ASEAN AI Safe：一场自愿的区域安全演练，什么时候才算真的落地

把 ASEAN AI Safe 读成一份区域版的 AI 监管草案，几乎必然读错。2025 年 10 月 26 日，第 47 届 ASEAN 峰会在吉隆坡通过《关于建立 ASEAN 人工智能安全网络的宣言》，文件里最关键的一句是第四条：这一网络“以自愿和非约束为基础运作”。这不是起草者被迫接受的妥协，而是整套设计的起点。

十个成员国在 AI 治理上的制度成熟度、技术能力和监管执法差距极大——宣言自己在前言里就承认了这一点，并点名了监管成熟度、技术能力、执法力度的参差，以及在全球标准制定舞台上代表性不足的短板。它也并非凭空落地：宣言把《ASEAN 人工智能治理与伦理指南》、其生成式 AI 扩展版，以及《ASEAN 负责任 AI 路线图（2025-2030）》列为依托，第五届数字部长会议还把人工智能治理工作组（WG-AI）的职责扩展到 AI 政策、治理、安全、法律、法规与标准。

一份统一的硬法会在能力最弱的成员那里卡死；而一场自愿的区域共同演练，恰恰因为不设强制门槛，才可能把最没准备的成员也纳入同一套能力建设进程。它更接近邻里之间的互助安全网：先掌握某类风险处置办法的成员，把经验带到下一轮，分享给还没上手的邻居。参与的成本被压到最低，代价是任何一步都没有强制力。

这套逻辑的力量和它的软肋是同一件事。自愿意味着低门槛、高参与，也意味着，一旦它始终停在成员间互相分享经验的阶段，而没有变成任何一方真正会去要求的东西，它就只是一份措辞良好的文件。判断它成败的标准，从一开始就是它最终能不能长出约束力。

宣言没有创造一个区域监管机构，这一点容易被忽略。它真正做的，是把 AI 安全的协调职责挂靠在既有的 ASEAN 数字高官会议（ADGSOM）和人工智能治理工作组（WG-AI）之下，让 ASEAN AI Safe 作为支持性机制存在。文件援引了一份关于该网络的可行性研究，责成马来西亚作为牵头成员国，会同各成员国与秘书处，把网络的功能、组织框架和运作模式做成正式提案，提交数字部长会议审议。

换句话说，2025 年 10 月吉隆坡拿到的，是一份合作框架，还不是它的运作机制和预算。宣言第五条把“可持续的资金模式”明确留给部长们继续探索，第四条则要求运作模式确保与 ADGSOM、WG-AI 等既有机制相衔接，并向对话与发展伙伴、民间社会、学界和产业开放。宣言还把这一网络锚定在 ASEAN 中心地位、协商一致的决策与《ASEAN 宪章》之上，责成马来西亚就建立进展向数字部长会议汇报、并提交一份正式提案供背书。这在自愿机制里本就是常态，而非疏漏：先把成员纳入进来，再慢慢谈谁出钱、按什么规则协作。

到了 2026 年 1 月，事情往前挪了一格。第六届 ASEAN 数字部长会议在河内通过《河内数字宣言》，其中第八条把 WG-AI 定为 AI 合作的牵头方，把 ASEAN AI Safe 列为支持机制，并把它和三样具体的东西接在一起：AI 基础设施经验的共享、真实应用与用例的探索、以及为应对区域挑战而设立的沙盒——同时明确要“加强在全球 AI 治理中的集体声音”。《河内数字宣言》把 AI 定性为一种“智能基础设施”，并以 2026-2030 的《ASEAN 数字总体规划》（ADM2030）作为区域数字一体化的中枢。落到 AI Safe，这份合作方向等于给区域协作排定了优先次序：先做什么、和谁一起做、做完之后如何对外发声。到此为止，这一网络有了明确的优先次序，仍缺运作机制、预算和一套考核标准。

把 ASEAN AI Safe 和英国、美国、中国的 AI 安全机构摆在一起，会发现它们根本不在同一条赛道上。2024 年 11 月 20 日，美国商务部与国务院在旧金山召集首届“国际 AI 安全研究所网络”会议，创始成员包括美国、英国、日本、韩国、加拿大、欧盟、新加坡，以及肯尼亚等发展中经济体，共十方。那套网络给自己定的优先事项是四条：开展 AI 安全研究、发展模型测试与评估的最佳实践、对高级 AI 系统测试结果形成共同解读、以及推进全球包容与信息共享——落到操作层，重心是前沿模型的技术评估：红队测试、能力评测。本质上，这是一批拥有前沿实验室和算力的经济体，在切磋如何测最强的模型。英国把它的安全研究所在 2025 年改名为 AI Security Institute，重心明显偏向国家安全语境下的前沿风险；中国的路径则更偏国家主导的标准与治理框架。

ASEAN AI Safe 面对的威胁模型完全不同。宣言前言点名的风险是跨境的错误信息、欺诈和内容操纵：这些是已经落到普通人头上的下游危害，不是前沿模型失控那类抽象命题。宣言前言还把“在全球标准制定舞台上代表性不足”和“为 AI 能力尚在起步的成员提供针对性的能力建设与技术援助”列为要处理的现实——这两条都指向发展落差，而非模型前沿。对多数成员国而言，既没有前沿实验室，也没有对标 NIST 的评测机构，去模仿富裕经济体的前沿红队并无意义。它真正的比较优势，在于把能力参差的十个邻居组织到同一套共享的评测与处置方法之下，一起应对共同面对的、具体的伤害。认清这一点，才不会用错误的标尺去衡量它的成败。

在这一区域机制里，新加坡的位置很特殊：它是唯一一个同时坐在两个房间里的 ASEAN 成员。对外，它是旧金山那张桌子上的国际 AI 安全研究所网络创始成员；对内，它又在 ASEAN 自己的协调机制之内。新加坡 AI 安全研究所由资讯通信媒体发展局（IMDA）与设在南洋理工大学的数字信任中心（DTC）合办，DTC 获国家研究基金五千万新元资助。它给自己的定位是推动新加坡的 AI 评测与测试工作、弥补全球 AI 安全科学的缺口，业务铺在技术测试、社会影响研究与国际合作三条线上，重心之一正是多语言、多文化环境下的 AI 测试，并通过 NAAIMES 等机制与日本、加拿大、韩国等国开展联合测试。

其中 IMDA 主责政策与国际接触，DTC 承担技术研发。这恰恰是新加坡能给这一区域机制带来的东西。与其急着替 ASEAN 起草一套硬法，不如充当翻译：把国际网络里那套前沿评测方法、把国际标准的语言，转译成区域内十个能力不等的成员真正能执行的治理动作。多语言、多文化测试尤其关键——东南亚的语言和内容生态，正是旧金山那张桌子上最容易被忽略的盲区，也是新加坡能带进这一区域机制的独特能力。

风险也埋在同一处。如果新加坡把自己的角色理解成规则输出方，急着让邻居采纳一套现成标准，它就会撞上 ASEAN 共识决策的那堵墙。这套机制靠的是自愿参与，一旦被读成单方面的达标要求，共识就会散，新加坡在两个房间之间的桥梁价值也随之贬值。分寸感，才是它能否兑现这一角色的关键。

一套自愿的区域安全能力，最终只有一个地方能证明它是真的：当它的产出进入采购合同和审计清单的时候。在那之前，无论开多少次会、发多少份最佳实践，它都还只是成员之间的自愿分享。

新加坡境内已经能看到这条路径的雏形。2025 年 3 月到 5 月，IMDA 与 AI Verify 基金会组织了一次真实场景下的生成式 AI 测试，覆盖人力资源、医疗、金融等十个行业的 17 家机构，樟宜综合医院、Tookitaki 等参与其中；测试之后沉淀出一份“测试入门套件”和 Project Moonshot 工具包，作为企业负责任采用生成式 AI 的自愿指南；相关发现在 2025 年 5 月底公开，并配套面向开发者的 Project Moonshot 工具包与一段公众咨询期。这套工具本身不具强制力，要成硬要求，得等某个采购方把它写进对供应商的条款。

这里藏着这套机制最难解的张力：它自愿、非约束，ASEAN 又协商一致决策，WG-AI 只把它定位成“支持性机制”，从制度上就没有强制成员的余地。值得盯住的触发信号只有一个：某个 ASEAN 成员国在真实招标或行业标准里，明确把 ASEAN AI Safe 列为要求。那一刻，约束力不由 ASEAN 中心号令产生，而是被单个成员的自愿采纳带出来，落到某个买家头上。

反过来的信号也清楚：如果它年复一年停在 WG-AI 的进度报告和部长会议的措辞里，始终只是那个“支持性机制”，从未在哪个成员国的采购或审计里被援引成可执行要求，就说明自愿加共识终究只能生产共享，生产不出约束。这套设计能不能长出约束力，不在会场见分晓，而在某一份写着“须符合 ASEAN AI Safe”的招标附件是否出现。