论文提出推理阶段 AI 治理的可行性分类框架

训练算力阈值把监管单元放在训练完成的模型上，没有覆盖推理调用。

• 场景：作者认为能力经三条路径迁到部署：推理扩展（重复采样、更长思维链或更大集成）、智能体脚手架（工具循环、持久记忆、外部资源），以及压缩到消费级硬件。作者称合在一起后，“训练算力决定能力”在前沿上经验上不成立。
• 现有安排：EU AI Act、美国EO 14110和英国前沿AI做法都把义务放在训练算力上。Table 2称三者对推理均为Silent：EU为大于10的25次方FLOP且已生效，美国为大于10的26次方FLOP且已撤销，英国为可比、约束更少的新兴非制定法安排。作者转述Pistillo与Villalobos的四种绕过，其中高于最优的推理时算力扩展不需要额外训练算力。
• 文献状态：作者认为可验证推理、智能体运行时控制和思维链可监测性等技术提案，与推理时义务的政策提案互相错过；领域有分类的零件，还没有分类本身。
• 本文做法：给出20个推理时机制的可行性分类，分监测、验证、执行，沿用Ansari硬件论文的四档就绪度、类别分解和保守评级，并映射到二维对手和四种治理场景。作者称据其所知，这是专门针对推理时治理的首个此类分类。
• 对手模型：能力为低、中、高，角色为开发者、部署者或集成者、终端用户、微调者或脚手架构建者。作者称必须做成二维，因为训练者、推理服务者和查询者一般不是同一方，一维能力刻度会把这些威胁混在一起。

论文没有机器学习意义上的攻击或防御基线。对照对象是Ansari的硬件层分类，以及Table 2的训练算力阈值制度。

训练算力阈值

• 现行触发器：EU AI Act、美国EO 14110、英国前沿AI安排都在训练算力上触发义务。Table 2称三者对推理均为Silent。
• 阈值批评与辩护：Hooker认为阈值短视，因为它忽略推理时优化，并假设训练到能力的关系稳定。Pistillo与Villalobos列出四种绕过，最后一种是高于最优的推理时算力扩展。Pistillo等更同情阈值作为实用工具，但认为须辅以能力评估和上市后监测。Erben等为EU阈值的定义、测量和更新作了技术辩护，同时把范围限于训练，并称推理侧执行是开放问题。
• 法案内部的下游缝：Pistillo讨论内部部署只有窄例外，但推理层的操作化尚未展开。Kontosis认为模型中心的上游义务留下部署阶段损害的下游问责。Carey认为以系统性风险作最严义务的触发，会把风险定义交给私人行动者，盲点在推理阶段尤其可见。

部署阶段与中介

• 云提供者中介：Egan与Heim主张对先进AI开发实行算力KYC。Heim等把算力提供者概括为安全保障者、记录者、验证者和执行者。作者称这一钩子可转到推理，但训练侧KYC对着长期大客户，推理侧要面对高量、细粒度、常由程序生成的API请求，操作形式还没写清。
• 下游与开源权重：Williams等讨论微调、修改或搭建上游模型的下游开发者。Alexander认为高能力开源权重使以算力瓶颈为中心的治理部分过时。Gomes的相关结论是：只限制开源权重、不同时做硬件层治理，只会把风险挪走。作者由此归纳：只靠超大规模云中介，会留下开源权重部署表面。
• 隐私：Bernabei等指出，即使技术可行，算力治理仍有国内隐私障碍；逐查询监测比逐训练运行监测更直接触及用户隐私。

能力导向与技术治理提案

• 替换或补充算力指标：Watson主张多维加权框架，计入推理扩展、智能体脚手架和新基底。Pacchiardi等按四个认知域而不是算力代理给通用模型分类。Bengani认为对齐技术单独不够，要算力监管、分层审计和国际合作一起上。Caputo等提议尽量有定量模型支撑的标准化风险层级。作者称它们都承认能力与算力在推理阶段脱钩，操作细节不同。
• 可自动化触发：O’Keefe与Frazier提议只在合规成本降到可接受水平后才立法。作者认为这对推理治理的含义是，有些机制要等到低边际成本的技术手段存在后才可行。
• 技术治理分类：Reuel等把技术AI治理写成研究计划。Arslan做了评估、访问和验证能力的相关分类。作者称两者都把推理时治理标成规定不足的子领域，并把具体机制的可行性分析视为下一步。Radanliev主张把安全优先治理与密码技术合在一个监管框架里。

硬件层分类与类比制度

• Ansari的硬件分类：20个硬件层机制，使用同一四档量表、监测–验证–执行分解和保守评级。机制本身不同。作者把本文定位为该计划的第二篇。
• 三类监测类比：Section 6.3用金融交易监测、药物上市后监测和航空安全报告作推理监测的结构类比，不是实验基线。作者称没有一个一一对应，制度设计问题仍然开放；军控类比对双/多边能力限制的核查仍有用，与这三类是相加而不是替换。

作者称上述工作已经指出训练制度对推理只是 glancing 地处理、并呼吁给出可操作机制，但还没有提供这份规定。

整体做法是把监管对象从训练运行换成推理调用，用可行性分类（feasibility taxonomy）列出20个机制，再声明评级对着哪类对手、在哪种治理场景里能当杠杆。范围是主要商业提供者提供的推理服务。消费级硬件和无联邦开源权重不单独评级，作者将其记为商业提供者评级的覆盖限制（Section 1.2）。

证据、筛选与四档量表

• 证据库：Anthropic、OpenAI、Google Vertex AI做到行级，AWS Bedrock为调查层。Azure OpenAI被排除，理由是它在结构上是OpenAI产品加上微软企业控制，机制发现会与OpenAI重叠。正文引用的厂商文档快照日为2026年5月22日（Appendix D）。
• 筛选：候选从语料中的27个来，规则在使用前固定。双来源规则要求至少一条把机制操作化的学术来源，以及一条厂商原语或“有记录的缺失及其对手含义”。可区分性要求：同一监管动作、同一厂商原语，或文献互换使用的候选要合并。两个因厂商侧无来源被删：推测解码的草稿模型记账、意图核验的委托链（Appendix A）。
• 四档：1 Currently deployable，主要提供者已有生产中的商用技术底座；评的是底座可得性，不是治理级完备性。2 Near-term，底座在，需集成或扩规模，大约2到3年。3 Requires R&D，基础研究在、关键组件缺，大约5到10年。4 Speculative，只有学术概念。学术与厂商不一致时取更保守者；来源未写对抗条件时按对抗情形而不是合作情形评。相邻档不确定时取数字更高的一档（Table 1、Appendix B）。
• 计数不对称：监测6、验证7、执行7。V7（思维链可监测性）相对硬件论文的V1–V6多一个，因为作者认为推理时验证文献已把它当成独立原语。作者称监测只有六个，是因为证据支持六个，不是为了对称。

三类机制

监测产生单次推理的证据；验证提供密码学或程序上的可信保证；执行介入推理过程以限制系统能做什么。

• M1：每次请求产生输入、输出及（若有）推理token的用量记录，交给调用方、用于计费并留在日志里。
• M2：对稀疏MoE记录每次请求激活哪些专家，以区分工作负载类别。作者称遥测在内部产生，证据库中没有厂商把它暴露给调用方。
• M3：分开记账KV缓存命中与未命中，以及内部推理token与面向用户的输出token。
• M4：跨数据中心、区域或法域时记录服务区域、路由区域和数据驻留配置。作者写明这是请求在哪里被接纳和路由，不是加速器物理位置的测量证明。
• M5：核验API客户身份，保留可关联到身份的请求日志。作者称这是账户身份与请求追踪，不是完整监管KYC。
• M6：把单次推理的能耗和成本记到请求、账户或部署。作者称没有厂商把逐推理能耗做成治理原语，账单也不把能耗从摊销成本里分开；保留它是为了与硬件论文对照，并因为作者预期EU数据中心能源报告会要求这一原语。
• V1：在TEE中跑推理，使第三方能确认输出来自特定模型与特定飞地配置。作者称机密计算在基础设施层已有，四家用户侧推理API都没有暴露TEE边界的推理。
• V2：随输出给出零知识证明，证明输出由特定模型在特定输入上产生，而不揭示权重或输入。作者称小模型有研究演示，前沿规模被证明生成开销挡住。
• V3：每份输出带证书，绑定输入、所用权重和TEE配置。作者把它与V4分开，因为绑定对象是最终输出而不是中间状态，并称若厂商做成同一原语，区分可能消失。
• V4：平台对工具调用签名，使验证者能确认哪个模型发起、工具、参数，以及调用未被篡改。作者称现有产品是提供者认证的连续性与完整性，第三方可验证的来源证明是更强、尚未部署的形式。
• V5：记录测了哪个模型、什么测试、结果，以及测试是否按所述执行。作者称当前产品是描述性报告，完整性靠开发者自己的报告。
• V6：RAG时记录检索文档、送入模型的内容，以及模型生成的、把输出连回来源的引用。作者称引用不是防篡改绑定。
• V7：把多步推理的中间步骤暴露给验证者。作者区分轨迹暴露和忠实的过程可监测性：检测欺骗和理解因果链只在轨迹忠实时成立，作者称现有证据没有确立忠实性。白盒残差流监测被当作子变体。三家产品选择不同：Anthropic可返回原始思维链，OpenAI的推理模型只暴露摘要，Vertex在API层主要给签名、在控制台显示完整思考。
• E1到E7：E1按组织、项目或密钥许可部署。E2在运行时过滤或改写违反成文政策的输出，可选地检查输入。E3把推理限制在指定法域或区域。E4用配额做节流。E5用声明式策略约束智能体动作；Policy Cards等工件并入本机制。E6为有副作用的工具提供隔离执行。E7包括限速、暂停、按时间表弃用模型，以及规定条件下的平台终止；回滚被并入杀链。作者写明E2、E5、E6、E7对微调者的降级假设执行嵌在模型里或经模型介导；提供者外部的审核、策略引擎、编排或API网关可能保留更高韧性。E6作为一方沙箱原语，作者只在OpenAI的Sandbox Agents上看到，其余三家是客户实现指导。

二维对手的评级约定

第一维是资源规模C1低、C2中、C3高，第二维是R1开发者、R2部署者、R3用户、R4微调者，共12格。每格为adequate、partial、inadequate或not applicable。not applicable指该角色不处于机制所针对的威胁面，作者要求不要把它和inadequate混计。

• 对着产品化状态评，不是对着假设中的完全部署。部分产品化的V1、V3、M2、M6按Section 3.4的近期产品化假设评，并标明取决于产品化。
• 厂商架构分歧时（E2、V7），按最防御的可用架构评：作者的约定是攻击者可选最弱厂商，监管者可强制最强者。R4上的E2、E5、E6、E7是例外，按保守的整体机制读法，不把仍可能留下的平台外部组件记入格子。
• 就绪度因此是对着指名对手或指名用途的主张。作者用这一点处理“生产中已有”和“对另一类对手失败”可以同时成立。

场景量表与条件替代原则

四个场景是国内前沿AI监管、双/多边协议（含带核查的条约）、行业自律、市场与平台治理。双/多边合成一个场景，因为作者认为二者共享同一结构特征：能建立单一法域建不起来的共同认证机构和相互承认。市场场景相对硬件论文的场景模板是新增的。

量表为Lever、Supporting、Irrelevant、Blocks。不确定时向更保守的方向取（L到S到I）。Blocks只用于场景结构与机制前提冲突：密码学验证需要场景构不成的可信第三方或认证机构。矩阵评的是2026年5月产品化状态下现在能操作的杠杆，不是机制的永久属性。

与硬件分类的映射分三种。平行替代：同一原语在训练侧与推理侧机制可比较。分层替代：推理机制依赖硬件机制作基底。架构分歧：监管意图相同，密码学基底不同，不能互相替代。作者的条件替代原则是：在（a）被监管活动主要发生在被监管的生命周期阶段，且（b）训练与推理算力之间的替代有界时，平行列机制与其硬件类比提供可比较的覆盖。任一条件失败，平行列崩溃；分层列变得更重要，因为硬件基底是更难用阶段替代绕开的介入点。架构分歧列无论替代动态如何都要在两阶段分别部署。对没有硬件类比的推理专用机制，该原则不发言。

实验设置

• 对象：不是对模型做攻击或跑基准。证据来自Anthropic、OpenAI、Google Vertex AI（行级）和AWS Bedrock（调查层）。Azure OpenAI被排除。文档快照日为2026年5月22日（Section 3、Appendix D）。
• 规模：监测6、验证7、执行7，共20个。候选27个，两个因不满足双来源规则被删（Appendix A）。
• 就绪度：Table 1的四档。评的是商用技术底座是否在生产使用中，不是治理级保证；后者在Section 4.3另评。
• 对手指标：C1–C3乘R1开发者、R2部署者、R3用户、R4微调者。每格为adequate、partial、inadequate或not applicable。全文在Appendix E；Figure 1是20乘12热图，绿adequate、琥珀partial、红inadequate、灰not applicable，底行是各格adequate个数。
• 场景指标：国内、双/多边、行业自律、市场与平台。量表为Lever、Supporting、Irrelevant、Blocks。全文在Appendix F，汇总为Table 6。
• 复评：第二评分者Muhammad Babar Imtiaz在未见作者分数的简报上复评随机7个机制。统计量预先指定为二次加权Cohen's kappa。作者分数于2026年6月20日密封；简报6月19日收到、6月23日提交（Appendix B）。论文未报告在模型上运行推理的次数。

主结果

表格较宽，可左右滑动

条目	数字	条件	出处
Currently deployable	15	20个机制；V5按描述性报告计入	Section 3.4
Near-term	2	M2、V1	Section 3.4
Requires R&D	2	V2、V3	Section 3.4
Speculative	1	M6	Section 3.4
C1.R3 adequate	13/20	低能力终端用户	Figure 1；Section 4.3.3
C3.R2 adequate	0	高能力部署者，20个机制	Figure 1；Section 4.3.4
C3.R2 inadequate	17/20	另3个为partial：V1、V4、E4	Section 4.3.4

• 作者称可部署档评的是底座可得性。V5计入该档，只因为描述性评测报告已产品化；密码学可证明的评测结果在任何厂商都不存在，作者将其标为Requires R&D。
• 作者称摘要里的就绪度只对合作部署者和低到中能力用户成立。微调去掉的是执行簇里做进权重或经模型介导的部分；平台外部控制仍可能留下，但R4的执行格没有把这些控制记入分数。
• 作者把部署就绪和对手覆盖分开：底座比现有监管架构所暗示的更成熟，高能力部署者与高能力微调者表面更薄。表未列入Figure 1底行的其余adequate计数，见下一节。

二维对手的分格结果

• 用户列：C2.R3为6/20 adequate，C3.R3为3/20（Section 4.3.3、Figure 1底行）。作者认为低能力覆盖强，是因为E2、E4、部分E6和部分V7就是对着这类对手做的；同一套已产品化机制对国家级用户对手给出的保证更弱。
• 部署者列：60格中adequate为11、partial为20、inadequate为29。11个adequate里，7个执行机制全在C1.R2，M5在C1.R2，验证只剩V1在C2.R2、V4在C1.R2和C2.R2（Section 4.3.7）。作者认为能力上升后还能留下的adequate来自密码学，不是运行时执行。C3.R2上V1、V4只是partial，作者的理由包括国家级部署者原则上可以破坏厂商密钥或证明基础设施，且V1尚未在推理API产品化；E4保持partial，是因为配额仍在平台边界上。
• 微调者：作者援引Qi等，称微调可以关掉已部署模型的安全对齐。E2在C2.R4和C3.R4为inadequate；E5、E6、E7在C2.R4为partial、在C3.R4为inadequate。E1、E3对R4为not applicable。V5在三个能力档对R4都标了adequate；作者在Section 4.3.5标明这是最佳情形并建议再议，因为现有底座既不独立也不防篡改，高能力对手可以不跑评测、替换被评模型、改报告管道、选择性披露或误报模型身份。V1对微调者在中等能力为adequate、其余为partial；V3、V4为partial。

四种治理场景

• 国内（Table 6：L7/S9/I4/B0）：Lever为M1、M5、E1、E2、E3、E4、E7。作者认为比较优势是直接执行，验证多为Supporting。Irrelevant是未产品化的M2、M6、V2、V3。作者称这些Lever约束境内合作部署者，到不了自建基础设施的国家级部署者，也到不了不向该法域销售的外国提供者。
• 双/多边（L5/S11/I4/B0）：Lever为V1、V4、V5、M4、E3。作者认为共享核验机构把国内只是Supporting的证明变成跨境信任工具。M4是唯一只在这一列成为Lever的机制。E1、E2、E4、E7从国内的Lever降为Supporting；E5、E6为Irrelevant。
• 自律与市场：自律为L1/S12/I4/B3，唯一Lever是V7；Blocks只有此列的V1、V2、V3。作者解释为：这里的自律指没有独立认证机构的提供者自律，构不成可信证明所需的核验方；建立认可实验室或共享信任根的联盟不在该场景定义内。市场为L10/S6/I4/B0。作者称M1、M5、E1、E2、E4、E7只在国内和市场两列是Lever。无商业端点的开源权重推理不经过平台，作者称这10个Lever在该表面失去作用。

与硬件层的替代

• 映射：Table 5中12个有直接或接近的硬件类比：平行9个，分层3个（M4、V3、E3）。8个不替代：7个无硬件类比，即M3、V4、V6、V7、E2、E5、E6；V2与硬件侧Proof of Training是架构分歧，因为训练证明利用的是训练轨迹，推理不产生梯度。
• 推论：作者认为训练–推理替代越有效，M4、V3、E3的监管权重越高，因此V3的Requires R&D低估了其上升中的结构重要性。Figure 2的图注称：通道有界时，平行机制在任一阶段的覆盖可比较；通道打开时，分层机制重要性上升，且它们仍是推理治理机制，不是硬件层机制。
• Section 4.1的转述：作者转述，达到固定能力目标所需的训练算力在要求最高的基准上大约每年降到三分之一；最强开源权重模型所在阈值比EU AI Act的10的25次方FLOP触发低几个数量级。作者还转述，前沿推理模型在要求最高的基准上，单次查询的推理算力有时接近训练时的单次查询算力。这些不是本文新测的数。

其他消融与分析

• V4剖面为5 adequate、4 partial、0 inadequate、3 not applicable；V7为2/5/5/0，adequate只在C1.R3和C2.R3；E2为2/5/5/0，adequate只在C1.R2和C1.R3（Section 4.3.6）。
• not applicable共86格，其中74格在R1与R4（45与29）（Section 4.3.7）。Figure 1底行其余adequate计数为：C1.R1为1、C1.R2为9、C1.R4为1、C2.R1为0、C2.R2为2、C2.R4为2、C3.R1为0、C3.R4为1。
• 复评：7个中5个完全一致；V4、V7各差1档，第二评分者更保守。二次加权kappa为0.74，未加权0.53；作者称改1个评分会使加权统计量移动约0.13。差1档低于预先规定的正式改评阈值，原评级保留（Appendix B、C）。
• Table 4：E2四家表面分别为付费可配置运行时层、对照可接受使用政策的服务端执行、调用方另调的免费审核端点、四个HARM_CATEGORY与五档HARM_BLOCK。V7为三种展示模式、仅摘要、签名连续性。
• 场景边角：M2、M3、M6、V2、V3、V6在四场景都不是Lever；E3是唯一的三场景Lever；没有任何机制在四场景都是Lever。80格中Blocks只有3个（Section 6）。
• OpenAI Evals被作者记录为2026年10月31日只读、11月30日关闭（Section 3.2.5）。作者称这影响V5的厂商底座，不改变“描述性报告已产品化、密码学证明没有”的分裂评级。

作者指出的局限与后续方向

• 证据面：四家商业供应商代表前沿商业供给侧，没有覆盖开源权重和自托管表面；作者认为这正是市场和自律场景到不了的表面（Section 7.4）。
• 核对方式：供应商内容是关键词级而不是逐行阅读。作者特别说明AWS Bedrock约4800页用户指南没有被通读，AWS主张来自关键词锚定抽取（Section 7.4）。
• 判断：E2、E5、E6、E7写成对着特定对手的范围性评级；自律列的V1、V2、V3标为Blocks。作者称两者都是判断。不同意Blocks与Irrelevant之分的读者可以把三格并入Irrelevant；作者称“验证簇不能只靠自愿治理运转”这一实质发现仍在（Section 7.4）。
• 编码者：就绪度由一名作者赋值，第二评分者只复评随机7/20。对手矩阵和场景矩阵没有独立复评。加权kappa为0.74，未加权为0.53；作者称这一样本量下估计不稳，应读成佐证而不是决定性验证（Section 7.4）。
• 机制边界与时效：V3与V4、V1相邻，可能并进单一原语；V5是分裂评级。矩阵对着2026年5月文档和部分产品化机制的近期假设，作者称商业表面变化后需要重评（Section 7.4）。
• 后续：作者把验证簇产品化列为研究优先，并称V1主要是把已有基础设施层证明暴露到推理API，不是新原语；V2、V3仍是研究问题。作者还称V7作为防御的缺口是暴露轨迹能否被当作证据，忠实性仍开放；在此之前不应把V7当作对有能力部署者或微调者的控制（Section 7.2、7.5）。

实验覆盖范围

• 评级对象是20个推理时机制；商业证据为Anthropic、OpenAI、Google Vertex AI的行级整理，加AWS Bedrock调查层，快照日2026年5月22日（Section 3、Appendix D）。
• 消费级硬件和无联邦开源权重部署被记为覆盖限制，不作为单独评级设置（Section 1.2）。
• 第二评分者复评随机7个机制的就绪度；12格对手矩阵和四场景矩阵由作者编码，Appendix E、F给出全文（Section 1.2、4.3、6）。
• 场景评分按2026年5月产品化状态，评的是现在能操作的杠杆；作者写明未产品化机制在产品化后可能变成同一场景中的杠杆（Section 6）。
• 论文未报告在模型上运行推理的次数或查询预算，也未报告除该7个机制子集以外的重复评级次数。

本文是一份推理时AI治理的可行性分类，用来接上作者自己的硬件层分类。

• 问题：现行制度把义务绑在训练FLOPs和训练完成时的模型上。作者认为推理扩展、智能体脚手架和消费级硬件压缩使能力迁到部署阶段，训练阈值因此只是预筛，不是独立制度。
• 做法：20个机制分监测、验证、执行，按四家商业供应商文档做四档就绪度评级，再用低/中/高能力乘开发者、部署者、用户、微调者的12格，以及国内、双/多边、自律、市场四场景来限定这些评级。与硬件机制的关系写成条件替代原则：只有活动主要发生在被监管阶段、且训练与推理算力替代有界时，平行机制在任一阶段的覆盖才可比较。
• 就绪度：Section 3.4称15个已有生产中的商用底座，2个Near-term（M2、V1），2个Requires R&D（V2、V3），1个Speculative（M6）。V5只按描述性报告计入可部署。
• 对手：Figure 1与Section 4.3称，低能力用户格有13/20 adequate；高能力部署者格adequate为0，inadequate为17/20，partial只剩V1、V4、E4。微调会去掉执行簇的模型内部组件；平台外部控制仍可能留下，但矩阵没有把它们记入R4执行格。随机7个机制的二次加权kappa为0.74。
• 场景：Table 6中市场列有10个Lever，国内7个，双/多边5个，自律只有V7，且V1–V3在自律列被标为Blocks。
• 作者的结论：可部署底座比监管讨论所假设的更成熟，对有能力的非合作对手更薄；两句话描述的是同一份证据。作者认为接下来应产品化验证簇，把推理时治理当作与硬件层治理和出口管制并列的一层，并组合场景，让每一类补上其他类在结构上做不到的部分。