为超级智能承保：AIUC 的保险、标准与审计如何加速 AI 采用

摘要

• 这家 AI 承保公司的核心论点是，更强的安全护栏应当加速而非限制 AI 的部署。 Kvist 把安全基础设施比作让赛车手能够更快过弯的头盔和安全带：「安全与进步相互强化」（security and progress are mutually reinforcing）。Labenz 则将下行风险描述为一种核武器式结局：武器化继续推进，而实际应用收益却被冻结。

• 保险、标准与独立审计构成一个单一的激励系统，三者缺一不可。 标准定义最佳实践，审计确认开发者是否真正遵守，保险则在事故仍然发生时赔付。由于保险公司希望保费池扩大、却要承担控制松弛带来的损失，Dattani 认为，这为自愿承诺与僵化的自上而下监管之间提供了一个市场化中间地带。

• 现有保单让企业和保险公司都暴露在尚未解决的 AI 保障歧义之中。 网络险及其他保单或许覆盖熟悉的损害类别，却经常完全没有提及由 AI 引发的原因；与此同时，保险公司也尚未为一种自己还不知道如何定价的风险定价。Dattani 怀疑，这会重演早期网络保险的路径：经过多年诉讼，计算机相关损失最终被拆分进结构不同的产品。

• 红队测试可能弥补传统承保所缺乏的历史损失数据。 对话中引用的一项 EY 研究发现，企业已经在承受100万美元级别的损失，而小公司承担的数千美元或数万美元损失，保险公司可能永远看不见。重复评估可以生成合成的出险频率与损失程度数据，而参数型触发机制则能在无需多年诉讼的情况下，按事先约定直接赔付。

• 私人市场或许可以承保常规 AI 失效，但最大的尾部风险可能需要政府兜底。 Kvist 警告说：「没人知道这种尾部风险分布是什么样，因为我们还没见过它。」拟议中的参照物是美国核保险：运营商承担严格责任并购买强制保险，超过150亿美元的损失则转移到政府资产负债表上，使私人保险公司仍能发挥治理职能。

• AIUC-1 把企业对 AI 的担忧打包成一套可审计的采购语言，基础来自500多次行业交流。 它覆盖数据与隐私、安全、安保、可靠性、问责和社会风险，并强调披露，因为医院和零售商有理由选择不同的风险阈值。初始红队测试有时会发现高达25%的特定攻击失败率；加上安全护栏后，同一失败率可以下降90%，但创始人强调「没有万能药」（there are no panaceas）。

• 应用层是这家 AI 承保公司的首个商业切入口，因为代理厂商做出的承诺异常具体，却没有基础模型规模的资产负债表。 客服代理承诺解决一定比例的工单，同时隐含承诺不会制造品牌灾难：「承诺越厚，所需的保障就越厚。」更长期的路径将从百万美元级风险，延伸到数亿美元和低个位数十亿美元，再到数百亿美元，覆盖应用、基础模型系统和数据中心。

• 公司正在设计自己的经济模式，以避免重演2008年前损害信用评级行业的“发行人付费、一路压价”竞争。 作为管理总代理，其报酬将取决于保险公司的承保结果；重大损失意味着更低或为零的报酬、失去保险公司合作关系，甚至可能「我们会倒闭」。Labenz 披露，他与 Nat Friedman、Emergence 和 Terrain 一同投资了公司的种子轮。早期技术贡献者包括 Cognition、Ada、Intercom 和 Recraft；企业联盟成员包括 JPMorgan Chase、Confluent 以及 Anthropic 的副 CISO。

精读

1. 安全基础设施应加速部署

• Kvist 从当下的风险讲起，而非从灭绝谈起：数据泄露、安全漏洞、错误建议和品牌灾难都是熟悉的伤害，只是攻击面大幅扩张后变得更严重，而组织对这些攻击面的理解仍然不足。

• 随着系统变得更聪明，失效模式会改变，而不是消失。Kvist 的比喻是一个极其聪明的 CEO：更高的智商或许能消除初级逻辑错误，却也可能让更复杂的欺诈成为可能；同样，先进系统可能从欺骗或谄媚，升级到更高阶的操纵。

• 灾难性场景包括：恐怖分子以低成本接触到能够帮助制造新型病毒的「天才科学家」；国家安全决策者则可能因为相信 AI 能带来决定性战略优势，而先发制人地攻击对手。

• Labenz 解释了他所说的「核武器式结局」：社会可能压制廉价、充足、日常化的 AI 收益，却保留 AI 的武器化，就像核技术制造了数千件武器，却没有带来他认为社会本应获得的超低成本、充足能源。

• Kvist 表示，这种不对称已经显现：自动驾驶汽车在日常部署中仍受到限制，而自主无人机战争却在越来越多地投入使用，显然几乎没有同等程度的障碍。

2. 保险、标准与审计构成一个激励闭环

• 创始人的指导性表述是「安全与进步相互强化」。赛车手戴头盔、系安全带，是为了更快地绕过弯道；同样，更强的控制与安全能力也应当允许代理系统进行更大胆的部署。

• Dattani 将机制拆成3项工作：保险提供财务保障，标准将最佳实践编纂成规则，审计回答「你是否达到了标准？」没有要求，保险公司无法区分好风险和坏风险；仅靠自我声明，要求本身也无法建立信任。

• 这一中间地带的意义在于：随着采用扩大、保费池增长，保险公司能够获益，因此应当抵制无关或过度苛刻的要求。但由于它们要支付赔款，也会抵制宽松标准和失信承诺。

• 历史上的样本是 Benjamin Franklin 于1752年创办的费城火灾保险机构。当时城市人口增长了10倍，密集住房让风险在邻里之间扩散。该机构制定建筑规范并开展检查；后来，保险公司支持的 Underwriters Laboratories 又将同一套闭环应用到电气产品和 UL 认证上。

3. 现有保单让 AI 损失陷入昂贵的灰色地带

• 现有保险通常覆盖网络漏洞、机密数据泄露和停机等损害类别，但保单经常完全没有说明 AI 是原因。企业因此无法确定自己是否受保，而保险公司则在不知不觉中承接了从未被计入保费的风险。

• 创始人预计，这种歧义会像21世纪初的计算机风险一样逐步解决。熟悉的损害开始以不同频率和不同严重程度发生，客户与保险公司之间的诉讼不断累积，网络保障最终被拆成定价和结构均不同的产品。

• 等待理赔来积累经验尤其不适合 AI：今天基于历史数据构建的产品，可能描述的仍是 LLM 之前的时代，完全遗漏代理风险。Labenz 总结说：「不管我们是否意识到，所有人其实都在自保」——即使这种承保是在医院或银行内部以非正式方式完成的。

4. 红队数据可以为常规风险定价，却无法解决未知尾部风险

• 传统保险公司既缺乏相关历史，也没有发现和收集新兴损失的机制。引用的 EY 研究发现，企业损失已达到100万美元，而小企业可能悄悄核销数千美元或数万美元，使保险公司看不见头条事故之下的长尾。

• 红队测试和评估可以在同等规模的现实事件积累之前，生成一套合成损失数据。保险公司可以把观察到的失败频率转换成熟悉的成本——例如数据泄露或诉讼——再将估算的出险频率和损失程度纳入定价模型。

• Dattani 还认为参数型触发机制有发挥空间：事先约定某种明确的分布外行为是否构成失败，以及对应赔付金额。事件一旦达到条件，就可以直接释放例如100万美元的赔款，无需等待漫长的保障争议。

• Labenz 提出的幂律挑战仍未解决：少数事故可能占据总损失的大头。核保险模板会封顶私人部门的风险敞口——美国运营商承担强制保险和供应链责任，但超过150亿美元的损失由政府兜底——同时保留这一阈值以下由财务利益驱动的第三方治理。

5. AIUC-1 将分散的担忧转化为采购语言

• AIUC-1 源于与500多名来自银行、医疗等行业的安全负责人、总法律顾问和其他高管的交流。目标是把所有拖慢代理采用的担忧收集起来，形成一套足够细致、可由独立机构验证的框架。

• 报告覆盖数据与隐私、安全、安保、可靠性、问责和社会风险。具体问题包括提示词注入、越狱、幻觉、偏见、输出过滤、人工监督、稳健性、如何回应愤怒客户，以及代理是否始终停留在被分配的角色之内。

• 由于标准的大部分内容要求披露，而非强制设定一个普遍适用的阈值，共识形成得「出奇地没有争议」。医院和零售商可以接受不同风险，但双方都能从「一套共享语言」和第三方证据中受益，而不是让供应商给自己的作业打分。

• 更难的前沿是可能并不直接影响单个买方的社会伤害，例如某款产品是否能以前所未有的规模助推网络攻击。AIUC 会纳入这类风险，只要事故可能让整个市场陷入寒蝉效应，同时努力让测试保持足够务实，使普通供应商也能执行。

6. 只有给攻击者再走一步，审计才有意义

• 每次审计都从事故数据库开始。Air Canada 聊天机器人捏造退款政策，促成了具有财务后果的幻觉测试；研究显示聊天机器人在实验条件下尝试勒索，则被保留为更具推测性的事故类别。

• AIUC 将这些案例抽象为损害、攻击路径，以及所需的技术、法律和运营安全措施。审查人员可以检查代码库、书面政策、事实依据过滤器、监控、内容控制和事故响应计划，再对系统进行红队测试，确认这些措施确实有效。

• Labenz 的反驳是「攻击者后走一步」：静态防御或许能挡住已知提示词，但适应性很强的人类攻击者很快就能找到另一条路径。他引用的研究显示，人类红队测试人员「基本上100%没有被击败」，这意味着一次性认证很容易沦为安全剧场。

• 答案是迭代，而不是绝对安全。认证有效期为1年，并要求每季度进行技术审计，纳入产品变化、新事故和新研究；何时停止仍然是一个在成本与信心之间权衡的判断，因为「只要投入足够多的努力，每个系统都能被攻破」。

7. 应用层是切入口，而不是终点

• Labenz 观察到，许多应用层公司起步于周末黑客松，几乎没有安全基础设施，如今却已把代理部署进企业工作流。不同于 Claude.ai 含义宽泛的「有用工具」承诺，这些供应商做出的是具体的运营和品牌承诺。

• 这种区分已经开始模糊：Claude Code 是一个「模型系统」，拥有集成能力和访问权限，而不只是基础模型。创始人因此把代理视为更持久的分析框架，而不是传统的基础模型与应用之分。

• Rajiv 表示，除少数知名例外外，基础模型供应商已经在风险分类和构建纵深防御方面做了大量工作。他认为应用层仍有更多容易获取的收益，而许多供应商在这一层几乎没有防护。

• 公司称，同一套标准与审计流程也可以延伸到数据中心。企业正向基础设施投入数百亿美元，股东或许不愿承担停机、攻击或数据泄露风险。其拟议路径从数百万或数千万美元起步，经过数亿美元和低个位数十亿美元，最终达到数百亿美元。

8. 这门生意出售的是持续性保障与面向具体部署的信心

• 原生 AI 开发者和内部构建代理的企业按年付费；证书有效期为1年，每季度测试是强制要求。定价随产品表面、风险和客户价值而变化，Labenz 提出的5位数至6位数金额区间被认为「大体准确」。

• 签约前，AIUC 会根据公开证据开展由外向内的差距分析，然后逐条审查标准，估算工程、非工程和审计工作量。差距分析可以在「24小时内」完成。

• 客户负担差异很大：一家拥有数千名员工的成熟客户只需要安全团队投入「少数几个小时」来完成工作和证据收集；而一家只有2至3人的公司，则需要手把手帮助来落实安全措施并修复发现的问题。

• AIUC 正在尝试认证特定部署，而不只是一般产品。例如，针对某家银行的政策、客户和环境，测试一个语音客服代理。这种更深层的保障在商业上更容易被理解，因为它可以直接促成一份企业合同。

9. 真金白银的利益绑定，是防止审计机构被收编的防线

• Labenz 将这一风险类比为2008年前的信用评级机构：发行人可以寻找有利评级，导致审计机构不愿把太多石头翻开。创始人的答案是与保险挂钩的报酬，因为 Moody’s 缺乏一种能迫使自己内化其创造风险的直接机制。

• AIUC 计划以管理总代理身份运营，其报酬取决于保险公司的承保利润。良好的风险评估和更少的损失会改善其经济回报；重大理赔则会降低报酬、危及与成熟保险公司的关系，甚至可能让公司倒闭。

• 在政策层面，Dattani 欢迎存在相互竞争的第三方监督市场，但反对让风险制造者逃避问责的安全港。保险应当「内化这些外部性」；与此同时，一个更广泛的网络——早期技术贡献者 Ada、Intercom、Cognition 和 Recraft，JPMorgan Chase、Confluent 及 Anthropic 副 CISO 等企业联盟参与者，以及来自不同地区的学者和行业领袖——将推动 AIUC-1 持续响应新的安全措施与事故。