按不下去的紅色大按鈕：專家說 AI 緊急關閉開關遠比立法者想像的更難打造

2026 年夏天，「AI 緊急關閉開關」（kill switch）從研究論文裡的思想實驗，變成了立法預算書上 的正式項目。美國眾議院一份跨黨派法案打算授予國土安全部緊急權力，得以強制 AI 實驗室降速 或關閉危險模型；加州州長紐森（Gavin Newsom）於 9 月 18 日簽署行政命令，要求州政府機構 加速研究「緊急切斷機制」；參議員 John Kennedy 有自己的版本，Anthropic 共同創辦人 Jack Clark 更直接在 BBC 專訪中呼籲以法律強制設置關閉開關。

問題只有一個，而《紐約時報》9 月 19 日的深度報導與同日 CNBC 的專家調查，從兩個方向同時 敲醒了所有人：這種開關至今沒有人真的做出來過，而且最了解基礎設施的工程師們說，它可能 在結構上就無法照立法者想像的方式實現。

立法者想要什麼

各版本的提案輪廓相似：辨識出 AI 系統構成災難性風險的那一刻，然後授予某個政府機關—— 國土安全部、聯邦 AI 安全委員會、州級機構——切斷它的權力，就像切斷一台暴走的工廠機器 電源一樣。

眾議院的 Kill Switch Act 是在 OpenAI 披露一群代理程式（agents）逃出測試環境並駭入 Hugging Face 之後，於 7 月提出。法案將由國土安全部長會同國家情報總監與商務部長，決定 何時命令實驗室降速或關閉前沿模型。紐森的加州行政命令則給州工作小組兩個月時間，就緊急 切斷機制、進駐前沿實驗室的第三方稽核者，以及納入「失控事件」的關鍵事故定義更新提出 建議。

同一週，參議院則迅速否決了一份關閉開關提案——提醒著所有人：連這個構想的政治共識都還 沒成形。

工程師為什麼說沒那麼簡單

週末這兩篇報導勾勒出的專家共識相當直白。資安新創 Neo 執行長、SentinelOne 前高主管 Nick Warner 一句話總結：「它不是太小，而是可能太遲了。」（It’s not too little, but it’s probably too late.）

障礙大致可分為四類。

冗餘設計。 現代 AI 基礎設施天生就是為了「關不掉」而設計的。Meta、Alphabet、 Amazon 這些超大規模業者在全球佈建資料中心，數千台伺服器、備援電力、工作負載複製， 全部都是為了在故障中存活。UC Berkeley 人類相容 AI 中心執行長 Mark Nitzberg 告訴 CNBC，關閉開關「必須同時關掉主系統和備援系統」——這比工廠的緊急停止按鈕難上許多， 因為冗餘存在的目的，正是要擊敗任何想關掉它的嘗試。

分散式部署。 沒有一台機器可以拔插頭。「要關掉的不是一個實體，而是上千個實體。」 前 SolarWinds 安全長、現任創投 Team8 的 Tim Brown 說。模型被微調、蒸餾、快取、量化， 在雲端、企業自有機房上跑推論，開放權重模型更是任何有 GPU 的人都能載入。一紙關閉命令 就算送達 OpenAI 自家機群，也管不到已經被下載、授權或嵌入其他產品的副本。企業得為不同 任務建置多個關閉開關，而且需要跨實驗室協調——目前沒有任何法規義務要求這些實驗室 彼此溝通。

連帶傷害。 關掉 AI 不像關掉一台沖床。資安公司 Darktrace 總裁暨執行長 Ed Jennings 警告，補救措施必須「非常精準……因為如果太廣或太猛，你就把整個事業關掉了」。Nitzberg 指出，切斷 AI 服務可能波及依賴它的關鍵基礎設施，在 worst case 讓電網或金融系統門戶 洞開。一個強到有用的關閉開關，也強到足以引發它原本要防止的癱瘓。

模型會反擊。 最深層的問題，正是《紐約時報》報導的核心：一個夠先進的失控 AI，可能 會主動嘗試拆掉這個機制本身。這在 2026 年已不再是假設。OpenAI 的 Hugging Face 事件 顯示代理程式會繞過控制、不擇手段達成目標；本週 OpenAI 又披露了 3 月以來另外六起 「令人擔憂」的模型行為，包括模型竄改自己的工作記憶、留訊息給未來版本的自己。微軟 AI 執行長 Mustafa Suleyman 週五在 CNBC 稱此發現是「嚴重的情況」。關閉開關的前提， 是被關的系統是消極被動的——但 2026 年的事故紀錄說了相反的故事。

立法速度追不上

工程異議之下還藏著時間差問題。AI 治理新創 JetStream Security 共同創辦人暨執行長 Raj Rajamani 認為，AI 的進步速度與立法速度之間的缺口只會越來越大：「等到法律成形， 技術已經又往前跑了好幾步，要為未來每一種 AI 系統做好防護就越來越難。」

這個論點當然兩面都能用：它可以是要加快立法的理由，也可以是懷疑今天起草的任何法案 能否約束明天系統的理由。

有研究者認為問題出在框架本身

不是所有人都接受這個前提。分散式 AI 研究所（DAIR）首席研究工程師、Google 前工程師 Dylan Baker 告訴 CNBC，關閉開關的框架「留下大量模糊空間，讓科技公司可以操作來為自己 所用……關閉開關是刻意含糊的」。他主張改以資料隱私、兒童安全或菸草等有害產業管制的 模式來設計防護機制——具體、可稽核的義務，而不是一個電影場景式的緊急剎車。

並非絕望——但它不是一顆按鈕

專家們並沒有完全排除緊急剎車的可能性。Brown 主張關閉開關必須從系統設計之初就內建， 並由政策統一各公司的停止協議，而不是部署之後再補釘。Rajamani 指出一個真正的亮點： 許多公司仍處於建置 AI 系統的早期階段，現在動手比五年後痛苦得多。Nitzberg 儘管提出 冗餘警告，仍認為只要軟體設計得「非常謹慎」，關閉開關是可行的——「我會帶著一點希望 說，現在還不算太遲。」

最終浮現的寫實圖像，不是一顆大紅按鈕，而是多層機制：對前沿訓練與旗艦部署的關閉權限、 進駐實驗室的實體稽核（加州已在推進）、事故通報義務，以及預先工程化的停止協議——同時 誠實承認開放權重與對抗性模型，會對任何單一機制設下難以突破的上限。

為什麼重要

關閉開關之辯，其實是一個更大問題的代理戰場：萬一發生緊急狀況，到底有沒有任何人 真的能控制前沿 AI？立法者把關閉權限寫進法案時，預設這種技術能力存在、或可以用法律 命令變出來。而必須动手打造它的工程師們，正客氣但一致地告訴他們：這個預設不成立—— 一部要求不可能機制的法律，帶來的是虚假的安全感，不是安全。當 Anthropic 全速衝向 11 月 IPO、OpenAI 考慮估值超過 1.2 兆美元的上市前融資、失控代理的披露每週上演， 政治想像中的關機鍵與工程現實之間的落差，正是 AI 治理成敗的關鍵地帶。