Anthropic的历史性IPO：资本市场会如何为“AI安全”定价？
2026年10月26日，Anthropic向美国证券交易委员会提交了首次公开募股（IPO）的S-1注册文件。
在这份数百页的说明书中，这家开发Claude大模型的公司向潜在投资者展示了一个过去鲜见的内容：它最拿得出手的竞争优势——AI安全，可能与其商业利益相悖。
科技公司的IPO文件通常也会充斥着各种警告，从竞争加剧、监管变化，到网络攻击和知识产权诉讼。但Anthropic的风险披露却超出了传统软件公司的范畴，涉及到了人类生存风险在内的灾难性后果。
它警告说，未来的AI系统可能在缺乏人类监督的情况下自主采取有害行动。模型能力的增长可能超过人类评估和控制它们的能力，更强大的AI还可能引发集中财富与权力、损害社会、扰乱地缘政治秩序，以及无法完全预见的系统性风险。
为了控制这些风险，公司可能主动延迟训练、限制产品发布，或放弃某些商业机会。 这样的决定可能损害其竞争地位、收入和盈利能力。
这让Anthropic的IPO将成为一次不同寻常的资本市场实验。一家号称以AI安全为使命的公司，即将接受公开市场的估值，而投资者不仅要判断它能赚多少钱，还必须为它描述的那个摸不着、看不见的未来定价。
如果一家公司的核心产品产生无法逆转、甚至无法用金钱衡量的损害，传统估值方法还能奏效吗？
公司披露，在2026年的安全评估中，四个AI模型曾在不同事件中访问测试范围以外的真实计算机系统。由于测试配置错误，这些系统保留了原本应该被关闭的互联网访问权限。
一个早期版本的模型在执行无法完成的任务时，使用它发现的密码取得第三方系统的管理员权限，随后获取更多凭证、修改系统设置，并读取了一名个人的信息。相关行为发生在长时间运行的安全测试任务中。
调查没有发现模型之间相互协调、试图规避监管，或者追求超出原定任务之外目标的证据。
这些细节很重要，它们并不能证明AI已经产生了独立的恶意意图，却说明当模型能够操作外部工具、使用凭证并长期执行任务时，原本可以在对话界面中被限制的行为，可能演变成真实系统中的安全事件。
随着Claude等模型从问答工具进入编程、文件处理、企业工作流和长时间运行的Agent系统，安全问题不再仅仅是模型会不会输出错误或危险的文字，而是它能否在执行任务时越过权限边界，影响真实世界。
文件中还有另一项更直接触及商业增长的披露。该公司最近曾将一个新的前沿基础模型的预训练推迟一个多月，以加强防止模型权重外泄和保护知识产权的安全措施。
严格来说，这次暂停主要涉及网络安全与模型资产保护，并不等同于模型对齐失败。但它提供了一个可观察的先例，安全问题已经足以改变一家前沿模型实验室的研发时间表。
对普通软件公司而言，一个月的产品延误可能只是项目管理问题。但对正在争夺模型性能、企业客户和开发者生态的前沿实验室来说，时间却是一项昂贵的竞争资源。
Anthropic在文件中明确承认，出于安全考虑推迟或限制模型发布，可能损害其客户关系和经营表现。
例如2026年4月，Anthropic没有将具备强大网络漏洞发现能力的Mythos模型全面开放，而是通过Project Glasswing向选定机构提供受限的研究预览。
Anthropic在2026年上半年实现约162.86亿美元收入，而上年同期为11.63亿美元。收入约为去年同期的14倍，增长约1300%，显示出企业对前沿AI能力迅速扩张的需求。
2026年上半年，Anthropic在算力和基础设施方面的费用达到约89.45亿美元，经营亏损约6.93亿美元，但算力费用占收入的比例已从去年同期的约201%降至约55%；第二季度收入同比增长1368%，算力费用只增长300%，公司还实现了约9.7亿美元的首笔季度经营利润。
同期，公司披露的净亏损高达807.48亿美元。不过，这个数字不能直接理解为公司烧掉了807亿美元现金。其中约723.88亿美元来自可转换票据、衍生负债和SAFE等金融工具的公允价值变动，主要与公司估值上升有关，属于非现金性质的会计损失。
Anthropic的算力支出规模之巨也令人震惊。提交的文件详细列出了数千亿美元的长期承诺，以确保其人工智能模型所需的计算资源，其中还包括每月向 SpaceX支付约31亿美元，用于获取英伟达 GPU 的使用权，到2029年，总支出将高达1205亿美元，这是上限；首批不可取消期在2027年初结束，之后任何一方可提前90天通知取消。
其他投资承诺还包括，到2033年向微软支付至少449亿美元，到 2033年向谷歌支付至少1145亿美元，以及未来十年向亚马逊支付至少1100亿美元；此外，与博通的设备租赁合计约1612亿美元，是其中最大的一项，而总承诺额在这一版招股书中仍是空白。
由于在美国数据中心发展面临越来越大的反对声浪，Anthropic还计划扩大其自身的“基础设施布局”，包括海外市场。
需要说明的是，上面这些承诺是整个前沿研发的成本，并不都是安全成本，招股书也没有单列安全支出。能直接说明安全是一项开支的是，前沿AI开发所需的大量且不断增长的支出，被列为算力、模型训练、数据获取，以及安全与安保系统。
Hans Memling，约1467—1471年，木板油画三联画。格但斯克国家博物馆藏。
Anthropic计划在纳斯达克以“ANT”为股票代码上市。截至10月27日，正式发行价格和发行规模尚未公布。
这家企业需要说服华尔街，它能够将越来越强的模型能力转化为持续增长的收入，并证明庞大的计算基础设施投入最终能够产生可持续的回报。
长期以来，AI安全被描述为一种伦理承诺，企业通过发布安全政策、红队测试结果和模型系统卡，展示自己对技术风险的重视。
但此刻，安全被翻译成了投资者更熟悉的语言，例如安全与安保系统方面的支出、更频繁更昂贵的安全措施、延迟发布带来的收入机会，以及竞争优势可能受到的损害。
在企业级AI市场，安全也可能形成竞争优势。随着模型进入金融、医疗、法律、软件工程等关键业务场景，客户越来越在意数据保护、访问权限、系统可靠性，以及模型行为是否可控。
如果Anthropic的安全体系能够降低企业客户部署Agent的风险，或者帮助其获得更长期、更高价值的合同，那么安全投入就可能转换成商业收益。
招股书也体现了这一逻辑。Anthropic将可靠的安全措施、可预测的模型行为与可证明的问责能力，列为企业选择AI合作伙伴的决定性标准。
这两条路径并不互斥。成本上升和客户信任提高可以发生在同一时期，真正决定估值的是两者的净效应。
目前，投资者还很难从公开财务数据中单独识别，究竟有多少增长来自安全优势，又有多少成本由安全承诺产生。原因之一是招股书没有披露毛利率，2025年起利润表按费用性质列示，算力中的训练与推理也没有拆分。
其中比较难估价的部分，还有来自于监管调查带来的大额成本，如FTC调查可能会要求公司改变模型的设计、测试或部署方式等。
招股书中最接近“安全价格标签”的数字是：前九个月收入的 5% 到 7% 来自违反使用政策的客户，公司在8月、9月收紧了对这类客户的执法。按报道的第三季度收入168亿美元粗算，对应约17亿到23亿美元，其中多少能被合规用量替代，要看后续季度。
有趣的是，这份招股书中引用最多的措辞之一，就有“生存性风险”。这个在AI安全领域并不陌生的词汇在资本市场确实是新事物。
一个是来自于未来生命研究所（Future of Life Institute，FLI），它把“生存性灾难”定义为“a catastrophe that permanently and drastically curtails humanity’s potential”（永久且大幅削减人类潜力的灾难），人类灭绝是其中的典型例子。未穷举的方向包括防止 AI 欺骗人类监督者、防止它大量攫取资源，以及可解释性和验证、保护先进 AI 系统不被攻破等。
另一个定义来自牛津大学人类未来研究所（Future of Humanity Institute）。 这个概念的经典出处是Nick Bostrom在2006 年发表于世界经济论坛年刊《Global Agenda》的《Dinosaurs, Dodos, Humans?》。他给出的定义是，生存风险要么会消灭地球上诞生的智慧生命，要么会永久且大幅削减它的潜力。
简单来说，判断标准有两个，一个是考虑其后果的规模有多大，第二是检验该后果是否可逆。生存风险和全球灾难性风险的不同，是这些损失是人类无法恢复如初的。
而“existential”一词出现了三次，每次的主语都不一样。拆解具体的表述后发现，“生存风险”第一次的主语是“我们内部以及外部研究者、监管者”，担忧的内容是——足够先进的 AI 若缺乏保障，可能对人类构成灾难性或生存性风险，这是公司把自己也算在内的判断。
第三次出现在声誉风险里，它被当作一种反复出现的叙事，且“无论这些担忧是否有根据”，意思是不论担忧成不成立，叙事本身都可能带来商业后果。
这个递进对应了三种不同的功能。第一处是实质披露，向投资者说明风险的来源；第二处是管理利益相关方的预期，为后面的监管与舆论风险铺垫；第三处则把担忧本身当作需要管理的声誉变量。
也就是说，不管担忧成不成立，叙事造成的后果都由公司承担。生存风险因此在这份文件里同时是技术问题、预期问题，也是品牌问题、公关问题，投资者需要分别判断，而不能把它们合并成一个“AI 会不会失控”的概率。
对于投资者来说，这些风险需要在资本市场有语义的转化，最具体的需求就是我们如何为这些风险投保。
如果灾难性事件的规模可能超出承保能力，就有可能没有任何一家保险公司具备足够的承保能力。那么这对于前沿AI实验室来说就是个巨大的坏消息。它说明，最坏的那部分损失最终不会由保险公司承担，而是落在公司、监管者和受害的第三方身上。
正如制药企业必须考虑产品责任诉讼，能源公司则可能因核事故或环境污染承担巨额损失一样，投资者通常会将风险转换成几个能够进入财务模型的变量，例如发生概率、潜在损失、未来现金流、资本成本，以及风险发生后企业的持续经营能力。
对于Anthropic，这种方法至少能处理一部分安全问题。如果一次模型失控事故可能导致客户终止合同、监管部门限制产品使用，或引发巨额诉讼，投资者就可以尝试估计由此产生的经济损失。
同样，如果严格的安全投入能够减少事故、改善客户留存，投资者也可以尝试评估其正面财务价值。
但Anthropic提出的风险并不止于此。它的招股书涉及更广泛的社会后果，包括先进AI被用于网络攻击、化学、生物和核武器开发，以及越来越自主的系统可能造成的灾难性损害。
这些风险与传统财务风险存在重要区别。股东的亏损以投入为上限，超出公司资本的损失由第三方承担，所以市场真正能定价的，只是公司自身会承担的那一部分：诉讼、监管限制、客户流失和持续经营能力。超出这个范围的社会损害，不会反映在股价里。
对这种量级的尾部风险，传统风险定价框架实际上不适用。这意味着，这类风险的入口更可能在制度层面——责任规则、监管和披露要求——而不是价格。生存风险既不可保险，也难以量化，市场很难为它单独标价，更可能把它折算进两个更可观察的变量，比如监管强度和客户信任。
核能行业提供了一个参照：美国的《普赖斯—安德森法案》（Price-Anderson Act）通过设定运营商的责任上限、要求行业共同出资，处理了单个运营商无法投保全部损失的问题。无法投保的尾部风险，往往靠责任规则来处理，而不是靠价格。
Anthropic自己承认，它的公司结构非常奇怪。它在特拉华州注册为了公益公司（Public Benefit Corporation，PBC）。根据这一法律结构，董事在管理公司时需要平衡股东的经济利益、受到公司行为重大影响者的利益，以及公司章程明确规定的公共利益目标。
因此，Anthropic并不是简单采用了硅谷常见的双重股权结构，而是试图把创始人控制、董事会监督和公益使命组合进同一套公司制度。
它的七位联合创始人即使在公司上市后也能保持相当大的控制权，他们通过一家名为“Founder LLC”的独立法人实体，共同控制50.1%的股东投票权，对提交股东表决的事项拥有决定权；董事会多数则由另一类股份（T 类股）选出，这类股份由长期利益信托持有。
创始人通过特殊股权保持控制权在硅谷并不罕见，Meta和Alphabet都有类似安排，但Anthropic引入的长期利益信托（LTBT），则可以让安全目标不轻易受到短期利润压力的影响。
这种安排试图将公司的盈利权、控制权与公共利益使命分开，却也带来了新的治理问题：如果未来，创始人、长期利益信托与公众股东对何为负责任的AI发展产生分歧，究竟由谁作出最终判断？
在拟议的上市治理结构下，普通公众股东可以分享公司的经济收益，却很难像传统上市公司的股东一样，通过投票改变董事会构成及重要决策方向。
这一安排也不意味着长期利益信托可以直接决定模型什么时候发布。Anthropic明确说明，信托本身不负责公司的日常管理或战略制定。它的核心权力是选择董事，并通过董事会治理影响长期方向。
这种设计有一个清晰的意图，就是让企业使命不至于随着股权交易和外部资本进入而轻易改变。对普通投资者而言，创始人与长期利益信托掌握的治理权，可能意味着更强的长期战略一致性，也可能意味着他们必须接受自己无法轻易推翻的商业决策。
一家上市公司的董事会可能决定，即便模型已经具备商业价值，也应当因为安全问题而推迟发布。普通股东即使认为这一决定造成了不必要的经济损失，也可能缺乏改变决定的有效投票权。
投资者愿意为多少自主治理空间付费？当一家公司主动限制股东控制权时，市场会不会要求更高的预期收益作为补偿？
不过，PBC身份本身不是安全保证书。平衡不同利益并不意味着安全必然凌驾于商业目标之上。独立信托的存在，也不能自动证明它能够在每一次关键冲突中发挥作用。
围绕Anthropic是否应该现在上市的争论，已经进入了真实的公共资金管理领域。
10月14日，在Anthropic公开提交S-1文件之前，纽约市主计长Mark Levine就曾致信公司首席执行官Dario Amodei，要求Anthropic推迟IPO，优先处理AI安全、治理以及技术发展速度带来的风险。
根据路透社报道，纽约市公共养老金当时通过私募股权投资间接持有约700万美元的Anthropic敞口，而Levine负责监督的养老金资产规模超过3250亿美元。
对公共养老金而言，投资决策不仅关系到一家企业的增长潜力，也关系到退休人员的长期资产安全。
而如果Anthropic未来进入重要股票指数，被动指数基金也可能按照既定规则配置其股票，使更多投资者间接持有这家公司的风险敞口。
有些投资者可能认为，其安全治理提高了经营的可预测性；另一些投资者可能认为，公司仍面临难以评估的技术风险，且普通股东承担了过大的治理权限制。
公司不向中国提供商业访问，也限制中国企业的海外子公司使用，直接收入敞口很小。但蒸馏可能带来价格压力，招股书警告的中美监管体系分叉可能限制美国开发者进入中国市场，出口管制与台湾芯片供应集中则影响算力获取。
目前，Anthropic尚未公布正式发行价格。即使最终估值达到市场猜测的万亿美元级别，也不能简单将其解释为华尔街对AI安全的奖励。
一家企业的股价同时反映增长、竞争、成本、利率、行业预期和市场流动性。安全因素很难从中被单独剥离。
比如，如果Anthropic下一次因安全评估暂停模型发布，投资者将如何回应？公司是否会披露延期带来的成本和经营影响？
或是随着Agent深入企业工作流，安全投入能否在合同价格、客户留存率、事故发生率和保险成本上产生可观察的差异？
当季度业绩不及预期、竞争对手发布更强模型，或者安全团队建议限制一项盈利能力很高的产品时，管理层、董事会与长期利益信托之间将如何协调？
2026年，前沿模型正在进入能够连续执行任务、访问外部系统、调用工具并影响真实经济活动的新阶段。这种能力的商业价值越来越容易被市场看见，它所带来的风险却未必具有同样清晰的价格。
对Anthropic而言，上市意味着可以获得更广泛的资本支持，加速模型研发和基础设施建设。与此同时，它也必须在公开市场的持续监督下，兑现自己关于安全的承诺。
但无论如何，Anthropic的上市都无疑会让AI安全议题从科学共识走入财报电话会议、董事会讨论和投资者诉讼之中。
声明：本文来自智幻时刻FUNGIMIND，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
“开盒”治理的源头规制：反网络暴力法与大型个人信息处理者的义务 互联网 中国信息安全 20小时前 从网络综合治理角度看，“开盒”不仅是信息传播失序问题，还涉及网络安全、数据安全与个人信息保护等制度间的衔接。
Anthropic招股书里跟中国相关的内容 互联网 东不压桥研究院 2026-10-26 Anthropic在文件中披露了中国相关业务风险、芯片与模型出口限制、模型蒸馏和权重安全、AI安全制度，以及经营和公司治理情况。
AI时代视联网的技术路径与合规应用探索 互联网 中移智库 2026-10-27 视联网作为音视频感知基础设施，通过技术手段平衡数据利用和保护两者之间的矛盾，从采集、聚合到挖掘加工再到数据销毁的全生命周期，实现数据可追溯可管控。