Anthropic诉美国国防部案的庭审

7月30日，美国加州北区联邦地区法院就Anthropic诉美国国防部（战争部）案举行简易判决（Summary Judgment）听证会。

双方均认为，案件事实已通过行政记录和书面证据充分查明，无需再进行证人作证或陪审团审理，并希望法院直接就实体争议作出最终判决。

Anthropic因坚持禁止Claude用于完全自主的致命武器和针对美国人的大规模监控等用途，和特朗普政府发生冲突。政府随后通过总统指令、国防部长命令及依据美国法典第10章第3252节，把Anthropic列为“供应链风险”。Anthropic向加州北区联邦法院起诉。法院认为Anthropic很可能可以证明这些措施属于针对其公开AI安全立场的报复，因此发布了初步禁令，暂停执行这些措施。目前，此案进入了实体审理阶段。

法院在本案中要审查的实体问题可以概括成一句话：当美国政府越来越依赖私营AI企业提供前沿模型时，是否可以以国家安全和供应链安全为由，将一家公开批评政府政策的AI公司认定为“不可信”，甚至影响其与整个国防供应链的商业合作？

Anthropic认为，国防部将公司列为“供应链风险”，并非基于真实的国家安全考虑，而是为了报复公司公开批评国防部的AI政策，既违反了美国宪法第一修正案保护的言论自由，也超出了《美国法典》第10编第3252条赋予国防部的法定权限。

国防部则坚持认为，前沿AI模型与传统武器、软件或硬件完全不同。模型开发者不仅掌握模型训练方式，还能够持续更新模型版本、安全护栏和部署策略。因此，军方必须能够信任供应商不会隐瞒模型限制，也不会将自身的伦理判断植入未来版本，从而影响军事任务。正因如此，国防部有权基于国家安全和供应链安全作出风险认定。

虽然双方争论涉及大量事实细节，但庭审最终集中在四个法律问题。

第一，国防部究竟是在正常管理承包商，还是在利用国家安全权力惩罚公开批评政府的企业？如果这只是一次普通采购决定，政府通常享有较大的合同管理裁量权；但如果政府借助供应链安全机制，公开将一家企业描述为“不可信”，并影响其他国防承包商与其合作，就可能超出正常采购管理的范围，进入第一修正案所规制的领域。

第二，国防部是否提出了Anthropic独有、能够具体证明的国家安全风险？司法部认为，前沿人工智能模型和步枪、无人机或传统软件存在本质不同。模型规模庞大、内部机制不透明，开发者还拥有普通供应商没有的持续更新和模型控制能力。因此，军方必须能够信任供应商不会隐瞒安全护栏，也不会把自身的伦理判断植入未来版本的模型。但法院关注的是，司法部说的这些这些都是整个行业共同具有的特征，为什么唯独Anthropic会因此构成供应链风险？

第三，政府作出这一决定，究竟是基于国家安全判断，还是因为Anthropic公开批评国防部？法院需要结合总统公开发言、国防部长后续指令、正式风险认定的时间顺序，以及政府在诉讼过程中不断变化的理由，判断所谓“信任缺失”到底是真正的安全评估，还是对企业言论的政治报复。

第四，如果Anthropic胜诉，法院应当提供何种救济？Anthropic要求法院撤销“供应链风险”认定，并发布永久禁令，禁止国防部再次作出类似决定。司法部则认为，即使法院认定程序存在问题，也应将案件发回国防部重新作出决定，而不是直接撤销相关措施。

以下是庭审的具体情况：

Lin法官首先介绍了自己审阅案卷后的初步印象。她表示，现有行政记录与法院此前审理初步禁令时掌握的材料基本一致。政府并未提交足以明显改善其法律处境的新证据，部分新增材料反而使其解释变得更加困难。

在Lin法官看来，现有记录呈现出一条令人不安的因果链：Anthropic首先在媒体上公开批评国防部的立场；政府随后表示双方之间已经出现“信任缺失”；紧接着，国防部又将该公司指定为供应链风险。

如果接受这种逻辑，那么今后任何政府承包商只要公开批评政府，都可能被认定为“不可信”。政府随后便可以国家安全为由取消合同、限制其他承包商与其合作，甚至将其描述为国家的潜在敌人。Lin法官指出，如果这确实是政府的立场，那么这种做法不仅十分极端，也可能同时与第一修正案和《美国法典》第10编第3252条发生冲突。

在正式辩论中，双方首先围绕所谓的“Pickering框架”展开争论。

这一框架最初主要用于政府作为雇主限制公职人员言论的案件。美国最高法院后来在Umbehr案中，将类似原则适用于部分独立政府承包商。其基本逻辑是，政府作为雇主或者合同相对方时，需要维护公共服务效率、工作秩序以及合作关系，因此享有比普通监管者更大的管理空间。法院需要在个人或承包商的言论权利与政府的实际业务利益之间进行权衡。但如果政府并不是在管理一项具体的雇佣或合同关系，而是在动用主权或监管权力压制言论，就不能轻易获得这种特殊余地。

司法部律师James Harlow主张，国防部在本案中是作为采购方和合同相对方采取行动，因此应当适用Pickering框架。即使政府的行动会向其他承包商传递信号，只要有关措施仍然发生在政府合同体系内部，法院原则上仍应按照这一平衡框架进行审查。

Lin法官随后连续提出两个假设，对司法部的解释进行检验。

她首先询问，如果政府明确宣布，终止所有曾公开批评总统的企业的国防合同，并称这些企业因为批评总统而“不爱国”或“不可信”，Pickering框架是否仍然适用？

司法部回答说，仍然适用，但政府必须提出合法的业务利益，并以事实证明这种利益足以压倒企业的第一修正案权利。

Lin法官对此明显表示怀疑。她指出，即使套用Pickering框架，这种纯粹因为企业批评总统而终止合同的做法，看上去也应当是一个相当直接的第一修正案违法情形。

随后，Lin法官又提出第二个假设：如果政府不仅终止自己与一家企业的合同，还警告所有国防承包商，不得与该企业发生任何商业关系，否则也将承担后果，这是否已经超出普通合同管理的范围？

司法部最终承认，如果有关措施与具体国防系统或采购行为完全无关，而是全面禁止第三方与Anthropic开展其他商业活动，那么政府就更接近于在行使主权或监管权力，而不只是管理合同关系。在这种情况下，Pickering框架可能不再适用。

这一让步非常关键。Anthropic一直将国防部长最初声明中包含的“二级抵制”视为本案核心。也就是说，政府并非只是决定停止购买Claude，而是试图促使整个国防供应链与Anthropic切断关系。Anthropic认为，这种措施实际上接近行政除名或行业封禁，不能被简单描述为一次普通的政府采购决定。

庭审中的第二个重要分歧，是法院应当如何看待不同政府官员先后采取的行动。

相关事件至少包括：总统于2月27日在Truth Social发布的帖文，国防部长随后下达的指令，以及国防部于3月3日依据第3252条作出的正式供应链风险指定。

司法部要求法院分别审查每一项行为。其理由是，不同政府官员拥有不同的法定权限，法院不能把总统、国防部长和其他行政机构视为一个不加区分的整体。政府认为，本案直接接受司法审查的主要行为，应当是3月3日作出的正式供应链风险指定，而不是此前所有政治表态。

Anthropic的首席律师、WilmerHale合伙人Michael Mongan则认为，这些行为在时间和事实上紧密交织，无法人为切割。总统首先公开点名Anthropic，国防部长在数小时内迅速跟进，正式的供应链风险指定随后很快完成。法院在判断政府是否具有报复动机时，当然可以考察整个事件的背景和发展过程。

Mongan进一步指出，即使法院逐项审查这些行为，结论也不会改变：每一项行动都表现为政府针对Anthropic受第一修正案保护的言论采取不利措施。

Lin法官尤其关注总统发布帖文时所依据的证据。她指出，截至总统发表相关言论时，现有记录中似乎并没有充分材料说明Anthropic为什么构成国家安全威胁。

司法部提到国防部内部曾形成过一些文件，但无法说明总统本人是否审阅过这些材料，只能要求法院根据帖文本身和既有行政记录作出判断。

司法部随后集中解释了为什么前沿AI供应商与普通国防承包商不同。

司法部认为，前沿AI模型具有明显的“黑箱”特征。国防部采购步枪时，可以拆解产品、检查内部结构，并确认其是否符合规格；采购无人机或传统软件时，也可以在一定程度上检查硬件和代码。但大型AI模型参数规模庞大，内部推理机制不透明，政府很难独立判断开发者是否在模型中加入了新的限制。

此外，AI并不是一次性交付的产品。政府需要持续获得模型的最新版本，而每次更新都可能加入新的安全护栏或改变模型行为。Anthropic仍然对模型、更新过程和部署方式保有特殊控制能力，因此国防部必须信任公司会如实披露模型限制，不会把企业自身的价值判断植入未来版本，进而干预军事用途。

政府提出的、据称与Anthropic自身有关的具体事实主要包括六项：第一，Anthropic拒绝允许模型用于一切法律没有明确禁止的用途；第二，一名Anthropic高级人员曾对模型在某次军事行动中的使用提出质疑；第三，Anthropic将合同谈判争议公开，并向媒体表示其受到国防部威胁；第四，公司内部人员曾对现任国防部领导层表达敌意；第五，国防部担心Anthropic未来可能在新模型中加入未经披露的安全护栏；第六，国防部认为，上述因素叠加后，可能形成模型投毒、服务中断或者军事任务受阻等供应链风险。

司法部还提到一个涉及美国疾病控制与预防中心的例子。据其陈述，商业版Claude的安全护栏曾导致政府用户无法完成一项原本被允许的任务。司法部认为，这说明模型限制并不是抽象风险，而可能在实际使用中直接阻断政府行动。

Anthropic回应称，所有大型AI模型都存在一定程度的不透明性，也都具有安全护栏和由开发者持续更新的特点。如果这些行业共同特征本身就足以构成供应链风险，那么几乎所有前沿AI企业都可能被作出类似指定。

Anthropic还强调，公司两项主要的使用限制一直公开透明，国防部在双方开始合作时就已经知情。政府不能在长期接受这些条件之后，仅仅因为公司公开批评国防部，就突然把同样的条件重新描述为国家安全威胁。

司法部尤其依赖一名Anthropic高级人员曾就模型在军事行动中的使用提出疑问这一事件。由于相关行动可能涉及机密，司法部没有在公开听证中说明具体情况，只表示主承包商也对Anthropic提出问题这一行为本身感到担忧。

政府的立场是，企业高管无权在部署过程中自行质疑军方如何以及为什么使用其技术。这类质疑反映出一种公司层面的道德判断，而同样的价值判断未来可能被写入模型，进而干扰军事任务。

Lin法官对此追问，现有记录是否已经排除了另一种更为普通的解释：这名高管或许只是在询问，在具体环境下使用该产品是否安全、适当，或者是否符合该产品的能力范围。

Anthropic则表示，即使政府对这一事件的描述完全准确，一名高管向第三方提出问题，也远远不能证明公司企图阻挠军事行动。没有任何证据显示，Anthropic曾采取技术措施或商业措施干预相关行动。公司CEO还曾亲自向国防部长保证，Anthropic无意干预美国在海外开展的军事行动，并愿意把这一承诺明确写入合同。

Anthropic还提出了一个反向逻辑：如果公司真的企图秘密破坏政府行动，最不可能采取的做法，就是公开提出安全和负责任使用的原则立场。真正有意破坏政府行动的供应商，更可能表面承诺满足政府的一切要求，然后在暗中采取行动。

Anthropic还指出，政府对供应链风险的解释在争议发生和诉讼推进过程中不断变化。最初，国防部主要强调Anthropic希望在模型部署之后继续控制模型的使用方式。但当Anthropic澄清自己并不具备部署后的远程控制能力后，政府又开始强调部署前的模型训练、安全护栏以及版本更新风险。

Anthropic认为，这种理由转移说明，政府是在借国家安全理由掩盖针对企业言论的报复。国防部真正不满的并不是某种具体技术风险，而是Anthropic拒绝接受“所有合法用途”的标准，并且将双方争议公之于众。

司法部否认这些理由只是借口。政府表示，其风险评估从来不是建立在某一个单一事实之上，而是综合考虑了AI模型的黑箱特征、模型更新权限、使用限制、企业人员对军事行动的质疑、公司的公开言论以及双方信任关系的破裂。司法部认为，这些因素应当作为一个整体进行判断。国防部长最终负责国家安全系统，法院应当对其专业判断给予适当尊重。

Lin法官在庭审中还关注到国防部立场中的一个明显矛盾：如果国防部真正认为Anthropic可能污染模型、干扰军事任务，并构成国家安全威胁，为什么部分政府机构仍在继续使用Claude，甚至可能扩大使用相关模型？

司法部确认，国防部正在逐步停止使用Anthropic产品，并计划在9月30日前完成退出。不过，部分政府机构仍通过试点项目或第三方云服务使用Claude。政府强调，一些机构并未直接与Anthropic签订合同，而是购买云服务商提供的模型选项。因此，这些使用情形与国防部直接采购Anthropic产品并不完全相同。

对于政府是否正在扩大使用Claude Mythos等模型，司法部拒绝在公开庭审中直接回答，称相关情况可能涉及机密信息、跨机构国家安全工具，以及行政记录形成之后出现的新情况。政府建议双方进一步协商补充材料的提交方式，并请求法院给予一周时间整理答复。

Lin法官指出，政府在被质疑的行为发生之后采取的行动，有时可以反过来说明其最初提出的理由是否真实。如果政府一方面宣称Anthropic构成无法接受的供应链风险，另一方面却继续甚至扩大使用其最敏感的网络安全模型，那么这种不一致可能与Anthropic提出的第一修正案报复主张直接相关。

Anthropic表示，愿意通过法官秘密审查材料等方式处理敏感信息，但希望补充程序不要延迟最终判决。公司称，相关政府命令已经造成持续数月的不确定性和商业损害，因此迫切需要法院尽快作出最终裁判。

庭审最后，Lin法官宣布将双方的简易判决动议提交审议，并将在之后发布书面命令。

从口头辩论来看，法官明显怀疑国防部是否借助供应链安全权限，惩罚Anthropic公开表达的政策立场。她对司法部在若干第一修正案假设中拒绝给出明确答案，也表现出明显不满。当然，这并不意味着法院一定会接受Anthropic提出的全部主张和救济请求。法官仍需解决若干关键问题，包括：Pickering框架是否适用于本案；哪些政府行为可以接受司法审查；总统、国防部长和国防部的行为是否应当分别判断；法院审查所依据的行政记录应当截止于何时；以及法院是否有权针对不同政府机构发布范围较广的禁令。

本案最终产生的影响，很可能超出Anthropic与国防部之间的一项合同争议，并成为一个具有代表性的判例。它将帮助回答，在美国政府日益依赖私营企业提供前沿AI模型的情况下，政府究竟可以在多大程度上以“信任”和国家安全为由，要求模型供应商接受政府的政策立场。它还将回答另一个更广泛的问题：当AI企业认为政府使用其技术的方式存在问题时，能否公开提出质疑，而不因此遭受政府采购限制、供应链制裁，甚至被认定为国家安全风险。

文章仅做学术探讨和研究交流使用，相关判断不代表任何公司或机构立场，也不构成任何法律、商业或投资建议。转载请注明出处。