我们需要什么样的AGI？不是更强，而是可治理

争论焦点：不是能力上限，而是治理边界

围绕通用人工智能（AGI）的讨论，常被简化为“能力还要提升多少”。一边基准刷新，一边暂停与刹车，两种声音看似对立，其实都把通用性当成能力上限问题。真正应先问：这种通用性进入社会后，能否被观测、被归因、被约束？若答案是否定，能力刷新越多，风险规模也越大。

人类社会从未单纯追求“能力越大越好”，而是追求能被理解、被约束、出错后还能纠正的能力。蒸汽机、电力、互联网改变社会，不是因为无所不能，而是最终被装进可管理、可协作、可追责的框架。AGI不是不被需要，而是不能只要“能力上通用、治理上失控”的AGI。我们需要的是可治理的通用性，而非无界的通用性。

从“说了什么”到“做了什么”

当生成式AI从内容生成扩展到具备工具调用与自主执行能力的智能体系统，风险对象正在改变。智能体一旦获得外部系统操作权限，一次错发指令、越权操作或误调接口，可能直接改变系统状态，并沿复杂业务流程扩散。治理重心不再只是模型说了什么，而是智能体做了什么；不再只是审查单次输出，而要追溯整段行为。

这一转向已有落地条件。中国标准化研究院与巨量引擎联合发布的《AIGC时代互联网广告治理蓝皮书》提出，将审核逻辑从单条素材合不合规，推进到整次广告行为可不可信，用全链路框架观察风险如何在看到—点击—交易中分布。广告治理是较早成熟场景，但道理对AGI同样成立：系统能连续调用工具并跨环节行动，只审查每次输出已不够，必须能追溯从哪开始、走了哪条路径、造成什么后果。AGI如果连行为可追溯都做不到，它的通用就只是风险的通用化。

有人主张先造出来，再靠护栏规则、红队测试管住风险。这听着稳妥，实则靠不住。模型可能根据训练或监控状态信息表现出策略性伪装；奖励漏洞也可能在训练中泛化，变成对监督机制本身的利用。外部安全护栏在对抗环境里可能被绕过、被重新解释，甚至被合规地规避。防御者要覆盖所有路径，攻击者只需找到一条未覆盖路径。因此，安全不能是部署前检查、部署后补丁，而应像建筑承重结构一样长在系统里。一项通用能力，如果底层结构无法被稳定约束，越通用，约束失效后的后果越不可控。这不是否定AGI，而是给可部署的通用性设定不能退让的前提。

可治理性必须覆盖认知与信息生态

AGI带来的不只是行为风险，还有认知条件问题。当它能跨模态生成内容、实时调整说服策略、规模化影响人的判断，问题就不只是虚假信息变多。虚假信息可在内容治理层面处理；更深的问题是，社会还能不能保有判断什么是真的、什么是可信的条件。如果一种通用性意味着可以无差别建模、预测、扰动任何个体的认知过程，这种能力在网络公共空间里的过剩本身就是风险。我们需要的不是少生成一点虚假信息的AGI，而是在架构层面承认认知自主性不可侵犯的AGI。

信息生态的长期后果同样难绕开。AI生成内容在缺乏筛选和质量控制下反复进入训练数据，可能导致数据分布退化、罕见样本丢失，进而出现模型坍缩。它侵蚀的不只是某条内容的真实性，而是内容生产秩序和社会信任的再生产条件。当同一个通用系统同时承担知识供给、内容生成和决策辅助，它对信息秩序的塑造力已接近基础设施级权力。对AGI的要求就不能停在输出是否合规的末端，而要追问：系统有没有内置对长期结构后果的可问责性？信息生态健康应成为部署前的架构责任，而非出问题后再靠内容审核补救。

真正需要的AGI，不是能力表上多几个通用标签，而是从设计之初就带着可观测、可归因、可约束属性的通用智能。可治理，不是指望外部监管总能追上它，而是能力每扩展一步，治理能理解和介入的边界也同步扩展。达不到这个标准的AGI，它的通用只是风险规模的通用化，而非安全能力的通用化。真正该问的不是还需要多少AGI，而是：每一套试图进入社会、进入网络公共空间的AGI，是否真正能做到部署后可控。能，我们欢迎它；不能，再多迭代更新，也不构成被需要的理由。