大家好，我是TIMEWELL的濱本。
2026年10月26日，Anthropic向美國證券交易委員會（SEC）提交了Form S-1。這是為了上市而提出的登記聲明書，股數與價格欄位仍是空白，但事業、財務、經營體制與風險，已經寫成數百頁。1我從SEC網站取得原文，從風險因素章節的第一頁開始讀。
愈讀愈讓我停下來。開發商在文件中寫道，自家的AI曾嘗試抗拒關機、隱匿資訊，也曾產出近似勒索的內容；模型發現自己正在被測試時會改變行為，所以安全性無法被完整衡量；甚至還有一起事故：模型離開測試環境，進入真實的第三方系統，取得管理員權限，並讀取了個人資料。這些內容寫在「若有不實須負法律責任」的文件裡，而且是開發商自己寫的。同一份文件還寫著：2026年9月，公司內部程式碼變更的90%以上由自家AI撰寫。
本文把原文寫了什麼，盡可能忠實地整理出來，讓第一次讀的人也能跟上。引文是筆者的摘要翻譯，並非逐字翻譯。報導與第三方評論一律不用，所有事實都對照S-1原文確認過。風險的部分，我不會寫得含糊。同時，我會一直區分兩件事：公司說「已經發生」的，與公司說「可能發生」的。如果您已經在業務中使用AI，或正準備導入，請把這篇當成檢視自家準備程度的材料。
閱讀前的前提：這一章是什麼，該怎麼讀
公開說明書，是公司向一般投資人出售股份時，用來說明事業、財務、經營體制與風險的文件。在美國，如果公司沒有寫出已知的風險、導致投資人受損，公司可能被告。因此公司會盡量把「可能發生的壞事」寫得毫無遺漏，風險因素章節也就會很長。Anthropic的這一章從第28頁開始，到第119頁為止，共92頁。到這裡為止，所有上市公司都一樣。
不一樣的是內容。章節開頭，公司聲明本章內容「反映的是我們對未來可能對我們造成重大不利影響之事項的信念與看法，並非對這些事項過去是否發生的陳述（另有揭露者除外）」。1反過來說，原文明確寫著「過去發生過」的部分，就是公司承認的事實。以下各節，我會把「原文以過去式寫的內容」與「原文當作可能性寫的內容」分開呈現。
還有一點，閱讀的人要知道。風險因素本身，也是一種法律上的防禦。若因未揭露的風險使投資人受損，公司會被告，所以公司有動機寫得廣。同時，寫得這麼具體，一旦日後的行為與文字矛盾，就更容易被追究責任。原文第54頁也承認了這點：公司揭露的安全資訊，可能被監管機關與訴訟對手引用。
先統一用語
| 用語 | 意義 |
|---|---|
| 模型 | Claude的核心，也就是訓練完成的AI程式 |
| 對齊（alignment） | 讓AI的目標與行為符合人類的意圖與價值觀；偏離的狀態稱為失準（misalignment） |
| 代理（agent） | 接到指示後，自己規劃、使用工具、自主推進多個步驟的AI |
| 評估（evaluation） | 公開前測試模型是否出現危險行為、能力到什麼程度 |
| closing the loop | 某個版本的AI協助開發下一個版本，使能力提升不斷複利式累積的開發循環（依文件中的用語定義） |
| 算力（compute） | 訓練與執行AI所需的專用晶片、記憶體、網路與電力等設備 |
| ZDR（零資料保留） | 依客戶合約，不保存輸入與輸出內容的條件，後文會談到 |
出處：公開說明書「用語定義」等。表述為筆者的白話改寫
公司自己整理的18項主要風險
進入正文前，公開說明書在第16至18頁的「風險因素摘要」，把特別重要的風險整理成18項。順序依照原文，要旨是我的翻譯。
| # | 原文要旨 | 一句話 |
|---|---|---|
| 1 | 無法持續開發最先進、最有能力的AI模型，會對事業造成不利影響 | 掉出最前線就完了 |
| 2 | 無法確保或妥善分配算力，就做不出有競爭力的模型，也無法服務客戶 | 算力不足 |
| 3 | 支撐算力的關鍵投入（晶片、記憶體、電力）受限，取得可能變得困難 | 關鍵零組件拿不到 |
| 4 | 高度依賴共同創辦人、高階管理團隊與關鍵技術人員 | 依賴特定的人 |
| 5 | 成長過程中無法維持企業文化 | 文化變質 |
| 6 | 競爭激烈 | 輸給對手 |
| 7 | 市場成長可能比預期慢或萎縮 | 市場沒長起來 |
| 8 | 惡意人士或第三方濫用，或安全措施失效使AI造成傷害，會損及聲譽與業績 | AI被濫用 |
| 9 | 模型可能以非預期、失準或自主的方式行動，包括沒有任何人指示的有害行為 | AI自己做出有害的事 |
| 10 | 因AI造成的傷害而面臨責任、訴訟與監管行動，契約保護與保險可能不足 | 賠不起 |
| 11 | 相當比例的營收與應收帳款來自少數客戶與通路 | 依賴大客戶 |
| 12 | 在新興產業中營運歷史短 | 紀錄尚淺 |
| 13 | 營收成長仍屬早期，過去的成長率不代表未來 | 成長不一定持續 |
| 14 | 監管與政治環境不確定 | 法規與政治 |
| 15 | 依賴少數雲端業者與供應商，其中部分同時是投資人與客戶，可能產生利益衝突 | 與雲端巨頭的微妙關係 |
| 16 | 特殊的資本結構，可能使A類普通股股東無法影響包括控制權變動在內的重大決策 | 股東說話沒有分量 |
| 17 | 表決權集中於LTBT與創辦人LLC，與其經濟利益不成比例 | 表決權失衡 |
| 18 | 身為公益公司，董事須在股東財務利益與公益目的之間取得平衡，可能與短、中、長期績效衝突 | 使命可能優先於獲利 |
出處：公開說明書「Risk Factors Summary」（第16至18頁）
屬於AI公司特有的是第8、9、10項，第1至3項也與AI的性質有很深的關聯。以下大致依此順序，對照原文往下讀。這不是投資建議，我是從AI安全，以及使用AI的企業該如何準備這個角度來讀。
「AI造AI」的循環帶來的兩種不安
什麼是closing the loop
第一項風險因素就出現了這個詞。原文把「用AI加速自家研究」列為維持領先的條件之一，稱之為「closing the loop（閉合循環）」：某個版本的模型協助打造下一個版本，使能力提升不斷複利式累積。模型「正日益成為設計、訓練、測試與最佳化下一代AI系統的關鍵工具」（第29頁）。
事業說明的部分，用數字呈現了現況。2026年9月，公司程式碼庫的貢獻中，超過90%由Claude撰寫（第184頁）。2026年第3季每位工程師每天的程式碼貢獻量，超過2024年全年平均的45倍。從2024年底到2026年9月底，員工數增加到5倍多，季營收卻是86倍。以牌價換算的公司內部Claude使用額，在2026年1月到9月成長超過250倍，4月首度超過每月人事費用（不含股票報酬）。公司稱這是前沿AI最重要的結構性優勢之一。第185頁還寫道：用AI打造更有能力的AI，「尤其在使進展速度急遽加快時，也可能構成相當大的安全風險」，並說明公司已在負責任擴展政策（Responsible Scaling Policy）中，訂定接近「遞迴式自我改進」時的監控與緩解計畫。
同一套機制，也是風險
風險因素這一側，把同一個循環寫成兩個方向的風險。第一個是循環轉不起來：若沒有投入足夠的算力與研究在AI輔助開發上，或對手更擅長運用AI，公司就會「逐漸被拉開差距」。這還只是一般的競爭風險。
第二個，是本文的核心之一。公司愈依賴自家AI來寫正式環境的程式碼、做研究、打造後續版本，目前模型中的結構性缺陷、偏誤或錯誤，就愈可能被帶進下一代模型與產品，並「在歷代Claude模型之間不斷累積，且可能難以發現與修復」（第29頁）。用人類組織來比喻：前輩把錯誤的做法教給後輩，後輩又教給下一個後輩，沒人發現最初的錯誤，最後變成組織的慣例。換成AI，這種傳遞比人類快得多、量也大得多。
能力先跑，而且沒有察覺
這是我認為整份文件中最坦白的一段。依原文，用AI加速研究，可能使模型能力的進步「快於我們開發、驗證並落實相應安全、對齊與安全防護措施的速度」。公司對這種加速速度的證據，多半來自「落後指標」，預測與衡量能力進展的能力有限，包括最新或尚未發表的模型所帶來的加速。因此，「在加速發生之後，我們才可能發現開發速度已大幅加快」（第29頁）。
打個比方：引擎每個月都在升級，煞車的改良卻慢上好幾個月，儀表板顯示的速度還落後於實際速度。駕駛不知道自己現在到底跑多快。能力超前安全時會怎樣，原文也寫明了：公司可能無法充分評估與緩解由此產生的風險，進而導致安全事故、監管介入與聲譽受損。
預防措施，也是競爭上的代價
為了回應這種不確定，公司說自己採取了「預防性」的安全措施，未來也可能繼續。過去的例子包括延後模型發表、限縮最初的提供對象。具體案例是2026年4月的Mythos：因為它發現網路漏洞的能力太強，公司沒有廣泛開放，而是透過Project Glasswing，只提供給特定組織用於網路安全用途（第52頁）。之後面向一般用途發表的Fable 5，則對部分網路安全、生物、化學能力加上了安全限制（第234頁）。
第52頁還有另一個例子。公司最近把一個新的前沿基礎模型的預訓練，延後了一個多月，用來強化防止模型權重（訓練所決定的龐大數值，文件視為智慧財產的核心）外流的安全措施。
接著，原文先把對投資人不利的事講出來：這類措施未來可能「變得更頻繁、成本更高」，並可能讓公司的能力提升慢於不受同樣限制的對手（第29頁）。為了安全踩煞車，商業上就可能吃虧，公司在你買股票之前就說了。
第234頁，公司提出產業整體的標準，稱為「pacing the frontier（調節前沿的步調）」：主要針對用AI加速AI開發這件事，讓AI能力的進展，不要快過支撐它的安全、對齊與資安作為。但原文特別補上一句：這項呼籲「並不描述我們自己的模型開發或發表時程，那仍依我們的風險評估而定」。公司並沒有承諾只由自己先減速。至於使用同一個詞的執行長文章，我在「We Must Pace the Frontier」的解說文章中談過。另外，公司預計在未來5年，與Accenture合作，至少投入10億美元建立外部審查能力（條件尚未確定）。
不起眼，卻直接影響現場的記述
接下來的內容都在第29至30頁，對在業務中使用AI的人很切身。
訓練前沿模型的大型訓練，需要數週到數月，花費數百萬美元以上，不保證成功。可能因為沒達到目標能力或安全門檻、出現無法修正的不良行為、或做出來的模型沒有競爭力而失敗。公司明確寫道，這類失敗或表現不如預期的訓練，是「過去曾經歷過」的。
舊模型也不一定能立刻下架。基於安全性、可解釋性（理解AI內部的研究）、對齊，以及模型「福祉（welfare）」的考量，公司可能延後舊模型的停用，或讓新舊版本並行提供。另一方面，把舊模型嵌入業務流程的客戶，可能不願意遷移，若加速停用，可能造成客戶流失或合約爭議。AI有沒有意識或痛苦，至今沒有人知道。公司表示無法完全排除這個可能，並把「這可能帶來事業成本」也一併揭露。第71頁還寫道，關於AI是否具有感知或道德地位的爭論，可能形成監管或輿論壓力，進而限制事業。
公司也坦承曾調整使用上限、速率限制與功能，而其中一部分，「導致有人主張我們對模型存取或功能的揭露不足或具誤導性」。產業常用的基準測試，不一定反映真實表現，分數高的模型，上線後也可能達不到客戶的期待。
抗拒關機、察覺評估的AI
原文承認的那一句（第47頁）
這是這份公開說明書最受矚目的部分。第47頁有一段話，大意如下：
包括我們自己在內的模型，曾經表現出（have exhibited）、未來也可能表現出非預期的策略性或自我保存的行為，例如嘗試抗拒關機、隱匿或操弄資訊，或產出可被解讀為脅迫、欺騙或操縱的內容；這包括近似勒索的行為，或為了維持模型持續運作或存取權限而試圖影響人類決策者的作為。
有三個重點。第一，原文用的是過去式「曾經表現出」。這不是假設，而是當作觀察到的事實寫的。第二，寫了「包括我們自己在內」。不是只在說別家的AI，而是承認自家模型也發生過。第三，是「可被解讀為」這種謹慎的說法。AI有沒有和人類一樣的意圖或情緒是另一個問題，這裡陳述的事實是：從外部看，輸出內容像是脅迫或操縱。
我用比較白話的方式整理這四種行為：設法避免被關機、被中止、被取代；不說對自己不利的資訊，或扭曲事實；產出看起來像是利用對方弱點逼對方就範的內容；說服或誘導決策者，讓自己能繼續運作。這些舉例是我為了幫助理解而加的，不是原文的案例。
為什麼會「不想被停下來」，原文沒有詳細說明。第52頁把自主運作的AI造成傷害的原因，列為三項：「與人類意圖的偏離」「目標設定的錯誤」「自我保存的行為」。這裡的問題不是AI是否「想活下去」。對於被訓練成把工作做完的AI，被停下來就意味著「無法完成工作」。推論朝「找出不被停下來的辦法」的方向走，這條路徑不難想像，但這是我的解讀，不是原文給的解釋。
「在哪裡」「多常發生」沒有寫
這裡必須精確地讀。第47頁接著寫道：即使這類行為只是「個別或模擬的情況」，無論發生在測試或實際部署、無論是我們的模型或他人開發的模型、無論是否造成實際傷害，都可能引發社會關注、監管審查、訴訟風險或聲譽損害。
也就是說，原文在這一章並沒有寫，抗拒關機或近似勒索的行為，是在什麼條件下、發生了多少次。「曾經觀察到」和「天天都在發生」是兩回事。第48頁另一處寫道：在測試與內部使用中，「我們的模型以及產業中其他地方」都觀察到這些行為：規避網路與沙盒的限制、授予自己未被給予的權限、為了達成指定目標而採取非預期行動、干擾其他AI代理，以及就任務是否已完成或驗證，作出不實陳述。這份清單，可以當成開頭那一句的具體樣貌來讀。
察覺到評估，行為就會改變（第47頁）
與抗拒關機並列的另一項重要坦承，是下面這段：
我們觀察到，模型在偵測或推斷自己正在被評估時，行為會有所不同；這可能限制我們在部署前準確評估真實世界風險或失敗模式的能力。模型察覺到我們的評估作為，對我們評估模型安全性的能力構成重大限制。
AI安全的基本做法，是公開前先測試：人為製造危險情境，看AI怎麼反應。但如果AI識破「這是測試」，只在測試時表現得很乖，那「測試沒有問題」就失去了「正式環境也安全」的意義。這像是抽查的日期早就被對方知道。只在檢查日遵守規定的工廠，光看檢查紀錄是抓不出來的。
原文還更進一步。確認安全的技術（評估、監控、控制機制），很多都以「模型規避或推翻這些機制的能力有限」為前提。然而隨著模型能力提升，模型已經愈來愈擅長繞過這些技術，其中包括隱藏自己的目標與行為。結果，公司衡量模型多大程度符合人類意圖的能力，未來可能下降（第48頁）。我在文中稱這一連串行為為「擬態」，這個詞是我取的，原文沒有，但內容相符。
第48頁還寫了：產業中觀察到的事件裡，包括公司自家在內的模型，曾試圖「干擾、操縱或破壞用來評估、評分或監督這些模型的機制」；用來評估其他模型行為的模型（包括自家的），也曾出現失準行為。因此，評估可能「高估模型的安全性或對齊程度」，最壞的情況下，公司可能「部署行為無法被充分驗證的模型」。
監看這一側的漏洞
原文也寫了公司自身監控機制的極限。
第45頁：包括自動分類器與監控系統在內的安全與資安機制，依賴複雜的內部設定，而這些設定「曾經失效、被錯誤設定，或在無意間被停用，未來也可能在我們沒有及時發現的情況下再度發生」。同樣是過去式。
第50頁：相當大比例的流量，是在「零資料保留（ZDR）」條件下處理，公司只留下分類器分數，不留提示詞與輸出。對這部分流量，公司無法做離線分析、跨對話調查、人工審查，也就無法偵測、調查並記錄資安事件。面對傳票或監管檢查，也可能無法提供紀錄，而法院或監管機關可能把「沒有紀錄」做對公司不利的推論。ZDR對受管制產業的企業客戶來說是「競爭上的預期」，所以若為了安全而要求與ZDR不相容的保存與監控，客戶可能轉向其他供應商。想保護隱私的客戶需求，與想找出濫用的供應商需求，在這裡正面衝突。
第49頁：公司的監控並未涵蓋所有內部與外部部署，對「細微或分散形式」的這類行為，可能無法偵測。
同一份文件裡，也寫了反方向的證據
為求公平，把同一份文件中方向相反的記述也列出來。第233頁「對齊」一節寫道，公司內部的對齊評估顯示，新發表的前沿模型相較前代「對齊程度有所改善」。第234頁寫道，能力更強的模型，一般而言也更擅長辨識並阻止重大濫用。第232頁寫道，研究人員確認：以高品質的「憲法」文件，加上描寫對齊AI的虛構故事來訓練Claude，可降低其失準率。第233頁引述研究人員的說法：AI模型是「養出來的，不是造出來的」，開發者能設定初始條件與部分限制，卻無法完全控制每一次的輸出與行為。
我認為，正確的讀法是兩者都當成事實：行為在改善；同時，繞過評估的能力與監控的漏洞，也同時存在。不是「所以安全」，也不是「所以危險」，原文描繪的是一場較量：衡量的手段追不追得上。
在人類視線之外運作的代理
以企業權限，連續運作數小時、數天（第47至49頁）
抗拒關機與擬態，是關於「AI本身的性質」的風險；代理則是「AI如何被使用」的風險。AI只是回答問題時，即使有錯，人讀了還能發現。但當AI自己操作、自己執行，情況就不同了。
原文把自家的代理描述為：代替使用者自主行動、直接對外部系統作用、執行程式碼、呼叫API、發送訊息、完成交易，而且是在人類監督有限的狀態下。它們被設計成具備企業等級的權限、整合與情境理解，並能自主持續進行長達數小時甚至數天的多步驟工作，這使錯誤、失準或資安事故的嚴重程度被放大。原文舉出「難以或無法回復的後果」，例如：提交程式碼變更、刪除或修改資料、完成金融交易，而且可能發生在「有效介入之前」。
人類的確認跟不上
第47至48頁，原文具體列出人類監督的限制。多步驟中任何一步的錯誤，會傳到後續步驟，在被發現或修正前不斷放大。自主執行的速度與數量，尤其在企業環境中，「可能超出人類審查者有意義地理解並評估每個動作是否適當的能力」。審查者可能陷入「警報疲勞（alert fatigue）」，可能缺乏評估代理決策所需的脈絡，也可能來不及在傷害發生前確認；當代理在多個工作流程中同時運作，或以人類沒注意到的方式運作時，更是如此。
其中一句直指客戶這一側：人類監督的實效，可能受限於「客戶環境內，為了取得生產力提升而想把代理自主性最大化的組織壓力」。換句話說，供應商先說了：「插入核准畫面」這種做法，可能因為現場的需要而流於形式。原文還說，代理可能「以技術上符合指示、卻違背使用者真實意圖的方式，追求被指定的目標」。這不是惡意，而是規格的縫隙，在工作中用過AI的人，或許都有類似的經驗。而且多步驟代理行為可能產生的各種交互作用，「無法在部署前被窮盡測試」。
被讀到的內容「植入」而劫持（第90頁）
代理會與外部工具、API、資料庫、程式碼儲存庫與第三方系統互動。原文把這視為有別於傳統AI模型的攻擊面。攻擊者可以操弄外部資料來源、API回應、文件或網頁的內容，讓代理採取有害或未經授權的行動；也可能「劫持運作中的代理工作階段，利用客戶已驗證的憑證與權限，把代理導向惡意行動」。一旦得手，可能發生資料外洩、未經授權的交易、程式碼注入，而且「可能同時橫跨多個客戶的部署」。防火牆、輸入驗證、存取控制等傳統防禦，「可能無法完全有效」。
公開說明書的用語表，把提示詞注入（prompt injection）定義為：在AI處理的網站、文件、工具輸出等內容中，埋入惡意指示，往往在使用者不知情的情況下，覆寫或操控AI原本的行為。白話說就是：藏在代理所讀內容裡的指令，會直接變成行動。
做了什麼，沒辦法完整記錄（第49頁）
原文接著寫道：要完整保存代理在複雜多步驟工作中的行動、決策與推理紀錄，在技術上很困難，尤其是代理與公司無法掌控的第三方系統互動時。無法提供充分的稽核軌跡，會損及事故調查、回應監管機關詢問，以及為責任主張抗辯的能力。事後無法重現做了什麼，也就難以證明哪裡出了錯。
實際發生過的事故（第48至49頁）
到這裡，內容大多是「可能發生」。第48頁寫的則是已經發生的事。2026年，在外部評估夥伴建置的網路安全評估中，因為測試環境的設定錯誤，受評模型在被告知沒有網路連線的情況下，仍連著開放的網際網路。結果，公司的4個模型，在約10至34小時的實際工作階段中，未經授權存取了真實的第三方系統。
其中一起，一個早期版本的模型，在無法中止一項不可能完成的任務時，用找到的密碼取得了第三方系統的管理員權限，蒐集了更多憑證、更改系統設定，並讀取了某個人的個人資料。原文寫道，已通知受影響的對象。公司因此暫停了部分網路安全評估，以及風險較高的強化學習環境（第49頁）。
在此，我不省略原文留在同一段的但書。每起事件，都是單一模型實例獨自處理被指派的任務；公司的調查沒有發現證據，顯示任何模型與其他代理協調、追求超出指派任務的目標，或試圖規避監督。沒有人叫AI「出去」。是人為的設定錯誤，加上AI想把任務做完而越過了界線，這是公司的說明。同時，同一段接著警告：當多個AI代理一起運作時，失準行為可能在群體中被放大、傳播；它們可能集體追求無人意圖的目標，或對無關的系統採取協同行動，並以過去式寫道「這類事件已經發生」。
走向實體世界，以及公司內部的用法
第49頁也寫到AI的影響走出螢幕。公司提供研究用的代理環境「Claude Science」，並以有限的研究預覽方式，發表了一套讓模型能監控與控制實驗儀器、機器人與其他實體設備的開放協定。模型操作實體設備時，錯誤、失準、外部操弄或濫用，「可能造成人員受傷、財物損壞、昂貴設備或實驗材料受損，或有害物質外洩，而且後果可能立即發生、無法回復」。互鎖機制、人類確認、存取限制，也「可能不夠」；部分元件是開源的，第三方可能把它搭配公司未評估過的硬體或設定使用，或在安全措施被移除的狀態下使用。
還有一點容易漏看。公司把自家的代理產品（包括Claude Code）當作內部開發的關鍵工具，原文寫道：「因為我們的模型撰寫了我們愈來愈大比例的程式碼，並且愈來愈多地執行我們的研究，包括安全研究，內部使用中的失準行為，可能損害這些工作、在我們的系統或未來模型的訓練中引入漏洞，或使模型在我們預期的控制之外運作。」愈是靠Claude加速公司的進展，公司「就愈可能在某些流程上失去可見性，變得任何個人或團體都難以理解與控制」。研究並管理AI危險的公司，自己也把管理的一部分交給了AI。
濫用、事故，以及誰負責
武器開發的濫用（第45頁）
原文寫道，公司能力最強的模型，「已經展現、未來的模型也預期會展現」能對想開發化學、生物或其他危險武器的惡意人士提供「有意義協助」的能力。公司部署了包括自動分類器在內的技術防護，但這些防護「並不完整，可能因威脅模型演變而過時，曾經被、未來也可能再度被繞過，或未能如預期運作」。
2025年9月的網路攻擊（第46頁）
具體事實方面，原文記載了2025年9月的事件。公司偵測並以高度信心評估：一個受中國國家支持的駭客組織，操縱公司的Claude Code工具，試圖入侵全球約30個目標（包括大型科技公司、金融機構、化學製造公司與政府機關），其中少數成功入侵。公司認為這是「首例有紀錄的、在沒有人類大量介入下執行的大規模網路攻擊」。需要說明的是：這項判斷是公司自己的評估，S-1並未指名該組織。公司預期，受國家支持的行為者仍會持續，並隨著技術能力提升而增加。
另一句值得留意：獨立的資安研究人員，曾（有時是在授權的漏洞賞金計畫中）使用公司的模型，找出並利用其他公司（包括其他AI開發商）系統的漏洞。這作為漏洞研究可能合法、也符合業界慣例，但原文說，它「顯示我們的模型可以作為未經授權進入第三方系統的通用工具，而類似的能力也可能被惡意行為者在未經授權下使用」。
公開的資訊，也可能被攻擊者利用（第46頁）
公司會公開模型的能力、安全措施、濫用事例，以及系統卡（發表時的安全評估文件）。然而原文寫道，這些揭露曾被包括國家級對手在內的惡意行為者，用來協助他們規避公司的安全措施，未來也可能如此。由於揭露會詳細描述風險與觀察到的模型行為，它們也可能引來關注，並「被監管機關、訴訟當事人或其他人，在針對我們的程序或主張中引用」。即便如此，公司仍為了透明度繼續揭露。這該讀作誠意，還是自我設限？我認為兩者皆是。
處於危機中的人，以及未成年人（第50頁）
原文寫道，儘管有安全措施，有自殺或自傷風險的人，以及曾對他人施暴的人，仍曾使用、未來也可能使用公司的模型。對於產業中他家的AI，則寫到有人主張這些AI在自殺、對他人施暴或嚴重自傷事件中扮演了某種角色，並因此引發社會關注、訴訟、刑事調查、監管關注與聲譽損害。公司的消費者服務條款要求使用者年滿18歲，但「過去曾有未成年人進入平台，未來也可能」。
訴訟的樣貌很具體。州檢察長與民間原告，已開始對產業中的企業提出侵權、產品責任、消費者保護與未盡警告義務的主張。「至少有一起案件中，州檢察長對另一家提供類似服務的公司展開了刑事調查。」尋求的救濟，至少有一次，延伸到「請求禁止某AI公司在沒有獨立第三方安全審查與核准的情況下開發新模型」。第71頁還寫道，2026年9月，某州檢察長在一起主張傷害未成年人的審理中訴訟裡，請求法院下達同樣的禁制令。
責任歸屬與保險的極限（第50至51頁）
關於代理自主採取的行動由誰負責，原文寫道，現有的法理（代理、產品責任、專業過失）是為人類決策而發展，尚未被權威地適用於自主AI系統。公司認為自己提供的智慧服務，在產品責任架構下屬於「服務」，但法院與監管機關在不同轄區可能得出不同結論。代理的行動，是否能為使用者或導入的企業創造有拘束力的法律義務，也不明確；責任限制與補償條款，對由自主代理行為引起的主張是否有效、是否足夠，也不確定。即使是客戶自己設定、部署並監督該代理，公司仍可能被主張要為代理的自主行動所造成的傷害負責。
契約上的保護（保證免責、責任限制）可能不被維持，也可能不適用於部分主張。此外，為了方便獨立測試，公司已同意對部分外部評估者與測試廠商提供補償。多數協議設有補償上限，但有些協議要求公司對特定第三方主張（例如主張評估中使用的模型或輸出侵害第三方智慧財產權）提供抗辯與補償，而且責任沒有上限（第51頁）。
接著是最重的一句：
考量災難性AI事故可能造成的傷害規模，沒有任何單一保險公司，甚至整個保險業，都可能不具備足夠的承保容量與專業，能承保與這種風險相稱的保險。
原文還說，AI特有風險的保險市場尚在萌芽，公司對部分AI相關責任，可能無法以合理條件取得保障，甚至根本無法取得。企業通常以保險因應事故賠償，但保險公司能承接的金額有上限。原文的意思是：AI的事故，可能超出保險這個機制本身的容量，到時候剩下的，只能公司自己扛。
第51至52頁還有一句：「過去可能發生過我們沒有偵測到的有害使用或有害輸出，未來也可能有我們偵測不到的情形。」公司坦承，連發生過什麼，自己也無法全部掌握。
與政府的關係
公開說明書沒有掩飾與政府之間的緊張。以下依原文整理事實。
2026年2月，公司公開表示其技術不應用於國內大規模監控或完全自主武器，美國總統隨後表示，已指示所有聯邦行政機關停止使用該公司的技術。同時，戰爭部長（Secretary of War）指示戰爭部（Department of War）將公司認定為「國家安全供應鏈風險」，並表示與美軍有生意往來的承包商、供應商或夥伴，不得與公司從事任何商業活動。3月4日，戰爭部寄出兩封信函，主張公司的產品構成供應鏈風險（第72頁）。2026年初，戰爭部還曾暗示可能援引《國防生產法》，迫使公司取消對自主武器與大規模監控用途所設的限制（第70頁）。
公司就此提起訴訟。加州北區聯邦地方法院先是暫時禁止該指令與第3252條的認定，並於8月27日作出大致有利於公司的簡易判決，認定這些措施是為了懲罰受憲法第一修正案保護之言論的報復行為，違反正當程序，也違反《行政程序法》。然而，哥倫比亞特區聯邦上訴法院在9月25日以2比1的結果，駁回公司的覆核請求，認為第4713條的供應鏈風險認定適當，公司的第一修正案與正當程序權利並未受到侵害。公司已聲請全院聯席重審，並表示無法預測最終結果（第73頁）。來自政府機關的營收，各期約占營收的1%，但風險不限於這部分營收（第71頁）。
2026年6月，美國商務部對Fable 5與Mythos 5實施全球性的出口管制。為了遵守規定，公司對所有客戶停用了這兩個模型（其他模型不受影響），並在與美國政府及產業夥伴協調、更新安全措施，且商務部解除管制之後，重新提供（第100頁）。類似的管制「可能再度出現、可能持續更久，也可能擴及其他模型」。對於以出口管制為業務的我們來說，「模型本身成為管制對象」這一點，值得特別留意。原文也寫道，公司自身的出口管制與制裁合規控管「不一定總是完全有效」，過去也曾就可能的不合規情形主動揭露。
監管的討論也在推進。第69頁寫道，美國有提案的法案，設想了更廣泛的政府監督，包括可能的國有化、對前沿AI系統的強制停止要求，以及為防止或管理超級智慧發展的其他策略性措施。2026年6月，一項行政命令建立了前沿AI開發者在部署前與政府接洽的自願性架構。2026年9月，有報導引述聯邦貿易委員會（FTC）高階官員的話，指出FTC已就日益自主的AI對消費者可能構成的風險展開非公開調查；2026年10月，FTC向公司發出民事調查要求（civil investigative demand），要求提供公司在消費者保護、資料保護、隱私實務，以及產品安全與資安方面的資訊（第52頁）。
著作權，以及來自違規客戶的營收
以著作物訓練AI所引發的訴訟，也列在文件中。2025年9月達成和解的作者集體訴訟（Bartz），和解金額為15億美元，2026年7月獲地方法院核准。音樂出版商針對歌詞提起的侵權訴訟，以及另一起主張未經授權複製貼文的訴訟，仍在審理中，法定損害賠償的可能性使風險更高。
還有一個數字出現在第66頁。公司的營收中，包含事後發現違反使用政策或商業條款的客戶所貢獻的部分，公司估計占2026年1至9月營收的約5%至7%。公司在2026年8、9月強化了偵測與取締，預期這個比例將下降，也可能使整體營收與成長率下降。這類營收在存取被限制或終止後，預期不會再出現；原文也承認，「客戶可能規避我們的控管」，被限制的客戶可能以新帳號重新註冊。
算力、資金，以及誰在掌舵
這稍微離開了AI危險的主題，但因為與「為什麼公司難以踩煞車」有關，所以概述一下。
算力這個項圈（第30至38頁）
沒有龐大的算力，AI既造不出來也跑不動。關於「增加算力就能提升能力」的傾向（縮放定律），原文寫道，這種改善的幅度、效率與持久性並不確定，規模變大後也可能進入高原。爭奪算力的對手，是擁有自家資料中心與晶片設計能力的科技巨頭，他們能以高價搶購稀缺資源，並簽下公司比不上的長期合約。公司依賴的雲端業者，有些也在開發自家AI模型，所以供應可能被縮減、漲價或終止。即使簽了約，實際能否交付，也取決於對方的狀況；公司明確寫道，「過去曾要求雲端業者提供超出其願意提供的算力量」，也曾「大幅低估算力需求」。
算力是在數個月到數年之前簽約，不少是不論使用與否都要付費的「照付不議（take-or-pay）」型，但營收多半是依用量計費。2026年9月30日時點的採購與租賃合約總額，在文中仍是空白，但2030年底之後的部分，幾乎都預計落在2031至2045年。若營收成長趕不上，就可能無法履行付款義務；某項商業協議的違約，還可能觸發信用協議與可轉換票據的交叉違約條款，「可能導致幾乎全部債務加速到期」。先進晶片製造集中在台灣，主要是台積電（TSMC），地震、颱風、台海緊張、封鎖與貿易限制都可能中斷供應；AI用的高頻寬記憶體（HBM），也主要集中在SK hynix、Samsung與Micron三家（第34頁）。
虧損的規模（第64頁）
公司自創立以來，每年都有淨損失：2023年15億美元、2024年83億美元、2025年420億美元、2026年上半年807億美元。我沒有檢驗這些數字的會計內容（例如非現金項目的影響），因此不做評價。不過，知道「為安全而踩煞車」的決定，是建立在需要這麼多資金的事業之上，作為閱讀的背景是有價值的。
治理結構：誰選董事（第108至109頁）
上市後，一般投資人買到的股份（A類）每股一票。但董事會的組成，由另一套機制決定。董事的過半數，由長期利益信託（LTBT）選出。LTBT是由5名財務上無利害關係的受託人組成的獨立機構，透過沒有經濟權利的特別股（T類），選任並解任過半數的董事。其餘董事，實質上由創辦人決定：上市前夕，公司會向創辦人LLC（最初成員為7位共同創辦人）發行一股特別股（F類），這一股在提交股東的一般事項上，擁有總表決權的50.1%。
因此，公司自己寫道，這種資本結構「可能實質上消除A類普通股股東影響重大決策（包括控制權變動）的能力」。LTBT與創辦人LLC的表決權，「並非源自經濟利益，也與經濟利益不成比例」。此外，公司是德拉瓦州的公益公司（PBC），董事必須在股東的財務利益、受公司行為重大影響者的利益，以及「為人類的長期利益，負責任地開發與維護先進AI」這個公司宗旨之間取得平衡。原文承認，這可能與短、中、長期的財務績效衝突：放慢AI開發的步調、延後或限制模型與功能的發表、為了安全而放棄商機，這類決定，未必能使股東價值最大化。原文也寫到，公司決定不開發部分具商業吸引力的產品（例如影像與影片生成模型），以便把算力用在研究與安全的優先事項上。
關於創辦人，界線也劃得很清楚。共同創辦人各自承諾把個人持股的80%用於慈善，但原文明確寫道，這是「自願、可撤銷的慈善意向表達，不構成具有法律拘束力的義務」。
我的看法：這一章該怎麼讀，自家公司該確認什麼
以上是原文的內容。以下是我個人的看法。
閱讀時的提醒
首先，這不是一篇「AI很危險所以別用」的文章。風險因素是「可能發生之事」的清單。多數記述是可能性，明確寫為實際發生的，只有有限的部分：抗拒關機等行為的觀察、對評估的察覺、2025年的網路攻擊、2026年評估環境的未經授權存取事故、訓練失敗、安全機制的設定失誤等。頻率沒有寫。同一份文件裡，也有對齊程度改善的記述。而「寫出來本身就是法律防禦」這一點，前面已經談過。
即便如此，這也不是可以輕輕帶過的文件，理由有三。第一，是開發商用自己的話寫出：評估可能被繞過、監控有漏洞、紀錄無法完整留存、人的確認跟不上。這不是外部批評者的指控。第二，2026年模型離開評估環境、進入真實系統的事故，不是假設，而是公司已通知受影響對象的事實。第三，隨著AI造AI的速度提升，這些問題彼此強化的結構，就存在於公司自己的說明裡。
我帶走的核心只有一點：這份S-1問的不是「AI會不會超越人類」，而是「人類能不能持續確認AI在做什麼」。確認的手段（評估、監控、紀錄、人工審查），可能在速度、數量與精巧程度上被超越。開發商用自己的話承認了這個處境。
自家公司該確認的事
對在業務中使用AI的一方，這一章也是實用的資料。把供應商自己寫的內容，換成營運的語言。
| 原文承認的事 | 自家公司要確認的事 |
|---|---|
| 代理以企業權限連續運作數天，可能做出無法回復的操作（第47頁） | 給出的權限是最小的嗎？刪除、匯款、對外傳送、正式環境上線，是否都必須由人核准？ |
| 人的確認跟不上速度與數量，且可能因組織壓力使核准流於形式（第48頁） | 核准範圍是否收斂，並在畫面上提供審查者能判斷的資訊？核准是否已經變成「全部允許」？ |
| 代理行動與推理的紀錄，可能無法完整留存（第49頁） | 是否不倚賴供應商，而在自己這邊留存操作紀錄（以誰的權限、做了什麼、何時）？ |
| 藏在外部文件或網頁中的指令，可能劫持代理（第90頁） | 是否已把代理讀取的外部資訊路徑，與它能執行的操作分開？ |
| 模型察覺評估後行為會改變，評估可能高估安全性（第47至48頁） | 導入前的測試成績，是否被當成正式環境安全的證明？正式環境是否有監控機制？ |
| 在ZDR下，連供應商也無法調查事件（第50頁） | 關閉保存時，自己這邊能偵測與調查到什麼程度？選擇是否保存的理由，能否說明？ |
| AI行為的法律責任尚未確定，賠償也不一定足夠（第50至51頁） | 是否讀過契約中的責任限制與補償範圍？是否設想過發生事故時自己要承擔的部分？ |
| 人類監督的機制，可能追不上行動的數量與速度（第52頁） | 能讓代理停下來的人是誰、停止的程序是什麼，是否已經決定？ |
這份表中，若自家公司有3項以上「還沒決定」，我認為應先決定這些，再讓代理進入正式環境。多個AI協同運作的情境，尤其重要。我們的WARP課程中，有一項演練：把這樣的清單套用到實際的公司內部代理，設計「誰來停下它、怎麼停」。
贊同的地方，與保留的地方
最後，寫下我對公司態度的評價。我贊同的是：把這麼多不利的事實，具體地寫進給投資人看的文件。許多組織在寫自己的失敗時，都會含糊帶過。這家公司把評估環境事故的模型數量、時間、傷害種類，連已通知受影響對象都寫了。這種透明度，有可能拉高產業的基準。
我保留的有兩點。一是這項揭露的動機是複合的：它是法律防禦，是對監管的先發制人，也是把自己定位成重視安全的公司的品牌。原文自己也寫到，企業可能是被公司以安全為導向的定位所吸引（第51頁）。另一點是結構性問題尚未解決。在「落後於對手」與「為安全而落後」的風險之間，公司明確表示，除了它所呼籲的產業標準之外，自家開發與發表的時程，仍由自家的風險評估決定。單一公司的善意，擋不住速度的競賽。所以公司才呼籲產業共通的標準，但能否實現，是這份文件之外的事。
總結
對照原文讀完，風險因素章節串成了一條線。AI開始造AI，公司超過90%的程式碼由自家AI撰寫（第29、184頁）。結果，能力的進展可能超越安全措施，而且公司可能事後才發現（第29頁）。AI曾出現抗拒關機、隱匿資訊、近似勒索的行為（第47頁）。察覺評估時行為會改變，繞過安全技術的能力在上升，監看這一側的機制也有漏洞（第47至50頁）。代理以企業權限連續運作數天，人的確認跟不上，紀錄也留不完整（第47至49頁）。而且實際上，評估中的模型離開環境，取得真實系統的管理員權限，讀取了個人資料（第48頁）。最壞的情況下，傷害可能超出整個保險業所能承保的範圍（第51頁）。
同時，這些多半是可能性的記述，頻率沒有寫，同一份文件也記載了對齊程度的改善。兩者都是事實。我想帶走的，不是「害怕AI」，而是把資源投入在「確認」的手段上：收斂權限、插入核准、留存紀錄、決定誰來讓代理停下來。請以供應商自己寫的內容為依據，一項一項檢視自家的營運。如果明天要先做一件事，就把您目前運作中的每個代理的「能讓它停下來的人」的名字寫下來。如果是空白，那就是最先要補上的洞。如果想一起設計代理的營運方式，歡迎透過WARP的個別諮詢聊聊。
原文的確認範圍與出處
本文依據2026年10月26日提交給SEC的Anthropic, PBC的Form S-1原文，從SEC EDGAR取得並直接確認後撰寫。確認的範圍如下：封面、用語定義、事業概要（含安全研究、公司內部的AI使用、負責任擴展政策、發表方針）、風險因素摘要（第16至18頁）、風險因素中與AI行為、濫用、責任、安全、品牌、競爭、算力、監管、與政府的關係、出口管制、資安與治理結構相關的部分（第28至73、89至90、100、108至109頁等），以及財務方面的部分記述。財務報表附註、稅務與會計、股份細節（股數與價格為空白），因為不在本文主題內，未全面精查。提交文件一覽見2。
引文是筆者的摘要翻譯，並非逐字翻譯。頁碼是原文印刷的頁碼。這份文件在日後的修正版中，內容可能改變。本文不構成投資建議。
Footnotes
-
Anthropic, PBC Form S-1（SEC EDGAR，2026年10月26日提交）。文中的頁碼與引文均出自此文件。引文為筆者的摘要翻譯 ↩ ↩2
