一个无法接受审计的买家销售（例如空壳公司，或未保留任何后续记录的走私者），则整笔销售都被计入 L。由于 T 处于或低于目标界限，单笔超过 T 的此类销售就足以阻止认证，因此联盟还应调查卖方的其余记录，并将该案例转交给建议 #3 的工具。
• 无法核实的退役声明。如果一家公司声称已报废或回收算力，联盟会将该声明与回收方的记录（回收方本身也是可审计的交易对手）、可获得时的序列号，以及精算的机队损耗率进行交叉核对。通过这些核查的数量被接受；其余的计入 L。如上所述，超过 T 的无法核实声明会阻止认证并需要调查。
• 当此过程完成时，每一个协议前算力单元要么经过实物核实，要么被计入 L，要么被记录为已交付给低于阈值的接收方。这些小规模交付的已核实记录（公司 1 收到 a_1 台 H100e，公司 2 收到 a_2 台，以此类推）就是第 2 层抽样所依据的清单。
• 从该交付记录中随机抽取 H100e 单元，并追踪每个被抽样的单元经过任何转售链条，直到它要么到达一枚经过实物检查的芯片，要么追踪失败。
• 从所有被记录为交付到尾部的算力中均匀随机抽取一个单元。这会以与接收量成正比的概率选中一家接收公司。审计该公司：它可核实收到的算力必须等于当前持有量加上已记录的后续销售加上有据可查的损耗，其中持有量需经过实物检查。
• 销售记录并不区分单枚芯片，因此被抽样的单元在账户内按比例解析。如果该公司持有其收到的 500 个单元中的 200 个，则追踪以 200/500 的概率在此结束，并且必须出示一枚芯片供检查。否则，它将沿着一笔已记录的后续销售追踪到买家，然后重复审计。
• 每次追踪的结果要么是通过（一枚经过实物检查的芯片），要么是失败（检查短缺、账目不平衡、无法出示的买家，或无法核实的退役声明）。将大额转移拆分到许多低于 T 的空壳买家的对手方将一无所获：这些销售出现在交付记录中，因此被抽样的追踪会按其规模比例落在它们身上，且每一次此类追踪都会失败。第 2 层随后会统计性地探测并测量出缺失的算力。
• 抽样审计以最短的提前通知进行，检查员在每次检查时记录芯片序列号。同一序列号在时间上不一致的两次检查中出现，本身就是一种违规。若无这两项措施，秘密项目可以用临时借来的芯片通过审计。
• 在此之后，联盟防止 L 增长：协议后超过最低限度规模的转移只允许发给已注册的可审计交易对手，且协议后的退役需要有见证的销毁或经序列号核实的回收。

由此得到的证书是：在置信度 1 - delta 下，没有任何秘密项目超过 D + L。D 随干净的抽样追踪数量增加而缩小（大致上，n 次追踪能认证约为 (尾部规模 / n) * ln(1/delta) 的 D）。L 是一个直接测得的量，进一步审计无法降低它；要降低它需要建议 #3 的外部证据工具。

建议 #3：通过激励措施和航拍图像定位剩余的未核算算力

直接观测 AI 数据中心。我们相对有把握，情报部门能够在协议之前，使用与 Epoch、SemiAnalysis 及其他商业机构类似的方法，识别并定位中国境内的每一个（未经专门隐蔽的）AI 数据中心。当这些数据中心最终接受检查时，检查员可能会发现一些无法追踪的算力。（此方法对协议时已生产但尚未部署到数据中心的算力没有帮助，那部分算力可能约为 5000 万台 H100e。）

回购计划与走私特赦。我们希望激励拥有无法追踪算力的任何人，或任何可能掌握相关信息的人，主动站出来向联盟透露其位置。不透露缺失算力的最明显原因是你正将其用作某个秘密 AGI 项目的一部分。除此之外，私人行为者可能不愿主动站出来的两个原因是

• 如果该算力最初是通过非法途径获得的（例如走私，或为走私目的而进行的欺诈或盗窃），且当事人担心主动站出来会受到惩罚，或者
• 如果当事人认为自己将算力卖给其他行为者（例如某个企图开展秘密 AGI 项目的国家）能获得更好的回报

如果在采取前述步骤后缺失算力的数量仍然高得不可接受，我们建议同时打击这两种动机。对于第 1) 种，各国应向任何能将缺失算力交付给检查员的人提供完全特赦。对于第 2) 种，各国应提出以高于市场的价格购买缺失算力。请注意，承诺这样做会造成一种有利于走私的反常激励，因此只应在需要核算额外缺失算力时才实施。

第 2.2 节：秘密项目获取算力的策略

来源 #1：从走私增量中转移

适用于：西方制造的 2028 年增量

即使在 Plan A 下，我们也预测在协议实施之前仍会有大量算力被走私到中国。由于走私者已经打破/伪造了链条中的某些环节，且可能不会像合法供应商那样保存同等详细的记录，因此当供应链追溯最终追到某个供应商时，用虚假身份购买算力而不引起太多怀疑或许是可能的。

推测性地说，中国情报部门可以设立一家表面上来自另一个美国对手国（例如俄罗斯）的假公司，并以该身份购买芯片。由于这样一个国家可能也有隐藏芯片的动机，最终的算力销售追踪或许无法断定这些芯片是在（例如）俄罗斯还是别处。

来源 #2：隐瞒部分协议前的国内生产

适用于：中国设计的 2028 年前存量以及 2028 年前增量。

为了让算力躲避转售追踪和实物检查过程，中国情报部门可以安排国内加速器供应商瞒报其协议前的销售。算力生产追踪工作旨在通过核算所有实际生产出来的加速器来防止这一点。中国情报部门需要安排像 Huawei 这样的加速器供应商低报其从各供应商公司的订单，并让那些供应商低报其产量。那些供应商又有自己的供应商，他们也需要使其陈述保持一致。（例如，为了制造 Huawei 芯片的逻辑裸片，SMIC 依赖来自另一家公司的硅晶圆。）

供应链的某些环节会位于外国，使中国情报部门更难操纵。另一方面，某些关键瓶颈（如高带宽内存）很可能正在被走私，这可能会使供应链追踪复杂化。

为了避免必须伪造来自数十家不同上游供应商的记录，缺失的产量可以用波动的生产良率来解释。（例如在光刻中，每块晶圆上的一部分裸片会有缺陷，使这些裸片无法使用。代工厂力求优化这一良率，但这需要持续的研发，且会随时间变化，尤其是中国代工厂在奋力追赶 TSMC 时。）然而，任何通过低报良率而否认其存在的中间投入流量，仍然需要被秘密制成成品。（延续上述例子，通过低报良率来获取未被追踪的逻辑裸片，仍然需要未被追踪的 HBM（来自另一家供应商）和未被追踪的封装（也在别处完成）才能制成成品加速器封装）。因此良率造假只会减少需要协调的公司数量。

最理想的情况是在最终组装阶段操纵良率。据我们所知，这里的良率比早期阶段高得多且更可预测，因此对其进行重大造假似乎不可行。

总体而言，这一策略似乎相当冒险，因为每增加一家公司都会增加出错和泄露的机会。然而，也有可能举报人/采访/人力情报计划的效果不如我们预期，或者这种在严密审查下的多公司造假对中国情报部门而言比我们预期的更为常规。

来源 #3：通过虚假退役从存量中转移

适用于：西方制造的 2028 年前存量

默认情况下，一部分算力会在购买与协议开始之间退役。这对算力销售追踪构成一个问题，因为（如今日的做法）退役并不涉及可事后核实的芯片销毁。

对于正常的芯片寿命，这个量很小。（例如，一种常见的折旧计划是 5 年，因此在协议前的 5 年里以每年 2-4 倍的算力增长率计算，第五个生日发生在协议前的算力将少于 2^-5 – 4^-5，即协议开始时全球算力的 3.1% 到 0.1%。）

据我们了解，美国超大规模云服务商对整个退役过程有详细记录。例如，Microsoft 退役的 AI 服务器被送往 Microsoft Circular Centers，在那里高价值组件（AI 加速器肯定符合条件）被拆除，并评估用于内部再利用、转售、捐赠（用于教育目的）或回收。如果我们假设美国超大规模云服务商（目前拥有全球算力的 71%）能够提供其退役芯片的准确计数，那么退役比例就降至协议开始时累计全球算力产量的 0.9% 到 0.03% 之间。

对于较小的算力运营商以及中国的算力运营商的情况，我们不太确定。

作为一种潜在的转移策略，中国情报部门可能会安排大型中国云在协议前退役其美国设计的算力（也许以政治性地展示中国半导体自给自足为由，或以隐藏先前走私的证据为由），同时设立假回收商来接收这些硬件并将其囤积起来而非回收。在协议前退役大量算力会造成模糊性，即是否应将其视为可能用于秘密项目，因为即使中国诚实行事，它也可能无法证明这些芯片确实被回收了。

在可行的范围内，我们建议美国情报界监视中国的 IT 设备回收行业，以防范这一策略。

作为一种让退役看起来不那么可疑的推测性潜在策略，中国情报部门可能利用网络攻击在已安装的设备中诱发看似硬件故障的现象，促使不知情的数据中心运营商将一部分已安装的硬件退还给服务器或 GPU 制造商（例如 Huawei）进行 RMA，或以其他方式回收它们。中国情报部门随后会截走这些货物，并将其记录为已回收。

来源 #4：使用申报的军用算力来协助秘密 AGI 项目

如果美中无法通过谈判取消其未经核查的军用算力，它可能被用于 AI 开发。可转移到秘密项目的军用算力量完全取决于谈判如何进行。美国可以通过几种不同的方式来谈判，以尽量减少未经核查的军用算力的数量。为了最小化可能用于军用 AI 开发的算力的最大值，美国应推动将所有军用算力纳入仅推理核查。这样做的缺点是会激励那些原本可能被判定为不值得的秘密项目，但它确实改善了最坏情况的情景（秘密项目与申报的军用算力协同工作）。

或者，美国可以接受更大数量的未经核查的军用算力，也许将该数量与缺失的协议前算力量挂钩，以激励将任何秘密囤积公开化。在某些假设下，这些策略可能会降低用于军事研发的算力预期总量，但代价是增加了具有侵略性的对手可用的总量。

总体而言，我们建议美国应推动将所有军用算力纳入仅推理核查。

第 2.3 节：定量估计

我们考虑两种估计方法，用于估算一个高能力秘密项目可能获取的算力量。我们对第一种方法的信任程度高于第二种，并主要将第二种方法作为一种合理性检查。目前，这些方法都不包括使用申报的军用算力来协助秘密 AGI 项目。

方法 #1：自下而上

在此方法中，我们假设中国同时采用我们上文识别出的所有获取策略。我们给出每种策略可获取算力的分布，以及每种策略可行的概率。然后我们将它们汇总，得到被转移算力总量的分布。

来源 #1：虚假退役

如果供应链追踪和数据中心跟踪有效，已安装的算力就无法在没有解释的情况下从数据中心移除。因此，要么需要有一个解释，要么需要颠覆供应链追踪和数据中心跟踪。我们认为后者很可能不可行，即使可行也只会贡献相对少量的算力，所以为简单起见我们将其排除。因此，转移 2028 年前存量的唯一方法是虚假退役仍能工作的芯片。

我们估计，以虚假退役可行为条件，它能产出 2028.0 时中国存量总量的 6.7% – 13.4%、2028.0 时世界存量的 0.45% – 0.9%，以及世界协议前算力的 0.21% – 0.42%（以虚假退役方案完全可行为条件（60%））。

来源 #2：转移协议前增量

这将需要隐瞒部分协议前的国内生产，并将其直接转入为秘密项目的储存。

假设中国生产的全球算力比例大致保持不变，并考虑到 2028 年增量，我们估计此途径产出的中位数为 0.13%（80% 置信区间：[0.05%, 0.31%]），以其完全可行为条件（25%）。

来源 #3：转移走私芯片

• Nvidia 有向直接客户（例如像 Dell 这样的服务器 OEM）销售一定数量单元的记录
• Dell 将加速器组装成服务器，并有记录售出多少台服务器给 Nebius
• Nebius 有记录购买了多少台服务器以及它们位于哪些数据中心。

假设这些参数相互独立并进行模拟，这产出 2028 年增量的 0.44% [0.04%, 2.19%]，即 2029.0 时世界算力的 0.23%，80% 置信区间 [0.02%, 1.2%]。

汇总上文讨论的所有方法后被转移算力总量的分布。

方法 #2：基于军费开支的估计

下面的数字比方法 1 中的数字估计得不那么精确，因为这主要用作合理性检查。

对上表中的分布进行模拟得到全球算力的中位数 0.23%，80% 置信区间为 [0.022%, 2.34%]。

第 3 节：探测秘密 AI 基础设施

本节比上一节更具推测性。我们并非任何相关领域的专家，可能忽略了重要的考量因素。

在本节中，我们将讨论：

• 探测秘密项目的方法（第 3.1 节）
• 秘密项目可能采取的规避这些探测方法的策略（第 3.2 节）
• 关于探测效果如何、在什么时间尺度上有效，以及这如何取决于秘密项目规模的定量估计（第 3.3 节）。

第 3.1 节：Plan A 的探测策略

方法 #1：追踪废热

根据能量守恒，进入数据中心的每一兆瓦电力必须与以某种形式（主要是热）输出的一兆瓦相匹配。数据中心排热的标准手段会产生从太空可见的独特特征，而隐藏或伪装这些特征似乎是隐蔽秘密数据中心的主要制约因素。

现代 AI 服务器设计为使用液冷，即将冷却液泵送通过 IT 设备以吸收热量。冷却液将其热量倾倒给水，而水通常被泵出数据机房并由室外冷水机冷却。这些冷水机为风冷式或水冷式。

风冷式冷水机让冷空气流过带翅片的冷凝盘管，将空气加热约 10-15 摄氏度。可以将冷水机隐藏起来不被直接看到，但被加热的空气最终必须逸散到大气中，而它所经过的任何开口都会平衡到比周围表面更高的温度。这些被加热的表面在红外光谱中辐射，可从太空看到。存在能最小化热排气口红外特征的技术（例如用于 F-117 等低可探测性飞机）。我们对这能否成功应对持续的卫星监测有些怀疑，但这可能是可行的。当然，让这些排气口不可见并非严格必要，它们可以被伪装成一个合法工业设施的一部分。

水冷式冷水机将热量从数据中心冷却回路传递到另一股水流，该水流在冷却塔中被蒸发。在某些天气条件下，水蒸气会凝结形成可见的云。我们不确定要持续隐藏这些云会有多难。

在 Google Council Bluffs（东）数据中心的冷却塔上方可见的凝结现象，该数据中心排放约 190 MW 的热量。

另一种排热方法就是简单地将热水倾倒进河流或海洋，这是核电站常用的冷却方法。要在不产生红外可见的热羽流的情况下做到这一点很难，尤其是因为在长达数年的运行期内进行时间平均可以分辨出极其微小的热差异。也许可以将热特征隐藏在现有热源之中，或在深处使用多口扩散器将羽流分散到足够宽的区域以避免探测。

海阳核电站（Haiyang Nuclear Power Plant）热羽流的 Landsat 图像，该核电站冷却位于中国东部海岸的两座 1.1 GWe 反应堆。

方法 #2：其他 IMINT/MASINT 来源

干涉合成孔径雷达（InSAR）似乎对探测秘密数据中心项目的建设阶段有潜在用处。一份 LLNL 技术报告基于测量隧道开挖随时间引起的地壳微小位移，研究了将其用于表征已知地点的地下建设，但它似乎不太适合发现一个未知设施。它可能有助于获得额外证据，证明一个可疑地点实际上是一个秘密数据中心（例如通过观察开挖体积的形状）。

任何地下开挖都需要将泥土和岩石（称为“弃渣”）运到地面。这可能难以隐藏：选项包括将开挖隐藏在另一个工业项目中、将隧道入口设在建筑物内并用卡车运走弃渣，或将弃渣倾倒进河流。

最后，美国太空军和 NRO 目前正在开发的天基地面移动目标指示（GMTI）系统可用于追踪参与建设或运营秘密数据中心的单个后勤车辆，具体取决于项目时间表。我们不确定这对探测有多大帮助，但在它可以被建模为“显示中国境内每一辆未被遮挡车辆的视频地图”的程度上，它与 Plan A 将带来的海量 AI 劳动力结合起来似乎极其有用。如果该系统需要被指派到一个狭窄区域才能追踪车辆，那么它对发现偏远站点的用处就会降低，但对收集关于已被标记为可疑区域的证据仍然有用。

方法 #3：SIGINT（信号情报）

建设秘密数据中心需要专门的承包商。例如，按照我们下文在“建设隐形数据中心”中讨论的策略，你会需要

• 开挖
• 水力工程，用于设计和建造隐藏的冷却进水结构和排水口
• 核工程
• 普通数据中心项目所涉及的所有承包商和专业学科
• 可能还有 TEMPEST 或同等技术

美国似乎有可能识别出数量相对较少的承包商，其中几乎肯定有一家会参与秘密项目。针对所有这些公司的网络行动可能足以排除秘密项目的存在。我们对这样做的可行性和潜在后果并不确定。相关公开信息包括 NSA 在 2010 年对 Huawei 的入侵，据报道他们在其中“获取了关于[Huawei 生产的网络产品]工作原理的信息，并监视了该公司高管的通信”。

方法 #4：HUMINT（人力情报）

尽管反间谍机构可能会仔细审查那些对秘密 AI 项目有完整、有罪知情的个人，但外国情报资产被纳入该计划的知情范围似乎是可能的。显然，可用于估计这种可能性有多大的公开信息非常少。我们模糊的感觉是，中国被认为是西方人力情报收集较为困难的国家之一。

作为协议的一部分，我们建议美国谈判争取一个举报人计划，根据该计划，任何拥有算力转移、秘密 AI 数据中心建设或其他破坏协议活动证据的人都可以接受采访，并被保证免受报复。考虑到这样一个计划也会有助于中国境内的正常非 AI 相关人力情报工作，我们不确定这里有多大的外交余地是现实的。让一个中立的第三方在中国运营该举报人计划，可能比美国自己运营更容易被接受。

方法 #5：AI 银弹

注意：本节所有内容都比本文档其余部分更具推测性，因为它假设了极端的 AI 能力。

在 Plan A 期间，我们扩展到极其强大的 AI；达到在所有方面都与顶尖人类专家一样强大的 AI。这加速了经济和科学进步，可能大幅改善探测能力：

• 可靠的测谎仪。AI 可以加速可靠测谎仪的开发。现有的测谎仪（如多导仪）相对容易被欺骗。可靠的测谎仪可能在不久的将来通过正常的人类技术发展被开发出来，但极端水平的 AI 能力可以加速这一时间表。同样不清楚的是，测谎仪的开发在多大程度上会被政治上接受。如果一个拥有秘密项目的政权有可能出于原则拒绝接受测谎，那么测谎仪就没有帮助。另一方面，除非中国和/或其他交易对手同意让高级领导人接受测谎，否则美国可以退出协议。
• 保护隐私的 AI 核查技术。AI 可以使侵入性核查以一种保护隐私的方式进行，即不泄露不可接受的信息。这可以如下实现。首先，在中国各地放置大量传感器（如摄像头、温度计）和移动机器人，使得如果美国能够观测到它们中的每一个，就会有把握地确信不存在中国秘密项目。然后，将所有这些信息交给一个由美国在中国领土上的安全服务器上训练的 AI，让该 AI 分析这些信息寻找令人担忧的迹象。最后，允许该 AI 传达一个非常高层次的发现摘要（例如，“中国是否在运营一个秘密项目？”），并删除其余信息。原则上，这种方法可以实现足够侵入性的核查，从而有效排除秘密项目，而不泄露任何敏感的国家机密。
• 极端的工业核查。到 2035 年，Plan A 中的美国实际 GDP 相对于今天增长了 25 倍。这使得极端的工业产能壮举成为可能。在极端情况下，所有相关的制造和工业过程（例如可能被用来隐藏秘密项目废热的铝厂）都可以被拆解并在一个经过核查的地点（即机器人经济特区）更换/重新组装。同样，可能没有支付这种代价的政治意愿；然而，如果存在重大压力（例如因为双方都强烈希望继续合作性的 Plan A 机制，但有一些秘密项目的证据，所以一方希望获得更高的保证），这种情况有可能发生，尤其是如果与保护隐私的 AI 核查相结合。

在 Plan A 的过程中，AI 将取得大量科学进步（可能相当于在整个 2030 年代取得数百年的人类等效进步）。历史上的技术进步产生了各种有助于探测秘密项目的技术，而这些技术在很久以前是很难预测的（例如卫星监测）。我们应当预期，所有这些进步将以难以预测的方式带来改进的探测方法。我们同样应当预期技术进步也会有助于隐蔽秘密项目；然而，我们的总体猜测是，我们预期技术进步更有利于核查而非隐蔽。

第 3.2 节：秘密项目规避探测的策略

在本节中，我们讨论秘密项目可以采取的规避探测的策略（分类为“隐形”或“伪装”）。

秘密数据中心会有多分散？

为什么用一个大数据中心而非许多小的？秘密项目会力求最小化每单位算力的项目探测风险。在足够小的规模下（例如单台 8xH100 服务器），每个站点的探测风险似乎随站点规模呈亚线性增长（四个不同城市中的四台不同 8xH100 服务器组成的一组，其探测风险高于将全部四台服务器放在单个机架中的情况）。因此，为了最小化每单位算力的探测风险，你应当增大站点规模，直到每个站点的探测风险开始随站点规模呈超线性增长，或直到某些其他制约因素阻止你进一步扩大规模。

方法 #1：伪装的数据中心

与“隐形数据中心”相比，“伪装的数据中心”有一个劣势：任何特定的、可见的设施都可能受到集中审查并可能面临质疑检查。例如，美国可以汇编一份中国最大工业负荷的排名列表，指派卫星频繁重访它们，收集关于表面上运营它们的公司的信号情报，并试图招募在那里工作或住在附近的人力来源。对于一个产生可见物质产出的工厂，直接追踪从该设施运出的货物并将其与排热进行比较似乎是可行的。（例如，一个伪装成铝冶炼厂的数据中心产出的铝会远少于同等功耗的冶炼厂的典型产量。）你可以试图通过使数据中心只占总功耗的一小部分（例如 1% – 10%）来绕过这一点，但这会将数据中心限制在约 10 MW – 100 MW 的量级（我们不知道有任何 10 GW 或更高量级的工业负荷）。

然而，“隐形数据中心”需要更复杂的工程设计，可能并不可行，尤其是面对 Plan A 期间可能开发出的新型 AI 产生的遥感能力。

一些可能作为掩护故事的特定工业设施类型：

• 铝冶炼厂。中国每年生产 4300 万吨铝，铝冶炼厂每年每百万吨需要约 1.6 吉瓦，这天真地推算意味着中国有约 70 GW 的铝冶炼产能。
• 核电站。
• 燃烧式电厂

示例：将数据中心藏在铝冶炼厂之下

在此示例中，IT 设备将位于地下，任何开挖都在室内进行，以避免可见的弃渣堆或开挖设备。电力将从现场煤电厂或电网连接处转用而来（表面上是为支持冶炼厂）。这将要求该设施生产的铝少于其功耗或热特征所暗示的量。但根据我们的研究，似乎无法用国家技术手段准确测量从铝冶炼厂实际运出的铝。尽管数据中心的热特征与铝冶炼厂不同，但设计一套以类似铝冶炼厂散热方式来散发 IT 设备热量的冷却系统，在热力学上似乎并非明显被禁止。

方法 #2：隐形的数据中心

试图让数据中心看起来什么都不是，似乎比让它看起来像别的东西更复杂。我们识别出的最大困难是隐藏 IT 设备（以及任何现场发电）排出的热量。理论上，所有设备都可以建在地下并屏蔽卫星视线，但热量需要从某个地方离开设施。参见“遥感、IMINT 和 MASINT”一节。除了持续的特征之外，最初的建设期也会显示出活动，尽管避免探测有一些先例。

示例：直流冷却 + 核电

一种潜在策略可能是建造或扩建一个现有的地下设施，在那里安装足够多的小型核反应堆为 IT 设备供电，在海岸深水下建造一个进水结构，并对排水口使用某种深水多口扩散器式设计，以尽力确保热冷却水在到达水面之前稀释到低于红外噪声底限的温度。我们不确定能否按这些要求设计出一个扩散器，但这似乎是可行的。如果可行，这类设施一旦运行似乎相当难以通过遥感探测。核反应堆不频繁或不需要换料的特性，会使得即使完全掌握中国的电网、天然气分布等信息也不足以定位该设施。我们认为现有的探测隐藏核反应堆的技术在这种情况下不会有效，但同样，我们并非专家，在这方面可能是错的。

混合策略

中国也可以对设施的某些方面追求“隐形”，同时伪装其他方面。例如，也许可以将 IT 设备和发电装置设在一个物流仓库内（例如用卡车接收柴油燃料的运输）。这有一个优势，即物流仓库很多，因此上文提到的密切审查考量可能不适用。然而，由于物流仓库通常不排放太多热量，冷却仍需通过上文讨论的某种技术被渲染为“隐形”。

第 3.3 节：定量估计

被转移的算力需要多少数据中心容量？

使用上述参数值，一个总设施功率为 1 GW 的秘密数据中心可支持 190 万台 2028 年代走私的美国芯片 H100e，或约 100 万台退役美国芯片 H100e，或 52.5 万台 2028 年代国内生产芯片 H100e。

建设需要多少时间？

如今，Epoch 发现吉瓦级数据中心很可能能在两年或更短时间内建成。

指向建设比这更快的考量因素：

• 到 2029 年，建设这种规模的数据中心将更常规，且很可能比今天更快。
• 此外，作为中国政府的头号国家优先事项，可能使时间表比通常更快。
• 在 Plan A 中，我们预测建设劳动力将在很大程度上被机器人自动化。我们对这里的时机不确定，在协议开始时这可能不是一个重要因素。

指向建设比这更慢的考量因素：

• 秘密的地下设施需要普通数据中心所不需要的定制工程。
• 建设速度可能受劳动力或开支以外的因素制约（例如，如果在偏远地区开挖一个大型地下洞穴，弃渣（开挖出的泥土、岩石）被运走以在广大区域分散以避免形成卫星可见堆的速率可能有上限）。
• 如果需要大量人力劳动，避免间谍的要求可能会使招募工人变得困难。另外，将项目的各部分分隔开可能会制约可并行性（例如，你可能希望先完成开挖再安装任何 IT 设备，以减少知道那里正在安装 IT 设备的人数）。

我们使用两年作为点估计。

各种规模的秘密项目会招致何种探测风险？

我们使用以下方法来估计探测概率。

• 我们不确定探测风险如何随站点规模变化。由于缺乏预期探测风险随站点规模呈超线性变化的任何理由，我们怀疑最优策略类似于“在可行性约束下让站点尽可能大”。在上述策略的启发下，我们估计一个关于最优站点规模的分布（其中最优基本上是“最大可行站点规模”的操作化）。
• 对于几个可能的“最优站点规模”条件，我们估计在 Plan A 的 10 年期内，以 1 个这样的站点和 10 个这样的站点为条件的探测概率。
• 我们用一个共享脆弱性（shared-frailty）模型对这些直觉进行插值。这让我们能够为运营任意算力量的站点生成 10 年探测概率（以特定的最优站点规模结果为条件，但我们也可以对其进行边缘化）。
• 我们还估计 3 年探测概率，并用一个 weibull 型风险率（风险率随时间的幂次变化）对时间进行插值。这让我们能够为运营任意算力量的秘密项目生成随时间的生存曲线。

我们目前对“探测”的操作化聚焦于物理基础设施。我们要求

• 在美国评估为可疑的地点中，它评估为最可能是秘密数据中心候选的那个实际上就是一个秘密数据中心
• 美国情报界的评估对该候选是秘密数据中心有 >50% 的把握。（这一阈值有可能应当更高）。

此操作化的目标是匹配美国在外交上感到可以自如地请求检查该站点，并在需要产生额外压力时向国际社会披露它的那个点。

遗憾的是，由于时间限制，上述过程中使用的数字完全基于直觉，以及关于我们所考虑的探测方法和隐蔽策略的定性推理。似乎可以应用一种历史参照类方法，我们也非正式地考察了各种秘密项目的历史例子。但由于本案例与我们能找到的历史例子之间存在诸多不对称性，加之我们的非正式研究没有得出明显的结论，我们判断一个定量的参照类估计不值得投入时间。

因此，我们对随时间变化的探测概率的估计应被视为高度推测性的。为了推理的透明性，我们还是选择将它们包含进来，因为各国探测秘密项目的能力是我们观点的一个重要输入。

这些估计仅假设上文讨论的单边探测方法，并以未发现任何“AI 银弹”为条件（我们在最终模型中再在其上叠加这些）。“3y”指“进入协议后三年”。

Thomas 对于该类别中任何事物能让我们在以下年份之前探测到秘密项目的可能性（假设 Plan A 的各种事件发生）的总体看法是：

所有这些数字都撇开了其他所有探测方法，也就是说，它们假设没有探测能力。

第 4 节：限制联盟对秘密项目的能力提升

在 Plan A 中，全球的合法项目在整个 2030 年代开发出极其强大的 AI 和机器人技术。其中一些进展会外溢到秘密项目，使得秘密建造 AGI 比在全球暂停 AI 开发（如 Plan S 中）的情况下更容易。我们的最佳猜测是，考虑到在协议主持下建造更强大 AI 所带来的对齐、权力集中和避免战争等方面的益处，这种增加的风险是值得的；关于原因的更多讨论见我们的《比较可能方案》补充材料。

在本节中，我们总结影响联盟 AI 进展在多大程度上有利于秘密项目研发的各项 Plan A 政策。我们还估计

第 4.1 节：相关的 Plan A 政策

建议 #1：完全的研究透明

在 Plan A 中，几乎所有 AI 研究对公众完全透明，包括所有前沿 AI 项目的 AI 算法、代码和文档。AI 模型权重、训练数据的相当一部分，以及少量其他敏感信息，被阻止离开数据中心。

建议 #2：推理监测以防止秘密项目能力提升

参见我们此处的推理监测和限制。

对于我们不希望其能力扩散给秘密项目的模型，我们不打算提供零数据保留（ZDR）推理。参见我们此处的 ZDR 政策。

建议 #3：模型权重安全

我们认为实现高置信度的模型权重安全对 Plan A 极其重要，在联盟约有 95% 的把握确信世界上装备最精良的行为者无法窃取模型权重之前，它很可能不应远远超出协议前的能力水平。预测这种情况发生的可能性超出了本补充材料的范围。

第 4.2 节：秘密项目策略

路径 #1：从联盟模型进行蒸馏

目前，像 Minimax 和 Zhipu 这样的中国实验室在研发算力上的支出比 OpenAI 等美国前沿实验室少约 20–30 倍。根据我们的预测，一个秘密 AI 项目在协议开始时相比领先 AI 公司起步时算力少约 20-30 倍似乎是合理的。因此，尽管保密的要求无疑会是一种负担，但运营中国秘密项目的研究人员起初可能不会觉得比他们合法运营时受到更大的算力约束。尽管美国实验室有算力优势，但它们显然并未设法拉大其在模型能力上的领先。

我们认为这主要归因于“蒸馏”，此处宽泛地用来指使用最先进的闭源模型来生成合成数据和评分强化学习轨迹。这些技术可以实现算力效率极高的训练，在某些情况下提供超过一个数量级的算力等效增益。

那么秘密项目能否像今天的中国实验室那样保持落后前沿 3–9 个月？一方面，与今天落后的实验室相比，秘密项目在协议开始时会获得额外的助推：与今天不同，所有训练配方都将变得透明。这种最初的非重叠见解共享会在协议开始时将联盟和秘密项目的前沿一起前推。另一方面，Plan A 试图通过例如限制公司在其 API 中泄露中间模型输出来缓解蒸馏。

我们不确定这些措施对一个坚定的对手会有多有效。大量不同的 AI 公司、应用和部署会提供相应巨大的攻击面。政府也可以向本国某个 AI 项目施压，让其故意为蒸馏留一个漏洞。

至关重要的是，蒸馏不能使具有破坏稳定性的军民两用研发能力扩散，而这些能力可能会在协议相当早期（例如在我们的 SAR 和 TED-AI 里程碑之间）出现。出于这个原因，我们建议联盟开展持续的红队实验，让一组研究人员在秘密项目会面临的类似情况下尝试蒸馏当前的前沿模型。根据结果，可能有必要暂停更强大模型的外部部署，直到能够获得更多保证。

路径 #2：从联盟模型中提取研发劳动力

在推理数据中心运行的联盟模型将配备分类器，用于标记任何看起来像 AI 研发的尝试。（在 Plan A 中，会提供高于协议前 SOTA 的 AI 研发能力提升的模型不在 ZDR 下提供。）针对这些东西进行迭代似乎有风险；我们不认为这是一个有前景的策略。

总体而言，如果联盟能力过硬，这条路径似乎相当不可能奏效。如果它确实奏效，秘密项目可能会利用在 AI 研发、生物学研发和其他军民两用领域具有超人实验选择技能（或“研究品味”）的模型，从而显著加速其进展。

第 4.3 节：定量估计

第 5 节：秘密项目何时会造成灾难？

要变得具有灾难性，一个秘密项目必须实现以下三件事之一：

• 不可逾越的能力领先。如果一个秘密项目能够取得对联盟足够大的领先，以至于即使联盟迅速转回竞速，也无法阻止秘密项目（或其赞助国）达到足以阻止以下任何一种结果的 AI 能力，就会发生这种情况。
• 扭曲力量平衡的能力。如果秘密项目显著改变了地缘政治力量平衡，例如通过赋予巨大的经济、军事或政治领先，就会发生这种情况。其极端版本涉及决定性的战略优势——即赋予拥有秘密项目的国家相对于其对手的完全战略优势地位。
• 扭曲 BATNA 的能力。如果秘密项目 AI 使其东道国的实力增强到如此程度，以至于交易对手宁愿留在协议中（尽管知道对方作弊）也不愿退出协议并试图单干，就会发生这种情况。

如果这些都不成立，那么：(i) 秘密项目没有不可逾越的能力领先：合法项目如果愿意就能追赶上，(ii) 各方大致保持其协议内的力量平衡，(iii) 各方都能可信地威胁退出协议，以胁迫一个已知的背叛者关闭其秘密项目。只要这些各项都成立，那么对协议的背离就不具有灾难性。

我们将秘密项目为满足这些条件中的任何一个而需要达到的能力水平定义为破坏协议的 AI（deal-undermining-AI）。破坏协议的 AI 不是一个固定的能力阈值，该阈值会随时间变化，取决于其他国家可获得的能力水平。

现在我们将讨论一个秘密项目要建造出破坏协议的 AI 有多困难。

第 5.1 节：通往秘密项目灾难的路径

不可逾越的能力领先

由于秘密项目面临巨大的算力赤字，实现不可逾越的能力领先极其困难。

在合法项目于 TED-AI 处暂停能力开发之前，秘密项目的大部分能力进展将来自实施合法项目开发的新训练配方（假设未发生蒸馏）。因此，“有效训练系统性能”差距将等于硬件差距，在该情景下 Plan A 开始时，从秘密项目到最大的合法项目约为 24 倍（80% 置信区间：[115 倍, 9 倍]）（假设秘密项目有约 150 万台 H100e，而最大的合法项目使用约 3600 万台 H100e 用于研发）。

秘密项目有两个优势：

首先，它们可能不会为安全而放慢。在 Plan A 内的某些时点，能力进展会因安全顾虑而急剧放缓或暂停。在这种情况下，秘密项目会自行取得一些软件进展，但非常缓慢。

其次，由于透明性和算法安全的困难，算法从合法项目流向秘密项目，但反之则不然。

即使秘密项目取得了能力领先，联盟也可以直接转回将其所有算力用于 AI 进展。在协议开始时，存在约 20 倍的算力差距（1.3 个数量级）；到 2035 年，它将扩大到 4.3 个数量级。如果所有新创立的算法都立即被输送给秘密项目，这毫无帮助，但是：

• 有些算法依赖于规模，因此对合法项目比对秘密项目更有帮助。
• 有些算法可能能够保持安全（例如，我们在 Plan A 期间的估计是只有约 67% 的算法泄露）。
• 对于那些并非极度透明的算法，窃取可能存在一些延迟（例如几个月）。

扭曲力量平衡的能力

据我们所知，秘密项目为改变地缘政治力量平衡而可能追求的最有前景的能力是：

• 说服 / 用于政治提升的 AI。如果秘密项目能够获得能力水平类似于例如 AI 2027 的竞速结局中 2028 年初 AI 的 AI，这可能使其东道国在政治上比其他任何人有效得多，使它们能够获得多得多的权力。说服型 AI 的主要限制因素是它很可能是一个高能力阈值。
• 秘密的机器人建设。秘密项目可以促成大规模的工业建设，例如在地下隧道中，从而获得比世界其他地区大得多的工业产能。这尤其相关，因为在 Plan A 情景中存在对机器人生产的限额与交易（cap and trade）机制。
• 军事研发。如果秘密项目拥有比合法 AI 强大得多的 AI，或者合法 AI 都受到激进的拒绝限制，秘密项目可以帮助设计更便宜、更好的武器（例如无人机、导弹、舰船、飞机、炸弹等）。
• 奇异的新技术。这包括纳米技术、意识上传、某些种类的生物工程，以及未知的未知因素。这些中的任何一个都会极具破坏稳定性；主要的不确定性在于它们有多困难，即达成它们需要什么水平的 AI、在多长时间内。

对于军事研发和机器人建设，主要限制将是以其他国家无法探测的方式取得足够的成功。如果其他国家察觉到，它们可以通过要求改进核查、要求进一步的军控协议，或自行加大生产以恢复相对的军事力量平衡来应对。

扭曲 BATNA 的能力

秘密项目大幅改善中国 BATNA 的主要路径是：

• 对算力的绝妙第一击（Splendid First Strike）。中国可以退出协议，摧毁美国的数据中心，此外还可以通过以下方式获得相对美国的不对称优势：(i) 摧毁美国加固的权重或芯片储备，或 (ii) 保护一些本应在协议解散时被销毁的算力。拥有足够的网络领先来克服合法项目的推理算力劣势，可能使秘密项目能够黑入美国的模型权重保险库并销毁副本。保护算力很可能需要重大的物理能力，即秘密的机器人建设。
• 在协议破裂后加快机器人生产的爬坡。例如，你可以秘密地取得相对世界其他地区的机器人研究领先，这样当协议破裂时，你就以更好的机器人设计起步。或者，你可以建立一个加固的机器人储备，这将创造一个更高的机器人起始数量，从中引导自举。

对于这一点，以及上述各点，也存在未知的未知因素（例如我们尚不知晓的新军事技术）。这些未知的未知因素很可能比我们已识别的任何具体路径更可怕。

第 5.2 节：将破坏协议的 AI 操作化

在本补充材料的定量分析中，我们通过假设破坏协议的 AI 是一个不随时间变化的特定能力阈值来简化建模。

我们选择什么具体阈值？我们目前将其操作化为“压倒顶级专家的 AI（Top Expert Dominating AIs，TED-AI）”，即在每个领域都优于顶级专家的 AI。由于 AI 的能力剖面目前相当参差不齐，TED-AI 在其最擅长的技能上会显著超越人类，而在其最弱的技能上仅达到顶级专家水平。

• 为什么不用更高的阈值？一旦 AI 超出人类范围，就很难限制我们不知如何防御的奇异新技术出现的可能性。而且，这可能不会产生巨大差异，因为超越 TED-AI 的智能爆炸很可能相当快。
• 为什么不用更低的阈值？处于人类范围之内的 AI 似乎不太可能开发出那种可能在地缘政治上具有破坏稳定性的新技术。即使是非常大的进步（例如便宜得多的拦截器）似乎也远未破坏相互确保摧毁（MAD）。

我们希望未来的分析能在此基线上有所改进。例如，“破坏协议的 AI”另一个合理的操作化是“任何比合法项目更强大的 AI”，因为……

• 如果秘密项目根本没有领先，它们就不可能拥有不可逾越的能力领先。
• 能力水平相似的 AI 很可能无法改变地缘政治力量平衡，如果防御方部署了能力更强的研究 AI 来进行红队测试，尤其考虑到联盟防御方将拥有多得多的算力（例如用于发现和修补漏洞）。这将取决于合法项目所采取的策略，即假设允许合法项目将 AI 应用于军事研发。在 Plan A 中，我们目前建议对使用 AI 建造新型超级武器施加一些军控限制。该政策的主要缺点是，它增加了秘密项目可能被用来获得巨大军事优势的机会。

然而，这一策略很可能需要比所需更激进的能力扩展。

• 秘密项目在较低能力水平（例如自动化编码员）取得领先很可能没问题，因为在那个时点，它们还不够强大到能让小的能力差距严重改变军事/经济力量平衡。在该情景中，2029 年期间有一段非常短暂的时间（在自动化编码员之前），合法训练在核查建立期间被暂停，因此在该情景中，秘密项目原则上或许能在这个窗口期取得领先，尽管实际上由于硬件差距而不太可能（此外，除非它们使用现有的豁免军用数据中心，否则秘密项目很可能需要更多时间来建立其基础设施）。
• 越接近人类范围的顶端（例如达到或超越顶级专家水平的 AI），就越容易想象一个小的 AI 能力迅速滚雪球般变成巨大的能力/政治权力。诸如超人的政治战略和说服之类的东西变得更加重要，且几乎不可能防御。

第 6 节：总体风险估计

本节的估计基于按我们《起飞补充材料》中所述模拟秘密项目的能力进展。

在本节中，我们量化联盟的扩展策略如何影响秘密项目开发出破坏协议的 AI 的风险。我们在这里只评估固定策略，其形式为“力求在协议开始后若干年达到 TED-AI，然后在那里暂停以进行对齐研究，直到延迟交接的风险超过其益处”。这有些不现实，因为在现实中，实施 Plan A 的决策者将能够根据收到的证据灵活应对并调整其策略。

例如，如果美国收到证据表明在 6 年内达到 TED-AI 需要大量的软件进展，他们可以推动联盟其余成员遵循一条更温和的扩展轨迹，更多依赖硬件建设，从而向秘密项目泄露更少的软件。这将降低秘密项目带来的风险，尽管它也会增加协议在安全达到 TED-AI 之前破裂的风险。他们还可以采用过滤透明而非完全研究透明，这将向秘密项目泄露更小比例的软件进展，从而在相同秘密项目风险下实现更快的扩展，代价是安全和协议受损的风险。

实际招致的秘密项目风险将取决于决策者如何平衡这些因素来选择一个扩展策略。下面，我们展示改变扩展时长和交接延迟如何影响所招致的风险。

我们假设

• 美国和其他未背叛的联盟成员能力过硬地实施我们所有的政策建议
• 中国在协议实施前一年（即 2028 年）执行了一个能力过硬的转移计划
• 在达到破坏协议的 AI 之前被探测到的秘密项目立即停止其进展。
• 破坏协议的 AI 被操作化为 TED-AI
• 协议期间未发生权重盗窃
• 协议在所讨论的时间段内未破裂。

具体而言，根据我们今天可获得的证据，我们估计

• 在自动化编码员里程碑之前大约一年停止 AI 研发并启动 Plan A（在我们的情景中，这意味着在 2029 年初实施它），
• 然后在接下来的 6 年里取得安全扩展到压倒顶级专家的 AI 所需的任何软件进展（在我们的情景中为 2035 年初），
• 然后再用 5 年时间努力实现一个高置信度的对齐解决方案（在我们的情景中直到 2040 年）

如果中国能力过硬地推进一个秘密项目并始终致力于将其隐藏，这将招致 13% 的秘密项目在被探测或交接之前开发出破坏协议 AI 的概率。

上述概率是通过从我们对 AI 研发底层动态的完整不确定性范围中抽取，再加上我们对各种秘密项目策略和缓解策略可行性的不确定性而得出的。我们在《起飞补充材料》中解释我们定量模型的细节。再次强调，实施 Plan A 的决策者将比我们掌握更多信息，这可能揭示出上述策略所招致的风险差异比我们估计中的要大得多。

为说明这一点，如果我们能够确定 AI 研发和起飞动态完全按我们情景中的方式运作，但对秘密项目的余地仍有不确定性，上表看起来会是这样：

假设 AI 2040 起飞参数，若干策略所招致的秘密项目风险：

第 7 节：秘密项目应对计划

针对秘密项目的政策应对的主要目标是：

• 阻止秘密项目建造出破坏协议的 AI。我们通常希望的情况是，合法 AI 项目拥有比秘密项目更强的 AI。这在智能爆炸早期不那么重要，但在后期变得至关重要，因为拥有更好的 AI 能力可能迅速导致不可逾越的地缘政治领先。具体而言，所谓破坏协议的 AI，我们指的是这样一种 AI：它要么 (i) 直接赋予秘密项目决定性的战略优势，要么 (ii) 能够持续超越合法 AI 项目，即使后者转向最大程度快速的 AI 能力进展。
• 威慑秘密项目的创建。我们希望的情况是，在 Plan A 开始时，美国和中国都确信，如果它们要开展一个秘密项目，它要么会在变得相关之前被探测到，要么会在 AI 进展上被超越，且这些结果比没有任何秘密项目更糟。
• 维持国际合作。特别是，如果不存在秘密项目，我们希望避免 Plan A 因缺乏信任而破裂，即一方担心另一方拥有秘密项目从而想要退出协议。
• 延长拥有人类水平但非超级智能 AI 的时间。拥有人类水平 AI 的时间非常宝贵，因为那是我们将在对齐上取得最大进展的时候。

目标 1 和 2 与目标 3 和 4 相冲突，因为预防/威慑秘密项目的一个核心工具是加速 Plan A 内的能力进展。

本节其余部分的结构如下：

• 首先，我们讨论对秘密项目可能的应对措施集合。
• 其次，我们讨论一个高层次的总体策略示例
• 第三，我们逐一讨论具体情景以及我们建议如何应对每种情景。

第 7.1 节：应对秘密项目的选项

在本节中，我们将讨论秘密项目风险看起来高得不可接受的情况下的政策选项。这些选项可以并行推进。请注意，其中许多选项（尤其是选项 1-4）需要与中国谈判。

选项 #1：切换到 Plan S

多边

美国和中国可以同意对正在进行的 AI 开发实行全面暂停。这将在秘密项目主要受益于联盟驱动的算法进展的机制下减缓它们。秘密项目仍可自行取得进展，但由于算力和劳动力瓶颈，速度会慢得多。总体而言，撇开探测不谈，这最大化了在一个固定规模的秘密项目赶超之前协议中的串行时间。

当然，这一选项具有切换到 Plan S 的标准缺点。特别是就秘密项目而言，它还可能延迟上文讨论的任何“AI 银弹”的产生，而这些银弹有助于缓解秘密项目。

Plan S 的退出路径是：(1) 我们成功开发出改进的核查技术，(2) 双方决定给予对方改进的核查访问权，(3) 在对齐上取得足够进展，以一种超越秘密项目的方式继续快速扩展，或 (4) 秘密项目构成巨大、迫在眉睫的风险，且不对齐风险小于秘密项目风险（同时仍然可观，否则我们就会处于选项 (3)）。

这些选项中最可取的是 (1)。在那种情况下，计划是：对 AI 研发发布全面暂停，直到我们拥有足够好的核查能力，能够确信秘密项目不是一个约束性制约，然后恢复到 Plan A。

选项 #2：采用一种最小化软件在能力进展中所占份额的扩展策略

在 Plan A 中，我们目前允许在 2035 年前约每年 0.5 个数量级的软件扩展，以及约每年 0.5 个数量级的硬件扩展。我们建议取得算法进展的原因在很大程度上是由于协议解散风险；如果秘密项目是一个约束性制约，我们可以最小化算法进展并纯粹依靠硬件扩展，而硬件不会扩散。将算法进展降到零很可能不可能（例如，安全研究不可避免地会有能力外部性），但我们或许能够将其降至约每年 0.1-0.2 个数量级。

选项 #3：尝试改进算法进展的安全

另一种方法是试图防止算法进展扩散（或增加其扩散的延迟）。同样，只要秘密项目主要依赖联盟的算法进展，这就会大幅减缓它们。主要困难在于，我们对开放/透明的渴望与对算法安全的渴望之间存在重大冲突：Plan A 的一个重要组成部分是完全研究透明，它有意将大多数算法发布到互联网上。我们在我们的透明补充材料中讨论增强算法安全的选项。

根据算法安全的成功程度，切换到更快的能力扩展可能是可行的。这显然会带来额外的不对齐风险，而在这种机制下很难放慢速度，因为秘密项目紧随其后，所以这不是一个理想的处境。

选项 #4：与中国谈判使其接受更强的核查

双边

例如，中国可以同意：

• 持续的侵入性物理监测（例如大型水源中的温度计、相关站点的摄像头、电网监测）
• 提供对表明不存在秘密项目的机密材料的访问权。
• 对可能的秘密项目地点进行实物检查（例如产生大量废热的工业厂房、大型水源附近的隧道等）。
• 对机密数据的访问权，例如 AI 可以查看黑色预算，并在其中有任何看起来像 AI 的东西时报告
• 降低豁免的军用算力上限

如果我们拥有可行的保护隐私的核查，使得 AI 能够访问这些信息来源并只报告高层次的信息比特，这可以使该选项更加可行。或者，美国可以可信地警告中国，除非他们向我们提供更强的核查余地，否则我们将退出协议。中国随后会有动机同意这些让步，因为协议破裂对他们非常不利，因为那将相当于类似回到现状（例如回到一场美国拥有多得多 AI 算力的竞速）。

选项 #5：竞速开发改进的核查

如果我们有足够的时间，投入大量资源冲刺开发改进的核查技术可能是值得的，例如能够实现上述选项的保护隐私的核查。拥有对更先进 AI 的访问权对这一选项有帮助。我们建议在几乎任何情景中都追求这一点，因为拥有实施更强核查的余地通常都有用，但在秘密项目构成重大风险的情景中，这尤其有前景。

选项 #6：改进起飞速度建模

单边

对秘密项目的担忧可能在很大程度上是由尾部风险驱动的，即起飞速度在极少量算力下比我们想象的更快。投入大量资源以获得关于智能爆炸在少量算力下能走多快的更好信息可能是值得的。一个显而易见的基线是对通用起飞速度建模（例如像 AI Futures Model 这样的东西）投入更多。

一个更激进的选项是创建一个“秘密压制小项目（covert dominating miniproject，CDMP）”——一个受认可的项目，用于模拟秘密项目的进展；它会被给予比我们认为能够躲避探测的稍多一些的算力，并会尽可能快地尝试进行智能爆炸，理论上超越任何秘密项目。这一提议的主要缺点是它会导致更快的算法进展（这随后可能扩散到秘密项目本身，进一步加速它）。然而，在我们对起飞速度非常不确定的机制下，这可能净得为一种改进，因为来自 CDMP 的经验观察可以让我们对高度算力受限机制下的起飞速度有一个好得多的估计。

选项 #7：退出协议并切换到 Plan B

这将涉及退出协议。双方会立即摧毁对方绝大部分算力，然后双方都回到竞速。这对双方都非常糟糕，因为它会立即造成经济上的灾难，并会显著增加不对齐风险、第三次世界大战风险和权力集中。

这一选项的主要好处是，它作为谈判中的 BATNA 很有用，而保留一个可信的退出协议威胁可以帮助从一开始就威慑秘密项目的创建。如果中国在明知有相当大的被探测机会的情况下建造秘密项目，而美国承诺一旦探测到就退出协议，那么中国从一开始就创建秘密项目很可能是不理性的。

退出协议的主要缺点是，如果这发生在中国实际上诚实、但美国出于某种原因对中国秘密项目做出了过于鹰派的估计的时候。（例如，也许算力估计有误，或者走私者比预期更难追踪。）在这些世界里，本来有继续推进 Plan A 并全面招致低得多风险的选项。

选项 #8：其他地缘政治让步

总的来说，如果美国怀疑中国正在背叛，他们可以使用标准的一套地缘政治工具来激励中国不这样做。在 Plan A 情景中特别值得注意的工具包括对两国都适用的机器人和算力上限。

第 7.2 节：针对秘密项目模糊证据的应对计划

美国可能获得秘密项目弱证据的具体方式示例：

• 芯片供应链追踪揭示出缺失了 100 万台 H100e：存在这些芯片被制造的记录（例如来自 Nvidia/TSMC/Huawei），但我们无法找到它们。这可能是走私者，也可能是一个由民族国家支持的秘密项目。
• 中国拒绝额外的核查。例如，也许美国怀疑某一组特定站点可能存在秘密项目，但中国不愿允许美国进入。这是对存在秘密项目的一个证据更新，因为如果这些站点是合法的，他们更有可能让美国进入。
• 美国可能从 IMINT / OSINT / SIGINT 获得模糊的情报，例如卫星图像可能暗示大规模地下建设，但美国可能无法确定它是否是一个 AI 相关的秘密项目。
• 美国注意到看起来可能来自中国但归因不明的模型权重外泄尝试。（这不一定意味着中国在运营秘密算力，但它是证据。）

基线应对：

• 采用一种对秘密项目更敏感的扩展策略，例如最小化算法进展（选项 #2）。
• 改进核查：既通过改进技术（选项 #5），也通过谈判争取增强实施（选项 #4）。
• 如果中国拒绝允许改进的核查，考虑退出协议（选项 #7）。这是应对中美国唯一可以单边进行的部分，但这对双方都是一个糟糕 BATNA 的事实，会对中国同意上述做法形成压力。

本质上，这一提议涉及对 Plan A 的部分内容进行边际微调，使其在秘密项目风险方面更为保守，因为有直接证据表明秘密项目是一个重大关切，但它允许 Plan A 的核心特性继续——仍然有完全研究透明、AI 的广泛部署、持续的可逆扩展等。

第 7.3 节：美国获得中国秘密项目的明确证据

美国可能获得秘密项目明确证据的具体方式示例：

• 网络间谍活动（例如 GPU 后门、找到机密文件等）
• 卫星影像（例如发现建设、来自该项目的热特征等）
• 项目内部真的有一名间谍
• 中国在谈判中的恶劣拒绝（例如，确实有非常可靠的保护隐私的核查技术，但中国拒绝使用它，且没有给出合理的解释说明原因）。
• 要求中国做出重大的地缘政治和基于核查的让步（选项 #8 和 #4）。
• 如果中国不愿做出这些让步，退出协议。（选项 #7）。
• 如果中国愿意做出足够的让步，评估核查状况看起来有多好，并选择一个与持续秘密项目风险总体水平相对应的能力扩展策略。

这一策略是合理的，因为它 (i) 惩罚中国并使其处于糟糕的战略状态，从而从一开始就威慑他们开展秘密项目，(ii) 允许 Plan A 协议继续，这对双方都是理性所愿的，以及 (iii) 阻止秘密项目开发出破坏协议的 AI。

附录

我们认为无效的秘密项目策略

获取算力

这一类别指的是中国芯片供应商 2028 年前的销售。这些销售可以想见地被低报，但这似乎比低报新生产（其本身看起来已相当困难）这一任务更困难。

非中国的秘密项目

本补充材料聚焦于中国秘密项目的可能性。然而，除中国之外的其他国家也有可能尝试秘密项目。我们没有详细研究这种可能性，因此对我们这里的结论没有把握，但我们初步认为中国是开展秘密项目最可行的国家，因为：

• 美国是世界上唯一算力比中国多的国家，而获取算力是秘密项目的一个核心瓶颈（见第 2 节）。
• 美国似乎不太可能在同意 Plan A 的同时选择转移算力，因为美国的 BATNA 比中国的 BATNA 更有利。
• 相对于中国，美国开展秘密项目的能力较弱。主要原因是：美国获取芯片会困难得多，因为美国国内没有大规模的芯片走私，而且美国似乎没有合理的借口强迫公司退役大量芯片，从而切断了秘密算力采购的主要途径。美国对行政权力有更多制衡，因此秘密项目在政治上可能更难建立。美国也似乎更难迫使相关公司配合秘密项目的努力（例如让半导体公司伪造销售记录），因为芯片设计层级以下的公司很少总部设在美国
• 美国获取芯片会困难得多，因为美国国内没有大规模的芯片走私，而且美国似乎没有合理的借口强迫公司退役大量芯片，从而切断了秘密算力采购的主要途径。
• 美国对行政权力有更多制衡，因此秘密项目在政治上可能更难建立。美国也似乎更难迫使相关公司配合秘密项目的努力（例如让半导体公司伪造销售记录），因为芯片设计层级以下的公司很少总部设在美国

我们特别聚焦中国，因为我们认为中国是最有条件背叛的一方。这在附录中有进一步讨论。

根据我们的建模，刻意保留所部署的算力量并不会提高秘密项目的成功机会。

根据我们的建模，秘密项目的能力进展速度在很大程度上由联盟的进展速度决定。具体而言，在我们的透明建议下，加速的主要杠杆（软件进展）也会加速秘密项目。因此“加快速度以超越秘密项目”通常会产生相反的效果——相反，最大化领先的策略涉及在维持受硬件建设约束的训练算力扩展速度的同时，尽可能少地取得软件进展。

此外，由于全面研究透明度，对于几乎所有的 AI 算法，我们都在有意地公开发表它们。

如果 PRC 缺乏远见，仅在三个月前而非一年前才开始转移芯片，那么其转移收益可能会减少约 3 倍。如果美国能力较弱，在协议达成前的一年里未能相对于今天降低走私率，那么转移收益可能会多出约 1.5 倍。

关于这一点的机制，我们在此处的验证补充材料中有更多讨论。

如上所述，我们对做这件事的可行性和潜在后果非常不确定。相关的公开信息包括 NSA 于 2010 年对华为的入侵，这似乎达到或超过了获取准确会计记录所需的访问级别（例如，他们“获取了关于 [华为生产的网络产品] 内部运作的信息，并监控了该公司高管的通信”）。

所谓“审计”，我们指的是：获取一家公司关于所购买、转售或转移以及作为库存保留的算力的完整记录，并实地检查该公司目前拥有的任何算力。

以类似方式直接从中国国内生产商处购买芯片可能也是可行的，不过我不确定中国是否有出口限制会使这变得更加困难或不寻常。实际上，仅仅由于 AI 算力的战略重要性，出口你 2028 年产量中任何相当大的比例可能看起来都相当不寻常。

你也可以囤积各种投入品（例如逻辑芯片和 HBM），并在协议期间于一个秘密设施中完成组装。对于我们研究的情形（一条隐蔽的封装线）而言，这似乎并不值得，主要是因为其吞吐量相对较低，且运营它需要持续不断地输入投入品。

或者使用他们中国设计的算力，不过对美国制造的算力这样做有若干优势，包括：(1) 电力效率，以最小化所需的隐蔽数据中心占地面积；(2) 与其他更适用于中国设计算力的转移策略（如伪造生产记录）形成互补；(3) 增强的合理推诿性，尽管这一点是推测性的。

这会有悖于他们的利益，但可能是一个说得通的理由。

参见我们此处的分析：通过追溯性低报国内产量来转移 2028 年前的库存。

一方面，喷气发动机的尾气比冷却器的尾气热得多，但另一方面，这些飞行器只需躲避红外制导导弹之类的东西，而无需躲避反复的卫星观测与分析。

每秒 1 立方米的水流每升温 1 摄氏度可携带 4.2MW 的热量。世界上最大的水处理厂每秒处理约 30 m^3（覆盖芝加哥约一半地区）。中国最大的地下调水工程每秒输送约 100 m^3。最大的核电站每秒排放数百 m^3（它们将水加热超过 1 摄氏度，以此速率排放约 10GW）。最大的海水淡化厂每秒抽取 1000+ m^3 的海水。世界上最大的河流的平均流量在 30,000–300,000 m^3/s 的范围内。

我们能找到的最适合的热成像卫星，在 57m 分辨率下的总噪声等效温差约为 0.2 K，优于 Landsat 8 和 9 的 100m 分辨率——后者在本文中被用于对核电站的热羽流进行成像。因此，地表的温升或许需要 <0.1 摄氏度。这可以通过每 4.2 MW 抽取 10 m^3/s 的水来实现（使一个 100MW 设施的流量与世界上最大的核电站相当），或者通过向每 m^3/s 的水中投入更多兆瓦但在更大深度（或某种地下水道中）释放，使羽流在最终到达地表之前得到更充分的稀释。我目前不确定这一分析是否恰当地考虑了时间平均或其他信号处理方法。

该技术似乎需要将在近乎相同轨道几何条件下、于不同时间拍摄的多幅图像叠加起来，这似乎不太适合大范围检测。有可能通过部署足够多的卫星以蛮力方式解决这个问题。

一位太空部队发言人向 Breaking Defense 表示，用于此目的的专用卫星预计将于 2028 年发射。该项目的 FY2026 RDT&E 预算进度表另外将 GMTI 的“开发并部署 GMTI”活动列为持续至 FY2030 第四季度，表明计划的部署窗口延伸至 2030 财年末，尽管该文件并未指明 IOC 或 FOC 日期。

在 2010 年至 2012 年间，许多在中国的 CIA 线人（似乎几乎是全部？）被杀害和监禁。《纽约时报》在 2017 年写道，“C.I.A. 已试图重建其在中国的间谍网络……这是一项耗资巨大且费时的努力。”[参见 2023 年 Burns 关于进展的评论]

这一提议最极端的情形类似于：(1) 用宇宙飞船将所有人类迁移到其他行星，(2) 核实没有隐蔽的 GPU 被运往其他行星，(3) 确保没有算力从其他行星上新制造的算力中被转移，(4) 拆解地球。这显然是一个意在说明问题的极端情形，实际上我们预计，凭借所有这些能力，可以做一些更高效且成本远低得多的事情。

即使初始协议中不包含质疑性检查（challenge inspection）条款，如果对隐蔽项目的担忧成为财团扩张决策的一个约束性制约因素，中国之后可能会迫于国际压力而允许这类检查。

或许可以测量 Hall-Heroult 工艺的全氟化碳排放，这能够区分实际用于铝生产的能源有多少。不过我们尚不知道有任何方法能从太空按单个设施级别测量这一点。

2024 年，OpenAI 在研发算力上花费了 50 亿美元，Zhipu AI 在总研发上花费了 3.08 亿美元（第 10 页）（其中包含 657 名技术人员；假设每人每年 10 万美元，则得出算力支出为 2.423 亿美元），而 Minimax 总共花费了 1.89 亿美元（第 11 页）。

在某种意义上，算力优势将随时间而扩大；在我们的情景中，财团的算力以每年约 3 倍的速度增长。然而，这只有通过训练算力的扩展才能直接转化为能力（而研究算力的扩展则将被限制，以瞄准有限的软件进步。）

取决于你如何衡量这一点；美国 AI 标准与创新中心发现美国的领先优势似乎在扩大；这里我们使用 Epoch 能力指数（Epoch Capabilities Index）。参见“美中 AI 差距非常不确定”。

作为一个（略显过时的）例子，Phi-4 使用 GPT-4 来生成专门的合成数据，其 ECI 超过了 GPT-4，而所需的训练算力约减少了 20 倍。

我们在此假设，隐蔽项目只能获取未被追踪的协议前算力，也就是说，它们无法走私协议后的算力或建立一条秘密的芯片供应链。在达到极端能力之后，隐蔽项目将有可能建立一条秘密的算力供应链，但我们预计这不会成为约束性制约因素，也就是说，这将发生在我们认为具有灾难性的其他能力之后。

参见此处的进一步分析。

这种情况的极端版本可能会破坏核相互确保摧毁（Nuclear MAD），但这将非常困难。它需要秘密进行，否则其他国家会以增建核武库或对军备积累进行干预作为回应。

重要的是，我们在这些估算中并未纳入协议期间因权重被盗而产生的风险。

一个原因是，即使某个隐蔽项目最终被证明不可行，中国转移大量算力的世界可能会迫使财团采取一种较为不利的扩张策略，因为他们不确定所缺失数量的算力会以多快的速度使一个假想的隐蔽项目达到能够破坏协议的 AI 水平。另一个原因是，与检测并关停某个隐蔽项目相关的紧张局势会带来额外的协议衰退风险，即便该隐蔽项目本身小到无害。

这可能无法实现。参见“BATNA 扭曲能力”。