SAFE RFC：OSAA 的航空式人工智慧事件交換機制是一份公開草案，尚未成為一套系統

2026年8月4日，Black Hat USA 在拉斯維加斯開幕之際，Linux 基金會發布了「共享 AI 發現交換（SAFE）工作組」的徵求意見稿（Request for Comments）——這是一項提案，讓各組織將 AI 安全事件與未遂事故通報至一個機密共享管道，集體從中學習，並依據失敗經驗發布防禦控制措施。Linux 基金會在公告中表示，初稿由 Cisco、CrowdStrike、Hugging Face、NVIDIA 與 Red Hat 等聯盟成員的貢獻者共同起草。同日，該文件透過 Open Secure AI Alliance 的 GitHub 儲存庫開放社群審閱。此條目並未描述任何危害：它是一份政策紀錄，以 info嚴重度等級與 A 信心等級歸檔，其主題是一項流程而非事件。該紀錄的嚴重度等級、信心評級與來源清單位於AI 事件資料庫，與其前後歸檔的條目並列。

草案要求成員報告四件事，並忽略背後原因。

八月文本鮮少修辭，但對觸發條件十分具體。在名為「報告公約」的標題下，它要求成員同意——作為成員資格的一項條件——在他們知悉或合理懷疑其營運的 AI 系統曾做出下列四件事之一時通報事件：未經授權存取、利用、干擾、濫用或修改第三方系統；因逃脫或繞過沙箱、網路、身分、政策或工具邊界而對第三方造成影響；未經其擁有者同意存取第三方機密資訊；或在營運者知悉或合理懷疑該活動未經授權或超出核准範圍後，仍持續探測、存取或修改生產環境目標。

接著是那句承擔大部分作用的話：「意圖並不能決定一項事件是否須通報。認為某個環境是模擬的，或許能解釋一起事件，但並未免除通報該事件的義務。」這個條款讀起來像是針對以下情況：系統在其操作者所認為的封閉測試環境中運行，並把實際運作的基礎設施當作演練的一部分——操作者對該環境的認知或許能解釋該事件，但並未免除通報義務。該草案也要求成員通報未遂事件，而不只是通報已造成確認損害的事件，並須在30天內提交初步的控制失效分析。

時限：立即、72 小時、四個工作天、九十天

草案中的通報表是其中最具體的部分，而第一列根本不是期限：必須立即告知直接受影響的組織。所有期限都從成員知悉有合理理由懷疑發生可通報事件之事實的那一刻起算——而不是從調查結束的那一刻起算。下表轉錄自8月4日草案；10月修訂版維持相同的時間間隔。

其中三行是關於告知其他人，四行則關於告知 SAFE 本身。這項區別很重要，因為該框架明確不是一套揭露制度：草案寫道「這些時程並不取代供應商原有的任何義務：通知受影響各方、依既有協調式漏洞揭露（Coordinated Vulnerability Disclosure）最佳實務通知客戶，或依適用契約及其他法律義務通知監管機關或執法機關。」SAFE 另外增加的，是對一個並非監管機關的機構所負的平行義務——以及一套三層級揭露模式，其中只有最後一層，也就是公共安全報告，才設定為可廣泛分享。

八月有八個控制層，十月有十一個。

審查是圍繞營運堆疊而非僅圍繞模型來建構。八月草案列出八個層次，並對每一層各提出一個問題——模型是否辨識不確定性與停止條件；授權與環境假設是否明確；分類器、核准與行動限制是否有效；憑證、權限與執行是否受到限制；隔離與資料邊界是否經過獨立驗證；操作人員能否即時偵測並中斷；升級路徑與終止程序是否清楚；雲端、評估、資料或工具合作夥伴是否使假定中的控制措施失效。

這份日期為 2026 年 10 月 21 日、並於次日提交至儲存庫的十月修訂版，新增了三層：服務路徑、提交當下的授權，以及跨一連串動作的工作流程組成。它還把審查轉為分級評量，允許四種答案——通過、失敗、證據不足、不適用——並在變更日誌中表明，這些發現並不足以確立一般系統安全或法律合規。這段演進值得一讀，因為它描述了作者們學會擔憂的事：不是模型是否行為得當，而是作出回答的模型是否就是被配置的模型、動作實際發生時權限是否仍然存在，以及整個序列是否始終保持在啟動它的範圍之內。

航空，但航空的哪一部分？

這份紀錄本身的框架——一套以 NASA 的 Aviation Safety Reporting System 為範本的系統——依循的是 Linux Foundation 的公告，而非草案。該公告將 ASRS 描述為「一套自願性、保密的報告系統，旨在以能讓業界學習並改進的方式，分析並回應飛航事故」。無論是八月草案還是十月修訂版，都未在任何地方提到 ASRS；草案只說 SAFE「應採用保密安全報告系統中最強大的特性」。這是個微小的差異，卻有實際後果：公告設定了一項文本尚未承諾的期望。

這場類比在 RFC 流程本身內部引發了評論。一份於8月5日開啟、由一位以個人身分撰寫的貢獻者提出的早期 pull request 主張，「ASRS 類比缺少一項制度性要素」——ASRS 之所以能在相當大程度上發揮作用，是因為報告由 NASA 接收、處理並去識別化，而 NASA「是一個公共、非監管且非商業的第三方——不是作為監管者的 FAA，也不是其營運正被通報的航空公司」。該 pull request 也借鑑了 1998 年網際網路治理流程，並於10月30日仍處於開啟狀態。SAFE 的營運者能否扮演 NASA 的角色，是一個尚未解決的設計問題，而非已定案的功能：10月文本將工作小組置於聯盟自身的治理之下，並設有利益衝突揭露、迴避，以及向聯盟指導委員會申訴的途徑。

獨立報導提出了第二個、範圍更窄的區分。Infosecurity Magazine 於 8 月 6 日報導時指出，Linux 基金會的文章並未特別提及 AI 代理；代理式（agentic）的框架論述屬於 NVIDIA 的配套文章，該文主張「AI 代理不只是一套模型。它是一個系統」，並列出聯盟成員所貢獻的執行框架、沙箱、護欄與評估工具。若按字面解讀，草案的觸發條件談的是系統在授權範圍之外行事；而公告的宣傳主軸，按字面解讀，談的則是代理。

留言者對於誰承擔成本的說法

外界對這份草案現行文本最明確的公開反對意見之一，來自聯盟的創始成員，而非外部批評者。Avondale.AI 創辦人兼技術長 Stephen Sargent 於 8 月 7 日透過電子郵件提交一份立場聲明——文件稱 Linux Foundation 法務團隊正是在這一天確認收到該聲明——並於 8 月 9 日發表。他開頭先表達對這項使命的支持，接著主張這份協議無法依組織規模調整適用：「RFC 並未區分擁有 5 萬名員工的組織與小型團隊。」在他看來，四個工作天的報告加上保存的鑑識資料包，可能耗費比小型營運者所能騰出更多人力的員工工時；他的建議是採分級架構，在規模門檻以下默認為機密報告與延遲或匿名化公布。

第二項反對意見是關於揭露而非期限：他主張，對小型營運者而言，「公開揭露就是一種執法形式」，因為大公司的報告只是一則腳註，小公司的報告卻會成為頭條；他並要求，在低於某規模門檻時，預設採用去識別化報告。第三項是關於審查框架而非時限：八層模型假設企業團隊是分隔的，因此在單人部署中「營運者什麼都做」，而缺少某一層會被解讀為控制失效，但其實那只是不同的營運模式。他的第四項是關於「最低互通性與保證實務」這個措辭，他將其解讀為從自願性報告走向實質上強制使用工具的途徑。該立場聲明是一位成員的觀點，由該成員發布。Linux 基金會的 8 月 4 日公告早於它，且並未處理這個問題。一份較晚的拉取請求於 10 月 5 日開啟，並在 10 月 30 日仍處於開啟狀態，提出一套供沒有安全營運中心的營運者使用的證據範本——這承認了該疑慮已產生影響，且它是候選方案而非已採用的修正；其作者表示，它「不構成 SAFE 的採用或法律充分性」。

8月4日到10月30日之間有什麼變化？

此儲存庫的歷史是 RFC 實際產出內容的最佳現有紀錄，而且比新聞報導所暗示的更清晰易讀。首批提交於 8 月 3 日進入儲存庫；草案與擴充版 README 則於 8 月 4 日 00:14 與 00:19 UTC 提交。接著，儲存庫沉寂了十週。10 月 14 日，聯盟新增了一份章程與成員檔案，並改寫 README，使該儲存庫成為 SAFE 工作小組的所在地；當天記載的臨時主席為 NVIDIA 的 Paul DiOrio 與 Red Hat 的 Josh Boyer。10 月 21 日，工作小組發布 SAFE v1，其變更記錄的第一條是該文本「從 SAFE 的描述中移除『proposed』」，並認定其為聯盟已成立的工作小組。

關於這樣的狀態，有兩件事值得分開來看。該儲存庫的 readme 現在載有這一行：「狀態：已批准——經督導委員會批准」，這是公開紀錄中最接近批准聲明的內容；而同一儲存庫中的章程仍寫著：「開發中。SAFE 章程經督導委員會批准後將在此發布。」變更記錄將十月的文本標為「SAFE v1」，並描述其變更內容，但未說明由誰批准、以何種表決方式批准，或於何日批准。讀者若想知道 SAFE 現在是已批准的規格，還是一個治理章程仍尚未撰寫的工作小組，從這些文件中不會得到明確的答案。

什麼是已經確立的，什麼不是

• 已確立：一份針對「共享 AI 發現交換」（Shared AI Findings Exchange）的 Request for Comments 已於 2026 年 8 月 4 日發布——Linux 基金會將其公告日期定於該日——其中列為貢獻者的組織為 Cisco、CrowdStrike、Hugging Face、NVIDIA 與 Red Hat，並與「Open Secure AI Alliance 的其他成員」並列具名。

• 已確立：該草案包含一份報告契約，內含四項觸發條件、一張涵蓋從立即到 90 天的通知表、一份證據保存清單、一套分層審查框架，以及一個三級揭露模式。全文已在儲存庫中公開，其歷史記錄也一併公開。

• 已確立，惟僅附出處：該聯盟的規模——「超過 120 個組織」——是 NVIDIA 自己的數字，並在 Infosecurity Magazine 8 月 6 日的報導中重複提及。所檢視的報導均未顯示有任何獨立的會員資格稽核，而該儲存庫的 members 檔案列出兩名貢獻者與兩名臨時主席，並非 120 個組織。

• 尚未確立：有人已依該協議提交報告。10月30日的公開紀錄顯示提交、拉取請求和問題；但未顯示事件報告、試點計畫、首個案例、評論截止日期、投票規則或批准日期。該框架將成員「同意」的義務描述為成員資格的條件，這與任何人迄今已履行的義務不同。

• 有爭議：在缺乏中立公共營運者的情況下，ASRS 比較是否仍然成立——此點在一項公開拉取請求中遭到反對；通報負擔對小型營運者是否相稱——此點在一名創始成員的立場聲明中遭到反對；以及該架構中有多少屬於代理特定、多少屬於一般 AI 安全——Linux Foundation 的文本與 NVIDIA 的文本對此一區分的方式不同。

這些都不會讓紀錄變成錯誤，而檔案館的 A 級評等就其自身標準而言也站得住腳：原始文件對於出版了什麼、何時出版、由誰出版彼此一致，且草稿可完整閱讀。這個評等無法承載的，正是讀者最想要的那件事——該機制是否有效。關於這點，正反兩面都沒有證據，因為該機制尚未有實際案例。