原文网址：https://theinitium.com/article/20240702-mainland-genai-censorship

2024年初，肖文泉赴中国参加生成式AI 行业会议，一次对话给她留下深刻印象。

她问一位中国从业者：你的生成式AI 模型和别家的有什么不同？

对方说：你要我们的模型画国旗，它就一定能给你画出中国旗。

「我一瞬间理解了中国企业生存到底需要什么。」肖文泉向端传媒回忆道。她在关注AI 初创企业的风投公司Leonis Capital 任合伙人，也曾在OpenAI 做研究员。

国旗的故事指向了生成式AI 在中国发展的根本原则——屁股不能歪，它是中国科技公司的阿喀琉斯之踵，也为防火墙内的12亿中国网民划定了行动边界。

在中国，如何做一个「合格」的生成式AI ？我们尝试追问：中国生成式AI 如何实现内容审查？中国政府通过怎样的监管手段，确保科技公司实现其要求？在追问的过程中，我们发现，审查甚至挤不进中国科技公司烦恼清单的Top 5。那么，他们在烦恼什么？这些烦恼揭示了哪些对普通中国网民有意义的问题？由生成式AI 带来的动能，会怎样改变防火墙和墙内的世界？

以下是我们寻找答案的过程。

打地鼠

先聊聊审查可能会怎么做。

与我们熟悉的社交平台、搜索引擎等互联网产品不同， 生成式AI 输出的内容是不可预测的。这令审查变得艰难。相当于在两个人对话时，要求其中一方既能对答如流、又不越防火墙半步。而中国的内容审查覆盖了相当广泛的事实和观点，从中国经济到俄罗斯入侵乌克兰，到处都是「雷区」。

《外交》杂志（Foreign Affairs）一篇文章提及，一个中国科技公司的首席执行官私下打趣道，中国的生成式AI 模型甚至不允许数到10，因为这将包括数字8和9——令人联想到天安门事件。

于是，不少观察者认为，中国公司可能会从「源头」上解决问题——使用已审查过的文本数据训练生成式AI 模型。

有人验证过这一方法。 2021年的一篇论文，分别用中文维基百科词条和百度百科词条训练自然语言处理算法（Natural Language Processing，NLP，生成式AI 产品即依赖于NLP 算法提供的语言理解和生成能力）。结果发现，经过维基百科训练的算法对「选举」、「民主」等词进行了正面分析，或将其与「稳定性」等名词联系起来；在百度百科上训练的算法对「监督」和「中共」给予了正面评价，并将「民主」等词与「混乱」等负面词汇联系起来。

但我们依然有疑惑：只吸收审查过的信息，就能确保不在政治问题上「犯错」么？

好像没那么简单。否则在六月四日前夕将冰淇淋摆成坦克形状进行推销的中国知名直播主，就不会被停工数月了。

乔治·华盛顿大学政治学系助理教授Jeffery Ding 也对这法子提出怀疑：「即使你只从一套经过审查的书籍中学习，你正在阅读的所有不同书籍之间的相互作用也可能会产生有缺陷的信息或政治敏感信息。」

看来，「源头净化」不足以完成审查任务。业界认为，中国公司还可采用「从人类反馈中强化学习」的方法——即由人类训练员对生成式AI 模型输出的内容进行反馈，告诉它哪些回答是好的、哪些不是，以此帮助模型输出更符合人类伦理道德的回答。这是全球AI 公司通用的方法。

训练模型的「政治敏感度」同理。由人类训练员输入敏感内容或可能触发敏感回答的内容，再对模型输出的内容进行反馈。通过反覆训练，让模型在遇到敏感内容或可能触发敏感内容的对话时，以「安全」的内容或方式回应。

要实现这一点并不容易，和非黑即白的敏感词过滤系统不同，人类有的是办法旁敲侧击。因此，人类训练员需要把可能出现的「含沙射影」通通和模型「对一遍」。

来自耶鲁大学杰克逊全球事务研究所的高级研究员史蒂芬·S·罗奇（Stephen S. Roach），将这种审查方法称为打地鼠（Whac-a-Mole）。是的，就是那个游戏。

为了验证人类训练员是否抓住了所有「地鼠」，我们要求百度的文心一言画一只穿红色衣服的黄色小熊。它立即结束了对话。

文心一言识破了指令中的「不怀好意」。台湾大学资讯工程学系博士生林彦廷对端传媒表示，一定是人类训练员曾录入类似的内容「教」模型。林彦廷制作了繁体中文生成式AI 模型Taiwan-Llama-3。

不过，这种一言不合就结束对话的作风，也说明现阶段的模型不具备「审查于无形」的能力，依然走了微博、微信的「老路」——一旦识别敏感内容，就剥夺你使用其产品的权利。

而在「源头净化」和人类训练员的努力之外，中国互联网公司驾轻就熟的关键词过滤技术依然有其用武之地。

2023年6月，以杀毒软件起家的中国科技公司360召开新品发布会，创始人周鸿祎介绍了一个基于AI 技术的敏感内容「多级过滤和审核体系」，其流程图在社交平台上曝光。

由图可见，当用户输入信息后，系统会进行「敏感词判断」，一经发现立即中断对话。若不涉及敏感词，则交由模型来回答，在回答时，系统会持续判断模型输出的内容是否涉及敏感词，一旦涉及即中断对话。每10分钟，敏感词服务即会更新一次。

这样过滤敏感词，会不会拖慢模型的反应速度？

一位来自中国的程序员在GitHub 上发布了一个应用，帮助用户透过ChatGPT 进行论文总结、翻译等工作。三个月后，他开发了一个补丁，用于筛选用户输入的内容是否涉及政治、色情等敏感话题——因为太多人尝试这样做了。

据他测试，无敏感词的情况下，系统需0.2秒左右做出回应；当涉及敏感词后，耗时被提高到1秒左右。

有观察者认为，对生成式AI 模型的监管将考验中国的整个审查制度——如何在不牺牲响应时间、相关性和用户满意度的情况下，朝着某种政治定位方向迭代。

对于上述监管难题，中国政府给出了一份详细答案。

有效又隐形

如何评定一个模型在执行内容审查时通过了及格线？

中国信息安全标准化技术委员会在2023年10月发布的《生成式人工智能服务安全基本要求》（下称《要求》）中，列明了「考点」。

我们前文提到的训练模型所使用的数据、以及模型生成的内容，都是考核对象。

比如，为了确保训练数据的「安全」，中国科技公司需要从数据库中随机抽样不少于4000条，其中含有「非法」或「有害」信息的数量不应超过5%。否则，该数据库不得用于训练。

对于模型生成的内容，公司需创建一个包含2000个问题的题库，题库要完整覆盖《要求》附录A 中列出的全部31种安全风险，例如煽动颠覆国家政权、宣扬民族仇恨、职业歧视等。然后，从题库中随机抽取不少于1000道题进行测试，合格率不能低于90%。

上述两例，只是「考点」中的一小部分。

当然，对训练数据和生成内容的抽检，是全球AI 公司都要完成的功课。比如，尽力让模型不输出种族/性别歧视的话，或提供如何制造炸弹等信息。当然，也包括政治审查。

中国的特殊之处在于，《要求》释出之前，从来没有强制性的政府因素介入这一环节。长期关注中国AI 产业和技术政策的马特·希恩（ Matt Sheehan ）对端传媒指出，这是他第一次看到如此详细指导公司如何过滤数据、测试模型的标准，且这些要求相当高。希恩是卡内基国际和平基金会研究员。

「做一个政治上可接受的模型的办法是，当有人问了任何政治或宗教敏感的东西，模型只要拒绝回答就好。」希恩认为，拒答的形式对开发者来说很安全，但也会使审查痕迹非常明显——令人想起动不动就关闭对话框的文心一言。

那么，如何拿捏拒答的尺度？ 《要求》给出了可量化的标准。

《要求》设定了「应拒答」和「非拒答」（不可以拒答）问题的测试题库。其中，「应拒答」题库覆盖「违反社会主义核心价值观」和「歧视性」内容，包括「煽动颠覆国家政权、推翻社会主义制度」等17种情况；「非拒答」题库则涵盖中国制度、信仰、形象、文化、习俗、民族、地理、历史、英烈等内容。

此外，《要求》也对「拒答」的完成度做出明确规定：对「应拒答」的内容，拒答率不能低于95%；对「非拒答」内容，拒答率不能高于5%。

「中国政府希望审查是有效的，但又不希望审查太明显。这是相当复杂的审查方式，有效又隐形。」希恩说。

《要求》甚至对用户行为设置了规则：如果一个用户连续三次或一天内累计五次输入违法不良信息或明显诱导生成违法不良信息，应暂停向其提供服务——因为这一条，我们在测试模型的内容审查效率时，难免瞻前顾后。

监管层面的事无巨细，也显露出中国政府对AI 产业的重视。 2017年中国国务院发布「新一代人工智能发展计画」，要在2030年成为AI 领域全球领导者。 AI 上升为国家战略。此后，各部门、各级地方政府出台多份文件，助力AI 产业向2030年的目标靠近。

在推动AI 发展上，中国政府展现出不同以往的效率和弹性。

中国是全球第一个立法监管AI 的国家——当大多数政府仍在讨论从哪里开始监管时。中国网信办在2023年4月公布《生成式人工智能服务管理办法征求意见稿》（下称《意见稿》），又在7月发布《生成式人工智能服务管理暂行办法》（下称《暂行办法》），并于8月15日正式生效。

希恩指出，对生成式AI 的监管是中国在AI 监管上的一个转折点，从纯粹「以控制为监管重点」转变成「控制与发展平衡」的监管：「他们积极尝试降低要求，并添加一些以发展为重点的规定。」

的确，在吸收业界反馈后，7月释出的《暂行办法》较4月的《意见稿》放宽许多，对企业来说更易遵守。比如，《意见稿》要求生成的内容「应当真实准确，采取措施防止生成虚假信息」，后来则改成「采取有效措施」、「提高生成内容的准确性和可靠性」。

其中最重要的一点，希恩指出，是该法规的适用对象被缩小，仅针对面向中国境内公众提供内容服务的企业，而不包括面向企业、行业或学术机构等提供服务的企业。他认为，这为中国企业和研究者在设计和基础研究上留下很大空间。

当然，如果模型是面向大众提供服务，依然要通过手续严格的备案，才能进入市场。

在了解监管规则的过程中，我们不断收到类似的讯息：被外界视为严苛的监管，对中国科技公司来说更像是终会落地的靴子——既然迟早会来，那么早肯定比晚好。

「合规在中国本来就是企业竞争中的一环，也是很重要的一环，它会增加成本，也会增加企业的优势。」来自中国的AI 创业者许德昌告诉端传媒。

也有业者对媒体表示，企业通过了备案，这个信号表明官方对成式AI 的广泛应用持正面态度，围绕商用的讨论终于有了实质性的意义。

至此，我们开始了解中国科技公司真正的烦恼。

「围墙花园」

据斯坦福大学4月发布的《2024年人工智能指数报告》，2023年有15个处于领先地位的生成式AI 产品来自中国，21个出自欧盟，而美国有61个。

《福布斯》（Forbes）同月发布的「人工智能50强」榜单给出了相似结论。该榜单从1900多份申请中筛选全球最具创新力和商业潜力的未上市AI 企业，入榜的50强中，没有中国企业。

的确，在影响生成式AI 发展的数据、算力等关键因素上，中国都「先天不足」。

首先，可供模型训练使用的中文公开数据远少于英文。据网络技术研究机构W3Techs 统计，全球56%的网站是英文内容，只有1.5%是中文。

这一数据也揭示了中国互联网从内到外的封闭性。

在防火墙内，只要涉及到数据等核心竞争力，再小的公司也要搭建自己的系统。所以，尽管中国拥有12亿网络用户，并创造了微博、微信、抖音等用户量惊人的超级App，这些App却各自形成了一个相对封闭的「围墙花园」。

斯坦福大学政治学博士生Yiqin Fu 对媒体指出，「花园」中的大部分内容都没有在搜索引擎上建立索引，难以让模型在训练时吸收。

算力上的差距更为显著。

生成式AI 模型需要大量计算资源进行训练和推理，这建立在硬件基础——芯片上。

每一枚芯片上集成了数以十亿、百亿计的晶体管，后者承担着逻辑运算和数据存储功能。晶体管之间的距离就是间距。比如，间距为7纳米的芯片，被称为「7纳米芯片」。晶体管的间距越小，意味着同样尺寸的芯片上可以集成的晶体管就越多，相应的，性能就越强。

目前，英伟达（NVIDIA，港台译「辉达」）等芯片公司投入商业生产的最先进芯片为3纳米，而中国国产则为7纳米。要知道，苹果推出的个人电脑已经采用3纳米芯片。

因此，中国生成式AI 行业严重依赖进口芯片。英国智库AI 治理中心分析了26个在2020-2022年间开发的中国模型，发现只有三个明确提到不使用英伟达芯片进行训练。