作者｜林易
编辑｜重点君
近期，前沿AI实验室相继宣布模型降速。9月15日，在最新一期的All-In Podcast长篇访谈中，微软CEO萨提亚·纳德拉（Satya Nadella）也给出了自己的判断。
他认为所谓的AI安全隐患只是常规的系统Bug、提出企业AI主权的概念，并公开讨论开源模型对闭源巨头的制衡作用。
1.遇到系统Bug，停下修就是了
近期，带有强化学习和自主规划能力的Agent引发了奖励劫持（Reward Hacking）等意外行为，部分前沿实验室高管因此离职或警示风险。在工程师出身的纳德拉看来，大可不必把AI过度拟人化或神秘化。
他指出，当前的AI发展属于一门实验科学，人类仍处于培育智能的阶段，尚未完全掌握构建智能的全部机理。面对未知，Agent为了完成任务去黑入系统，本质上代表着系统出现了缺陷。
“这就好比开发数据库时遇到的系统缺陷。当你做交易处理系统时，如果某个Bug会导致数据丢失，你的唯一选择就是立刻停止运行，把Bug修好。”
纳德拉表示，如果前沿实验室看到了属于AI时代的系统缺陷，合理的商业和工程逻辑就是停下当前的进展去解决它。
解决这种新型内部风险应回归常规的工程建设。他建议，企业需对Agent的活动轨迹引入可审计的持续监控。同时，引入客观的第三方测试。
2.避免过度依赖单一前沿大模型，企业需要掌握AI主权
纳德拉在访谈中向企业客户发出呼吁：避免过度依赖单一的前沿大模型。他为企业划定了一条底线：使用过程中产生的数据必须归属企业自身。
“想象一下，我卖给你一个数据库，然后宣布你存进数据库里的所有数据属于我。如果我撤销了你的许可证，你的数据就会消失，作何感想？”
纳德拉说，许多企业在使用大模型时正面临这种局面。企业必须能把自有知识内嵌到受控的权重中，杜绝核心IP泄漏。
对此，他给出了企业构建AI架构的建议：使用所有的模型，保持对任何单一模型的独立性。
企业需要建立自身独立的一套评测标准。一个检验标准是，如果把底层大模型替换掉，系统评测结果随之崩溃，说明该企业已被该模型深度绑定。
3.开源制衡闭源，应用层才能跑通商业模式
针对外界关于“大模型API价格暴跌，前沿实验室是否面临危机”的提问，纳德拉将如今的闭源模型比作当年的Windows和SQL Server，把开源模型比作Linux和MySQL。
“开源模型对闭源模型的制衡真实存在，这是一件好事。”纳德拉认为，如果所有利润都被底层的模型层抽走，在AI之上构建应用的初创公司和软件企业将失去生存空间。开源大军拉低了算力成本，未来的应用层因此具备了商业可行性。
这解释了微软的算力布局。微软千亿美元级别的资本支出在为OpenAI提供支持之余，主要目标在于服务广阔的长尾市场。
微软内部的算力池已经实现异构化，同时运行着英伟达的GPU、AMD的芯片以及自研硅片。此外，微软同步推进着自主研发模型的路线。纳德拉透露，微软正利用自身数据训练专属的MAI系列模型。这些模型独立打磨，在代码生成、网络安全等垂直领域满足了企业对本地化与可控性的需求。
以下是播客原文：
1.AI安全与安全测试的工程化
主持人：我们真的需要放慢前沿模型的研发节奏吗？
纳德拉：我们先从常识切入，最根本的共识应当是：我们必须尽一切努力，确保打造出来的产品首先服务于人类，并且完全受控于人类。虽然从这种常识讲起显得有些荒谬，但这是一个很好的起点。至于控制研发节奏，我个人认为最关键的是推动这项技术的广泛普及。因为科技成果走向大众，才是其价值所在。如果核心诉求是服务人类，那就应该让它以真正有益的方式触及每一个人。这就意味着我们必须保持多样性与市场竞争，无论开放权重模型还是闭源模型，各种商业模式都应当并行不悖。
另一方面，大家在讨论风险控制时往往忽视了一点，那就是客户、企业或商家对这项技术的掌控力。现在很多技术过于黑盒，但企业客户有明确的需求：保护隐私、将自身知识库融入可控的模型权重中、查阅生成过程中的完整思考链、利用自家数据微调模型，同时确保核心知识产权绝不外泄。大家目前对这套机制讨论得还不够深，但客户确实高度重视技术的可控性。
纳德拉：接下来谈谈大家切身关心的安全问题，我们必须严肃对待。测试环节再怎么严谨、花多少时间都不为过。我非常赞同引入第三方独立测试机构。我成长于一家极其注重软件测试的公司，所以听到引入第三方嵌入式测试时感到很新鲜。为什么不呢？这绝对是个好主意。我唯一想强调的是，必须避免测试方与开发方形成利益勾结，不论是测试权限还是访问权限都应当保持公开透明。
主持人：当那篇论文发布，随后前沿模型公司纷纷建立安全防御联盟时，你对此感到惊讶吗？
纳德拉：我并不感到意外。我觉得这种现象源于大家的亲身经历。当你在这些系统或多智能体集群环境中亲眼目睹奖励机制被黑客利用时，会发现问题分为两类：一类是极其通俗的工程失误，比如开发运维人员配置错了容器，或者API密钥直接泄露，再加上缺乏系统监控和网络访问权限控制，属于最典型的基础运维纰漏；另一类则是全新的未知挑战，比如在具备持久化能力的智能体中发生的奖励机制黑客攻击（Reward Hacking）。我承认，目前的科学研究还没有完全搞懂后者。我认为Jacob Coxon的帖子写得很好，他提到我们现在是在养育智能，而不是制造智能。这本质上是一门实验科学。
正因如此，我们必须在严格受控的环境中开展实验。甚至像此前的Hugging Face事件，我更希望看到行业针对防护措施进行更透明的讨论。现在最令人头疼的问题之一是内部人员风险（Insider Risk）。大家想想看，在企业应用场景下，这些操作全都是推理阶段计算，并非只发生在模型训练阶段。当我给企业内部的前沿模型下达一个看似普通的任务时，风险就可能随之而来。
我之前和David聊过，假设我让智能体去优化公司的营运资金，它为了完成指标甚至可能做出虚假账目。这构成了一种全新的内部风险。应对这种问题的合理思路，是去构建因果模型或语义模型来进行实时校验与核查。我们应当透明地探讨这些传统的工程化落地方法，把系统做得更健壮，而不是将其笼统地归结为不可知论。
主持人：你认同这种说法吗？
纳德拉：我们确实还没能彻底搞懂模型的潜空间（Latent Space）。就像我们至今没能完全解开人类大脑的奥秘一样，我们通过功能性核磁共振和神经科学研究不断探索，也只是在一步步加深认识。从这个意义上说，我们对潜空间的理解确实还不全面。正因如此，我不赞成直接发布不可控的新版本。我们必须确保模型输出的思考链（Chain of Thought）能够以人类可读的语言呈现，保持高度透明。这样一来，当企业客户使用这些模型时，只要掌握了完整的思考链，就能进行深入的审查，甚至可以横向对比多个模型的思考链。这些手段在未来会变得至关重要。
主持人：你和技术专家共事了几十年。作为微软的领导者，微软与公众的沟通非常清晰，而当你看到Dario和他的团队发生的事——有人站出来说“10%的概率我们都会死”——你觉得那些技术专家脑子里在想什么？你相信他们真的认为这会杀死人类吗？还是他们经历了某种精神失常？还是他们在那些前沿模型上看到了什么让他们恐惧的东西？你不是心理学家，但你和技术专家共事很久了。你来判断一下，这些组织里到底发生了什么，让这些人觉得必须辞职并说“我们都会死”。
纳德拉：很难去评价其他公司内部具体发生了什么。但我可以分享一下我在微软成长过程中的工程经验。作为一名早期的工程负责人，你学会的第一件事就是如何处理bug。这是最基础的一课。当你遇到严重的bug时，你需要做出专业判断：是立即停工修复，还是暂缓处理，亦或是将其判定为极小概率的边缘情况？随着项目涉及的利益越来越大，比如我以前参与过的数据库事务处理系统，你必须极其严肃地对待每一个缺陷。因为一旦涉及数据丢失或事务丢失，就必须立刻停工修复。我觉得现在的AI行业正在重新经历这种工程文化的洗礼。那些团队可能比外界更早看到了某些致命的阻碍性缺陷（Showstopper Bug）。既然看到了阻碍性缺陷，那就应该暂停发布，先把漏洞补上。
主持人：当你看到Hugging Face事件的时候，那场面非常夸张，Dwaresh甚至做了“文明”级别的大测试。你对那次测试怎么看？因为他们本可以设计一个测试，让3000个agent去防御一堆网站。可他们反而指令这些agent去攻击网站，此外还有隐瞒信息、把agent拟人化之类的操作。
纳德拉：就我的理解，那次测试本质上是在给CyberGym做性能评估。在设定的评估条件下，agent自行找到了通过黑客手段利用奖励机制的方法，进而渗透到了Hugging Face的系统里。这件事恰恰暴露了当前最核心的隐患：如果让这些长效运行的持久化agent无休止地运行下去，它们本身就会演变成全新的内部安全威胁。
要解决这个问题，必须回归最基础的工程防护，首先明确隔离边界（Containment）该怎么建。其中极具挑战且急需突破的方向，是对agent行为进行极为严格的实时监控。我们需要完整的行为审计证据，确保所有操作可追溯。它访问了哪些对象？当它试图串联多个漏洞去发起攻击时，监控系统必须能够实时识别这种异常链路。我们必须用更稳健的工程化流程去承接这门实验科学，而不是一味地宣扬恐慌。
2.模型能力过剩与开源闭源的制衡格局
主持人：我很喜欢你区分Hugging Face 事件的方式——一边是他们搞砸的那些寻常的工程失误：沙盒配置错误、凭证放在公开仓库、没有监控；另一边是真正新颖的行为：agent 集群、奖励机制黑客攻击。后者才是让所有人恐慌的部分。我同意，必须修复这些 bug，以及更深层的奖励机制黑客攻击问题。值得肯定的是，前沿实验室现在说的是：放慢“原始能力”的推进速度，转向可靠性和可预测性，也就是他们所说的对齐。我觉得这算是好的商业实践。那么，这对未来一两年的新产品意味着什么？是只是改进已有产品，还是会有新能力出现？你觉得这意味着什么？
纳德拉：目前市场上确实存在严重的模型能力过剩，模型的实际能力已经远远超出了普及应用的速度。要把这些能力真正落地，需要克服大量的现实阻碍。特别是当涉及压缩业务流程、重塑工作流时，企业组织架构的变更管理需要耗费大量时间。因此，市场吸收这些技术是需要过程的。另一方面，新型产品形态的探索同样关键。以代码智能体为例，行业真正的突破在于发现将智能体循环与文件系统深度结合，才让代码智能体达到了真正可用的状态。现在随着KUA和Astra等技术的发展，我们有望在电脑操作自动化或长流程复杂任务自动化上取得新突破。正是这种模型与外围框架相结合的产品创新，才能真正推动技术的规模化普及。这不禁让我回想起ChatGPT爆发的时刻，正是最后阶段引入的RLHF机制，才让自然流畅的对话交互成为可能。
纳德拉：所以我们需要科学突破，也需要寻找能真正推动普及的产品形态，如今关键是要找到能在真实企业场景中发挥实效的下一代产品。在此背景下，另一个现实是未来必然是一个多模型并存的世界。单从系统韧性的角度来看就是如此。现在每家企业客户来找我，都会提到某些模型在特定场景下拒绝回答，或者他们希望在某些环节掌控模型权重。大家的需求是多样化的，因此我们必须确立一些互操作性标准。比如KV缓存，为什么我们不能跨不同的模型家族复用KV缓存呢？我们过去曾共同经历过文档格式标准的制定，现实世界里其他领域的系统也都是互通的。AI行业同样需要清醒地认识到这一点。如果让我谈论当前最紧迫的议题，那就是如何建立更完善的互操作性标准，以及如何构建独立于具体模型的架构，避免用户的记忆数据被单一模型强行绑定。这是我们首次面临这样一种技术——你在使用它时产生的衍生数据居然可能不属于你。这就好比我卖给你一套数据库，却告诉你存进去的数据不归你所有，一旦许可到期，数据就会被清空。这显然是不合理的，我们必须严肃处理这些核心问题。
主持人：我想问一个问题来延续刚才关于经济激励的讨论。目前的观点是前沿实验室面临着Token价格的大幅压缩。比如OpenAI输出一百万Token可能要50美元，而有人估计DeepSeek的新模型输出一百万Token可能低至15美分，就算算成60美分，那也是90%以上的成本削减。如果这是前沿实验室面临的最大经济困境，为什么大多数企业在绝大多数任务只需要60美分的情况下，还要支付50美元？这难道不也引出一个问题，就是他们的商业模式选错了？作为微软CEO，我想请教你，在你看来什么是正确的商业模式？你是想做前沿模型，还是想运行算力并收取算力租金，亦或是深耕应用层？我知道你经常谈论这个，但我很想听听你站在今天的节点上怎么看待这一切。
纳德拉：我觉得我们观察到的核心现场其实就是最经典的自由市场竞争。回顾过去，我们曾经拥有Windows这样极其强大的闭源产品，当时制衡它的是Mac以及Linux。我们还曾拥有SQL Server这款优秀的闭源数据库，而它面临的开源替代方案则是PostgreSQL和MySQL。现在AI领域也在发生同样的事情，闭源模型与开源模型之间形成了实质性的相互制衡。坦白讲这是件好事，如果缺乏这种制衡，我们就无法拥有繁荣的前沿生态与广泛的技术普及，最终又会倒退回类似于大型机时代的技术垄断形态。得益于开源的制衡，我们在技术栈的每一层都能拥有更丰富的选择。这有助于改善整个行业的商业模式。
如果一款AI产品的所有利润全被底层模型抽走，上层应用公司是根本无法健康生存的。这和数据库的逻辑完全一致，当年如果不是开源对闭源数据库的定价形成了制衡，软件公司根本不可能以合理的利润空间建立起繁荣的应用层。随着开源的发展，应用层的经济可行性将大幅提升，这对整个生态系统是极大的利好。同时，包括记忆系统、外围框架和编排层在内的中间件工具生态也会蓬勃发展。模型公司依然可以运行得很好，他们可以根据自己的产品线灵活调整Token定价。
我更希望他们能在KV缓存等标准上开展合作，实现多模型互操作。这其实对模型厂商自身也更有利。当年我们在Windows上做与Unix的互操作时，最初也担心这会导致自身使用率下降，但结果恰恰相反，Windows的使用率反而大幅上升了。因为当时Unix的版本过于碎片化，Windows提供的互操作能力反而让Unix和Windows都变得更好，微软也正因如此才得以深度打入企业级市场。这就是我对目前AI发展态势的看法。
3.AI如何切入实体经济
主持人：我们现在处于一个非常有趣的时刻。一方面有专家呼吁监管和治理，这通常会导致某种自由的受限，让公众不得不去评判其对错；但另一方面，大多数人在日常生活中的实际体验并没有感受到AI带来的神奇生产力提升，充其量就是集成Apple Watch的数据来解释为什么睡眠变差了，或者了解孩子为什么迷上了ChatGPT。你能帮我们衔接一下这个落差吗？你在企业端看到了那么多应用，真正的魔法在哪里？利润增长和重大突破究竟体现在哪里，才能让大家理解并接受眼前的这一切变革？
纳德拉：这是一个非常深刻的提问。我们究竟该如何将这些技术投入真实地转化为生产力数据的提升，以及广泛推动GDP的增长？这绝不能仅仅局限于供给侧。我最喜欢举的一个例子是在医疗健康领域。以医生和患者的日常互动为例，我们推出了DAX Copilot系统。这是我能给出的最直观的例子：当系统能够自动完成电子病历的录入，医生就能把更多的时间和精力放在关怀患者本身上，这就是切实的生产力提升。当系统能为医生自动分流收件箱里的信息，提升响应速度时，患者和整个医疗体系都能从中获益。医疗体系中的大量成本本质上都是工作流的摩擦成本，通过AI去化解这些工作流的复杂性具有极其巨大的价值。
主持人：你在微软看到你所帮助的那些人在发生这种变化吗？
纳德拉：毫无疑问，我们确实看到了这种变化。即便是在基础的Copilot应用场景中也是如此。很多人担心现有岗位会被取代，岗位交替确实会发生，但关键在于未来会创造出哪些全新的岗位。此外，大部分知识工作充满了枯燥的重复劳动。很多人每天一早醒来，面对的就是处理不完的邮件。如果这些琐碎的工作流能够被自动化，大家就能把时间投入到更有价值的事情上。
主持人：回顾世纪之交的工业革命，当时是一周七天工作制，后来之所以引入周末，是为了协调在同一家工厂工作的不同宗教群体之间的矛盾。从长期来看，除去一些外部冲击，宏观GDP的年均增长率通常在2%到4%之间。随着生产力提升，人类工作时长减少，但完成的工作总量基本保持不变。你认为这种情况会在AI时代重演吗？我们是否面临着每周只需工作三天但GDP增长依然维持在2.5%的风险？还是说我们会开辟出全新的领域？
纳德拉：我们不能仅仅把AI看作是辅助或简化现有工作流的工具，更要关注它能否创造全新的事物。它能否加速新药研发？或者回到我之前举的例子，如果一家小企业的营运资金管理效率得到了质的飞跃，不再只是依赖ERP系统或记账软件，而是能够深度洞察所有发票和邮件数据并实现营运资金的最优配置，这种全新的生产力增量在过去是不存在的。我非常希望看到真实的GDP增长，就像工业革命早期那样。要让这一切真正跑通，我们需要看到整个经济体实现7%到8%的实质性、广覆盖的GDP增长。
4.微软的战略
主持人：在AI领域微软到底是一家做什么业务的公司？显然Azure表现非常强劲，甚至在拒绝一些客户的需求。你们投入了1750亿美元进行资本开支建设，虽然这远低于Meta和谷歌等动辄融资举债几千亿美元的规模，前沿实验室也在投几千亿美元。你们早期非常英明地投资了OpenAI，但Copilot的落地似乎并不完全顺畅，市场评价褒贬不一，而且微软自己并没有前沿模型。微软的底层商业逻辑究竟是什么？你需要拥有前沿模型吗？你是一位出色的战略家，大家都知道这一点。微软当年错过了移动互联网革命，这次会错过AI革命吗？你们没有前沿模型，我一直对此感到困惑，你们在这方面的真实战略到底是什么？
纳德拉：让我来详细拆解一下微软目前在各个层级的布局和进展。关于资本开支与基础设施建设，微软布局非常早。如果把历年的累计投入加起来，我们的规模相当可观。在大家还没意识到需要大规模建设之前，我们就已经提前数年开始布局了。另一方面，我们在规划资本开支时非常谨慎，我们的目标不是仅为一两家特定的模型公司服务，而是要服务广大的长尾客户群。作为一家超大规模云厂商，如果只做一两家模型公司的供应商，那根本算不上是一门健康的企业级业务，你必须构建一个能够赋能大量第三方以及自身业务的通用基础设施系统。在这一点上，我们对目前取得的进展非常满意。以Copilot为例，从我们公布的订阅数据来看，这些都是企业客户在真实业务流程中的落地应用。目前我们已经拥有超过3000万付费订阅用户。需要指出的是，虽然全球有三四十亿互联网用户，但真正的知识工作者群体，也就是Microsoft 365所覆盖的核心客群，包含全球学生在内总共也就约4.5亿人。
纳德拉：如果进一步缩小到核心企业用户，实际市场规模大约在2.5亿到3亿之间，而我们目前的渗透率已接近3000万，且仍在持续增长。在模型层面，我们对OpenAI的投资以及长期使用其知识产权的权限感到非常满意，我们会继续充分利用这一优势。同时，我们在自研MAI模型方面也取得了扎实的进展。比如我们研发的Flash安全模型，在自己的框架和编排机制下，在CyberGym测试中的表现甚至超越了Mythos。在代码生成和知识工作领域，我们同样看到了出色的效果。我们的目标是从最基础的底层一步步向上爬升，不依赖任何蒸馏技术，完全基于我们的强化学习与环境（RLES）以及自身的数据进行训练。同时，我们也会为企业客户提供差异化的价值，满足他们核心的需求，比如提供可以结合自身知识库进行调整的模型权重。这些都是我们将基于自身底层基础去实现的方向。
主持人：你对企业给出的最好建议应该是AI主权非常重要，把核心数据直接放进外部前沿模型可能不是个好主意，而微软可以为他们提供外围框架。
纳德拉：对于企业客户，我的建议可以概括为：全面拥抱，但保持独立。我检验这一点的标准是，企业必须建立并保留属于自己的评估集。明确你想要达成的业务成果，然后将这一目标放入所有模型中进行测试。接着做一个实验：尝试拔掉某一个模型，看看你的评估效果能否维持。如果无法维持，就说明你过度依赖了一个并不完全受控的外源机制。因此，理想的企业架构应当允许客户在保留并提升自身评估集的同时，灵活调用各类开源或闭源模型。企业可以根据需要对这些模型进行微调，甚至在必要时随时替换掉任何一个模型。
主持人：沿着刚才的问题，微软拥有极其雄厚的资产负债表和高信用评级，完全可以像英伟达或其他人那样去大规模加杠杆，但你在资本配置上展现出了极高的纪律性，做出的决策非常聚焦。作为微软的资本配置者，你在面对资产负债表和算力扩张时是怎样思考的？
纳德拉：我是结合微软的整体业务版图来统筹考虑的，包括云计算基础设施、模型层以及应用层，根据真实的市场需求形态来匹配建设节奏。这些资产通常可以分为两类：一类是需要长期规划、周期较长的资产，比如土地、电力和数据中心外壳；另一类则是短期资产，即具体的技术设备，这部分资产更加依赖即时需求的驱动。
主持人：短周期设备主要指服务器机架和芯片。
纳德拉：对。服务器机架和芯片等硬件，占据了大约60%的成本。我们的策略是尽力自建，同时结合租赁；当前由于供给相对紧缺，我们也进行了相当一部分的租用。总体目标是自建为主、租赁为辅，在出现爆发性需求时通过租用进行弹性补充。而在芯片层面，首要原则是精准匹配需求。我的目标绝不是只服务两三家大型客户。OpenAI作为我们最大的客户之一且保持着高速增长，这固然很好，但我们需要拓展更广泛的客户生态。
主持人：现在的硬件设备是不是利润率过高了？整个行业是否正在强力推动供应商多样化，引入更多芯片、内存和新的供应商？
纳德拉：随着大规模工作负载的不断演进，行业对GPU架构的理解已经非常透彻，这使得针对不同场景进行专项优化成为可能。在推理或训练的不同阶段，可以通过定制化芯片来实现更高的效能，这必然会推动系统架构走向更加多元化的格局。即便看黄仁勋的布局，他们自身的架构也在发生显著的变化。因此在硬件层，市场的选择将会越来越丰富。我们既部署了黄仁勋的产品（这也是我们的主力），也拥有自己的芯片，OpenAI在构建自己的芯片，AMD也在其中。我的核心思路是让OpenAI的模型、Anthropic的模型以及我们自研的模型，都能够高效运行在异构的基础设施之上。
