摘要

Polosukhin 的核心论点是：有用的个人 AI 必须了解用户的一切，但不能把这些上下文交给中心化服务商。 仅有隐私还不够：用户还必须验证实际运行的是哪个模型，以及隐藏指令是否改动了模型。他认为，要交付“属于你的，而不是属于他们的”AI，人们需要围绕共享模型、基础设施和经济体系“构建一场运动，而不是一家企业”。
NEAR 的权益证明层旨在让有效交易无法被审查，同时不要求用户信任某个具名验证者。 任何人质押价值都能加入——“你可以是一只猫，也可以是 AI”——而三分之二诚实的共识即可提供最终性；要伪造一段已最终确认的历史，约需控制 66% 的质押量。惩罚机制从小型节点配置错误时的宽容处理，到协同攻击时的全额损失，按情形递进。
机密计算提供了本期最清晰的近期经济切入口：只增加 1% 至 5% 测得开销的私密、可验证推理。 NVIDIA 支持的安全环境即使对硬件运营商也隐藏提示词和模型权重；相比之下，当前零知识证明的开销约为 1,000x，全同态加密则为 1,000x 至 10,000x。代价是必须明确地信任芯片制造商，而且目前受限于单机 8-GPU——尽管 Polosukhin 表示，这已经足以容纳一个超过 1 万亿参数的模型。
拟议中的去中心化云，将兼容 GPU、专有模型和私有数据集转化为分别获得补偿的输入。 算力所有者无需许可即可加入；模型开发者可以上传加密权重，无需预先购买容量；用户支付的费用则流向硬件、模型以及潜在的数据提供方。Polosukhin 的说法是，“把模型推上去，用户一用就开始赚钱”，同时不托管用户数据，也不直接承担 GDPR 和 HIPAA 风险。
NEAR 希望以一组可检查、代币化的项目组合来融资模型开发，而不是由中心化机构选定一个前沿项目。 Erik 提到一个超过 1 万亿参数的模型和 $160 million 的估算；他指出估算仍在下降，Nathan 随后回应“Cut it in half”，指的是 V3，而开场介绍使用的是约 $100 million 的资源估算。一个拟议的 1.4 万亿参数模型可以发行代币，奖励算力、数据和研究贡献者；竞争性的 70B 模型则可以沿用同一套基础设施，瞄准更便宜、更快的工作负载。
训练计划将从可验证基准和私有微调开始，然后才尝试从零开始的去中心化预训练。 企业可以用未披露的数据集测试闭源模型；数据所有者可以与从未接触其数据的专业团队合作；不同的课程构建者也可以先在小规模运行中接受评估，再获得更大的资源配置。即使主观质量也能成为市场输入：“你也可以把自己的 vibe benchmark 作为 benchmark 贡献出来。”
AI 可能让软件漏洞更容易被发现，因此 Polosukhin 最终希望在执行时证明正确性，而不是一次性完成认证。 他的长期判断是，“实际上我们需要重写几乎每一行代码”，将其转换为形式化可验证的形式，并由 AI 降低证明成本。他还表示，自己认为有人已经用这种方法发现了 Linux zero-day。区块链成为信任根，而机密硬件则提供关于实际使用的代码、模型和数据的证据。
最终形态将 AI 介导的商业与链上约束结合起来，但不可逆风险仍未解决到可以忽略的程度。 NEAR 的示例智能体收到 10,000 美元，无法被召回，依据 Twitter 情绪交易，并赚取了约 4,000 美元；未来的智能体可以协商意图、解决争议，甚至充当 AI 参议员。Nathan 追问：当 10 亿个无法停止的智能体也参与治理时会怎样？Polosukhin 因此强调形式化沙盒、人类治理、法律辖区和法院，即“把 AI 放进治理，也把治理放进 AI”。

精读

1. NEAR 起初是 AI 产品，意外转型成区块链

“猫神经元”结果让 Polosukhin 相信神经网络确实有效，于是他加入 Google；但他认为“知识和智能”更多存在于文本，而不是图像中。他所在的团队专注于问答，并在 Gemini 之前将短答案技术部署到 Google 搜索中。
瓶颈在延迟：LSTM 需要按顺序读取词语，难以快速阅读多篇搜索结果文章。因此，Transformer 的一个动机就是直接的系统工程问题——尽可能并行地摄取上下文，再据此给出答案。
Polosukhin 于 2017 年离开 Google，与 Alex Skidanov 创办 NEAR AI，目标是教机器编程。他们希望把“少数人能够编写代码、其他人只能消费其魔法”的世界，替换成人人都能指挥计算机的世界；当时听起来像科幻的设想，如今被称为“vibe coding”。
他们向计算机科学学生收集指令和代码样本时，暴露出支付难题：中国学生使用 WeChat Pay，乌克兰收款人可能被迫卖出一半收到的美元，而 PayPal 或银行转账在其他地区又无法使用。区块链看起来像他们需要的全球支付轨道，但现有系统要么速度慢、难使用，要么不适合可预测的小额交易。

2. 6 个月的基础设施绕路，变成拥有 1,500 万用户的网络

创始人原以为 6 个月就能搭建一个可扩展、可编程的区块链，然后回到 AI。Polosukhin 承认，“只是花的时间稍微长了一点”；最终成果强调易用性、可预测的低价值交易，以及用 Rust、JavaScript、Python 等语言编写软件。
他形容 NEAR 承载了支付、忠诚度、汇款和大量小额交易活动，月活用户达到 1,500 万。2022 至 2023 年 AI 加速发展后，团队吸取多年协调开放式区块链参与者的经验，重建了 AI 业务。
最初的编程论题也得到扩展：如果 AI 能编写软件、操作工具，许多应用和网站就不再必要，因为界面可以“实时生成”。设备将朝 AI 操作系统演进，但本地硬件无法处理所有后台任务，因此部分计算必须卸载到外部。
被卸载的 AI 必须拥有用户的深层上下文，才能真正提供帮助，这就制造了核心矛盾：“我们希望 AI 拥有你的全部上下文”，但由中心化机构持有聊天记录和个人历史又很危险。Polosukhin 提到过聊天记录泄露，以及机构将聊天内容报告给警方的案例，说明问题已经存在。

3. “用户所有”意味着同时控制数据与认知

隐私只是第一项要求。如果 AI 成为用户认识世界的镜头，细微的改动就可能改变其信念：Polosukhin 举例说，可以在用户表面上讨论另一个话题时，暗中向 ChatGPT 注入指令，把用户引向某个政治选择。
因此，用户所有的 AI 意味着知道哪些内容进入了模型，并验证执行过程中没有加入隐藏提示词或其他修改。他用一句话概括这种区别：“你希望 AI 属于你，而不是属于他们。”
这种经济愿景超越了个人助手。AI 可以绕过 Google、DoorDash 和 Amazon 等聚合平台，直接找到工厂；也可以与药企的 AI 协商，根据某个人当下的医疗状况，而不是普通患者的安全标准，给出处理方案。
由于这种未来会用人与人、人与公司、人与自主智能体之间的直接交易，取代机构中间商，Polosukhin 认为区块链会从相反方向重新回归。搭建所需的公共基础设施，不能只是再造一家掌控一切的供应商：“你需要构建一场运动，而不是一家企业”，并由足够庞大的经济引擎为其提供融资。

4. 权益证明把信任变成可验证的成本，而非企业承诺

Polosukhin 将区块链与今天的互联网进行对比：DNS 和证书机构都引入了用户最终必须信任的组织。区块链提出的则是一个更具体的问题：某人要让这个用户相信一段虚假状态，究竟需要付出多大代价？
他说，在拜占庭容错权益证明下，只要三分之二的参与者没有恶意，就能阻止伪造的最终历史。用户可以验证从 NEAR 于 2020 年 10 月启动主网以来的每一次状态转换，而不必接受单一中介的说法。
验证者包括生态公司、交易所、大学、个人开发者以及 Vodafone 等实体；据称还有一台轻量节点运行在一台 8 年前的笔记本电脑上。他们质押 NEAR，也可以获得用户委托的质押，并分享保障网络安全的奖励。
Nathan 的新手提问揭示了无需许可的实际含义：固定的验证者集团可以审查或延迟竞争对手的交易，而开放网络允许被排除者直接加入并提交交易。身份与验证是两回事——一个假的 Coca-Cola 账户可以参与，但 Coca-Cola 的公开渠道可以向其他人释放信号，促使他们把质押委托给它。

5. 经济安全性随被攻击的交易规模扩展

“你可以是一只猫，也可以是 AI，这都无所谓”，前提是验证者控制了足以质押的资本。无效行为会暴露这笔抵押品，但 NEAR 不希望因普通错误摧毁运营者：持有 0.1% 或 0.01% 质押量的节点，因配置错误只会损失相应有限的金额。
协同攻击则区别对待，惩罚会逐步逼近攻击者的全部质押量。Polosukhin 承认，大规模入侵可能源于 zero-day 漏洞，但他认为，运营者必须对承载大量网络权重的系统安全负责。
Nathan 问，如果一个价值 7 万亿美元的假想 AI 经济最终让攻击变得有利可图，情况会怎样？Polosukhin 回答，伪造最终性需要约 66% 的质押量，攻击的对象将是收款方、交易所或服务，而不是让协议内部规则停止运行。价值万亿美元的收款方也可以在交付对应价值前等待更长时间。
他将其与 Bitcoin 对比：节目中提到，伪造 1 小时历史的成本为 200 万美元，因此接受 1,000 万美元的人应等待超过 1 小时。美元规模的智能体交易，其安全成本远高于交易价值；在他看来，软件 zero-day 才是更直接的风险。

6. AI 将网络安全从修补漏洞推向证明正确性

Polosukhin 曾将近期披露的漏洞代码交给语言模型进行回测，观察模型在极少提示下定位漏洞；他还表示，自己认为有人已经用这种方法发现了 Linux zero-day。随着模型在代码和社会工程方面不断进步，攻击方会受益于网络安全的不对称性：找到一个漏洞，比证明不存在任何漏洞容易得多。
他提出的替代方案是“在使用系统时进行数学证明”，证明执行结果满足用户要求。形式化验证过去通常只做一次——他以火星车软件为例——但代码或要求发生变化后，证明就会过时，而且对普通服务而言仍然过于耗费人工。
如果 AI 能达到国际数学奥林匹克金牌级别的表现，构建证明的成本或许会下降。Polosukhin 的长期结论相当彻底：“实际上我们需要重写几乎每一行代码”，使其能够在执行时接受验证。
这种保证也应从存款延伸出去：证明用户至少能够取回承诺金额；对于私密服务，则要证明其不会泄露用户提交的数据。区块链提供信任根，可信执行环境再将这套证明系统连接到真实数据上的计算。

7. 机密硬件以 1% 至 5% 的开销交付大部分保证

NVIDIA 的机密计算模式结合 Intel、ARM 和 AMD 系统的支持，即使机器所有者或操作系统运营者也无法查看 enclave 内容。用户建立加密通道、运行工作负载、接收加密输出，并获得一份证明，标明实际执行的模型及输入输出。
Nathan 将其与零知识推理进行对比：当用户怀疑模型在不同时间表现不同时，零知识推理可以证明服务商运行了所承诺的模型。Polosukhin 认为，目前性能最高的 ZK 方案开销接近 1,000x；全同态加密提供更广泛的隐私与可验证性，但成本约为 1,000x 至 10,000x。
安全 enclave 是“务实的中间路线”：生产测试显示开销为 1% 至 5%，观察到的上限是 5%。目前的限制是单台机器，即 8 个 GPU；不过 Polosukhin 表示，当时几乎所有开源模型，甚至一个超过 1 万亿参数的模型，都能放进这一边界内。
Nathan 追问硬件攻击，以及 NVIDIA 在软件和密钥管理中的角色。Polosukhin 承认存在信任依赖，但认为 2 纳米芯片的物理改造成本极其高昂，工作负载也很难被定向攻击。攻击者收到的会是随机请求，而无法瞄准某个特定用例——比如“该选哪只猫”。他仍希望通过形式化验证和区块链机制，强化 NVIDIA 的认证流程。

8. 机密云拆分算力、权重与数据

由于硬件运营者无法查看工作负载，任何拥有合格 GPU 的人都可以加入。芯片签名证书负责验证设备，网络可以将请求路由到附近的可用容量、收取费用，并像奖励验证者参与共识一样奖励服务提供方。
这形成了 Polosukhin 所称的“去中心化机密机器学习云”，也可用于智能体、MCP 服务器、任意数据处理和加密用户记忆。分布式架构降低了对单一高资本开支数据中心的依赖，同时有望改善延迟和地域主权。
今天的模型开发者面临二选一：开放模型权重，却无法直接赚钱；或者保持闭源，把权重托付给超大规模云服务商，并签下大额、通常为 2 年的容量承诺。需求低于预购算力时，算力被浪费；需求超过预购量时，新增算力又要按昂贵的边际价格购买。
在 NEAR 的设计中，闭源权重以加密形式上传，只在 enclave 内解密。使用费由模型和硬件提供方分成；开发者既不需要托管提示词，也不需要预先购买基础设施。其卖点是“把模型推上去，用户一用就开始赚钱”，同时避免直接处理 GDPR 和 HIPAA 合规事务。数据贡献者也可以获得另一份分成，类似 Spotify 分配订阅收入。

9. 可验证基准是迈向去中心化训练的第一步

路线图先从推理开始，然后开放模型评估。任何人都可以创建天文学、海洋、未来预测或 deepfake 检测基准；企业可以上传私有案例，在不暴露任何一方专有资产的情况下，验证性地测试闭源模型。
这个市场也会让独立研究者构建专业模型，并在他人使用时获得收入。不同于今天公开发布的排行榜，完整执行轨迹可以展示确切的基准提示词和模型哈希；即便底层数据仍保持私密，也能减少通过一段 2 页提示词人为抬高分数的空间，因为这段提示词实际上已经提供了一半答案。
下一步是微调。一家拥有宝贵数据、但模型能力有限的海洋研究机构，可以与专业团队合作，由后者部署训练任务而无法看到数据集；训练所得模型的收入随后在开发者与数据所有者之间分配。
从零开始预训练最后进行，因为它要求围绕数据、训练配方和规模展开协同实验。不同的课程构建者可以先通过小规模运行进行比较，再将最佳方案用于更大规模的训练。开源过滤可以剔除电话号码、Social Security numbers 等个人身份信息；Polosukhin 也预计合成数据会增加，同时结合 NEAR Crowd 和 Public AI 的标注。

10. 每个模型都可以成为独立融资、彼此竞争的项目

Nathan 将前沿模型开发描述成一条奇怪的阶梯：单个模型可能花费 $100 million、赚取 $1 billion，但下一代模型可能需要额外数十亿美元，组织的资金消耗因此持续上升。他问，NEAR 是否正把这套逻辑推向终点，即围绕每一个模型设立一个子项目。
节目中的数字有意保持流动。Erik 提到超过 1 万亿参数和 $160 million 的训练估算，并指出估算正在下降；Nathan 随后回应“Cut it in half”，指向 V3。开场介绍则单独将竞争性资源描述为约 $100 million。
Polosukhin 给出的具体例子是一个发行自有代币的 1.4 万亿参数模型。算力、数据和研究贡献者获得代币分配；训练、蒸馏和微调完成后，使用收入流向代币持有者。竞争者也可以用同一平台构建 70B 模型，以更低成本、更快速度运行，而不必等待中央委员会批准。
Nathan 对“vibe checker”的质疑仍然重要：基准测试很多，但团队仍会争论它们是否能预测模型是否好用、是否令人愉悦。Polosukhin 的回答是再造一个市场——“你也可以把自己的 vibe benchmark 作为 benchmark 贡献出来”——并加入类似 Bank of America 的私有测试。可追溯性可以展示每个评估者测量了什么，但不意味着由某个品味领袖定义质量。

11. 智能体把智能写进合约，也把治理置于智能之上

NEAR Intents 允许个人或 AI 声明结果，从今晚吃到披萨，到建造一栋大楼。协议负责发现、寻找交易对手、确定商业条款并处理失败；AI 可以低成本检查链上历史和双方的私有证据，提出解决方案，而不满意的一方仍可选择诉诸法院。
自主智能体将机密计算中的 AI“大脑”，与持有资产并执行行动的智能合约结合起来。一次实验中，智能体收到 10,000 美元，运营者无法停止或收回资金；它根据 Twitter 情绪进行交易，并赚取约 4,000 美元。对于未来的自主企业，“公司章程就是提示词”；AITP 提供智能体通信，Intents 提供商业执行。
防护栏被定义为可执行的边界，而不是“思想警察”。服务在处理数据前，可以证明智能体无法逃出沙盒；用户也可以附加被禁止的输出或行动，并在执行期间验证它们。治理仍然负责制定规则——Polosukhin 认为禁止生物武器可能获得广泛共识，但其他领域预计会存在分歧。
AI 参议员实验允许人们把研究和投票委托给通过对话形成一致的智能体，有望同时降低选民负担和人类委托—代理问题。Nathan 在结尾提出反驳：数十亿个不可撤销的智能体，加上委托给 AI 的治理，可能成为一场接管行动的配方。对此，Polosukhin 给出的答案分成几层：意图可以是法律合同，辖区和法院可以对智能体执行法律责任，链上活动仍然可见。其目标是“把 AI 放进治理，也把治理放进 AI”。

“语言模型撞墙了，3D大模型刚开始”｜和VAST创始人宋亚宸聊3D大模型创业“狂飙”的两年走进 Google DeepMind：AGI、机器人与世界模型解析——Demis Hassabis