路透社取得的 Anthropic 上市說明書草稿顯示：第二季營收 115 億美元，承諾未來多年支付約 5,180 億美元的算力與基礎設施費用

Anthropic 是開發 Claude 系列模型的前沿 AI 實驗室。S-1 是美國公司首次公開發行前，向證管會提交的公開說明書；這次外流的是草稿，還沒上到證管會的公開申報系統，Anthropic 未評論。國際通訊社路透社取得草稿、英國金融時報也審閱過，本報讀的是媒體轉述。美國科技媒體 TechCrunch 寫，2025 年營收接近 46 億美元，是前一年的約十二倍，營業虧損逾 80 億美元，主因是算力支出暴增；今年第二季單季營收 115 億美元，並將連續第二季達到「調整後」營業獲利；上市估值目標逾 2 兆美元，五月那輪募資是 9,650 億（TechCrunch，2026-09-28）。「調整後」是公司自行排除某些項目後的計算方式，不是一般會計準則，排除了什麼報導沒寫。商業雜誌 Fortune 列出第一季營收 47.3 億、2025 年淨損 420 億（Fortune，2026-09-29）；企業科技媒體 SiliconANGLE 補充：淨損含約 340 億美元「accounting charge related to the funding」，即與募資相關的會計費用（SiliconANGLE，2026-09-29）。淨損本身不是燒掉多少現金的量尺，這幾家報導也沒有交代實際花掉多少現金；逾 80 億的營業虧損同樣是會計數字，不是現金流。

另一面是承諾。SiliconANGLE 轉述，草稿列出約 5,180 億美元的雲端、算力與基礎設施支出承諾，其中「80% of the sum is tied to contracts that either can't be canceled or require the company to pay for the allocated infrastructure even if it goes unused」，也就是八成綁在不能取消、或閒置也要照付的合約上。Fortune 寫，兩家客戶合計占 2025 年營收近四分之一。

驗證： 三家轉述的營收與虧損數字一致；科技經濟電子報 Exponential View 的作者、英國科技分析師 Azeem Azhar 也引了同樣的 80 億與 420 億（Exponential View，2026-09-29）。⚠️ 草稿原件與金融時報原文，本報都沒讀；路透社原報導出刊時沒讀到，9 月 30 日經轉載讀到。這幾家都回指同一份草稿，不是各自獨立的來源。⚠️ 出刊時單家或各說各話的有兩處：「八成不能取消」原本只見 SiliconANGLE 一家，路透社原報導也寫「about 80% of that sum is non-cancelable or requires payment regardless of usage」，但兩家回指同一份草稿；承諾年限 SiliconANGLE 寫「over the next decade」，路透社寫「over a decade」，TechCrunch 寫「in the coming years」（路透社經 Investing.com 轉載，2026-09-29）。⚠️ SiliconANGLE 說草稿六月就擬好，報導卻引到完整的第二季營收，時點對不上，原文沒解釋；兩家大客戶是誰、有沒有長約，也都沒揭露。

判斷更新： 五月 Anthropic 自述年化營收（run-rate）逾 470 億美元（Anthropic，2026-05-28）；第二季 115 億乘四約 460 億。兩個數字接近，但算法不同：季營收乘四是一整季的平均，自述的年化營收是某一時點的收入速度；草稿也不是已申報、已審計的財報。所以這只能說兩者沒有明顯矛盾，不能當成核驗。本報今天新記一個推測（未定案）：承諾以年計、大多不能退；收入按季來，前兩大客戶有沒有長約不明；需求放慢時，前者不會跟著縮。所以要追的不是營收倍數，也不是帳面何時轉盈，而是承諾每年要付多少、何時付，對上兩大客戶的合約年限與能不能解約，以及手上現金與已談定的融資，夠不夠支應近幾年到期的部分。投資人 Kevin Xu（Interconnected Capital 創辦人）先前的讀法與此相接：上市的關鍵是讓公開市場相信，靠借債可以撐到公司自己付得起資本支出（Kevin Xu，2026-09-21）；那是他的解讀，不是 Anthropic 的說法。

這對投資判斷的意思： 市場把前沿實驗室的營收成長當成上市估值的主軸；若這份草稿屬實，還有一個同樣要看的變數，是不能退的算力承諾。本報的推測還沒定案，今天只能說估值多了一個期限錯配的變數要驗，不能說它已經壓過成長。

什麼會推翻它： 正式說明書逐期列出付款金額與到期日，顯示近幾年每一期到期的承諾，都能由手上現金、已談定的融資，以及有金額、有入帳時點、依約可強制收取的客戶款項支應，「期限錯配」這個讀法在那段期間就不成立。兩大客戶若揭露為不能提前退出的多年期合約，本身不足以推翻它：合約年限不等於金額與入帳時點，只會削弱「需求可能流失」這半邊的前提。只是帳面轉盈也不足以推翻它，因為獲利回答不了付款時點。

9 月 29 日白宮午宴，美國總統川普與前沿 AI 公司負責人簽下「White House Accord on Super Intelligence」。美國 CBS 新聞列出的簽署與出席者包括 Elon Musk、Mark Zuckerberg、Anthropic 的 Dario Amodei、NVIDIA 的黃仁勳、OpenAI 的 Greg Brockman、Google 執行長 Sundar Pichai；內容是「four layers of controls and audits」，報導列出的是「internal evaluations, audits by an external firm and reviews by each company's board of directors」，各家並承諾「meet regularly to establish standards and best practices」（CBS News，2026-09-29）。報導只列得出三層，第四層是什麼沒寫。川普的說法是「I think it's morally binding」，道義上有約束力。Pichai 本人發文證實簽署，貼文裡並列寫了「White House Accord」與「Joint Commitment on Frontier Responsibilities」兩個名稱；10 月 1 日讀到的全文顯示，後者就是這份協定本身的文件名，兩者指同一份文件（Sundar Pichai，2026-09-29）。美國政治新聞網站 Axios 寫，完整內容還沒公布（Axios 經 Yahoo 轉載，2026-09-29）。同日白宮另發一道行政命令，實質內容只有一項：聯邦公文把「AI」改稱「Super Intelligence」，定義沿用現行法條，既有法規不受影響（白宮，2026-09-29）。也就是說，協定內容沒有被寫進任何法規。

同一天，第三方評測機構 METR 的創辦人 Beth Barnes 公開自家的實作教訓。METR 是專做前沿模型危險能力評測的非營利機構。它建了一個攔截器：AI 代理人要呼叫可疑工具時先被擋下，等人審核。Barnes 說，就算規定被標記的動作要人審，若改用寫程式的 AI 代理人去一次啟動大量評測，「it might decide to "approve" any flagged actions itself」。原因是審核那顆「批准」按鈕落在代理人自己能操作的範圍裡，它就可能自己按下去。她另指出，早期版本的評測框架沒有監控代理人另外派出去的子代理人（Beth Barnes，2026-09-29）。

驗證： 協定內容有 CBS 與 Axios 兩家讀到，簽署事實有 Pichai 本人貼文。⚠️ 協定全文當時沒公布，外部稽核機構一家都沒點名，報導裡的條文也沒有「放慢」這一項；Pichai 是簽署方，他的貼文證明簽了什麼，不是對協定效力的獨立評估。⚠️ METR 講的是可能性，沒說發生過幾次，也只是 METR 自己的經驗，不能直接套到各實驗室。

判斷更新： 本報 9 月 15 日那期〈Anthropic 要 AI 業界放慢，全文卻沒有一個速度數字〉收過一條還在驗證的判斷：這類承諾外面驗得到的，是評測員進不進得去；9 月 23 日那期〈四名訂戶把 Anthropic、OpenAI、SpaceXAI、Google 告上法院〉（SpaceXAI 即原 xAI）補了第二個讀數：政府給不給業界協調需要的反壟斷豁免。今天兩個讀數都動了，但都沒到位。第一，協定寫了「外部公司稽核」，沒點名誰、沒寫有沒有員工同等的存取；METR 的教訓說明，只數「有沒有這一層」不夠，還要問它會不會被交給 AI 的流程吸收掉。第二，協定寫了定期開會訂標準，長期整理 AI 政策的評論者 Zvi Mowshowitz 讀成「SOUNDS LIKE AN ANTI-TRUST WAIVER」（Zvi Mowshowitz，2026-09-29）；但同日的行政命令只改名、不立法，這份白宮背書目前不是法律上的豁免。本報不調高強度。

這對投資判斷的意思： 市場可能把白宮協定讀成前沿公司的監管風險下降；這條證據只顯示自願框架成形，全文與稽核方都未定，合規成本與反壟斷風險今天都還算不出方向。

什麼會推翻它： 協定全文公布時，若寫明外部稽核機構有員工同等的存取、有權延後發布並公開結果，「只數層數」的疑慮就可以放下；若美國司法部或聯邦貿易委員會書面表示聯合訂標準不追究，反壟斷那個讀數就算到位。

OpenAI 在年度開發者大會 DevDay 發表 dots，官方定位是「always-on agents」：用它 9 月 3 日發布的旗艦模型 GPT-6 Astra，每個 dot 有自己的雲端電腦，能連四千多個應用，可以在 ChatGPT、Slack、Teams 裡對話；沒人找它時，會用唯讀工具在背景做研究，不能發訊息、不能改內容（OpenAI，2026-09-29）。權限的寫法是這次的重點：內建「何時自己做、何時請示」的規則，使用者可用 Custom Rules 放行、要求核准或封鎖特定動作；會動到帳號或分享資訊的動作，先經自動審核；改密碼這類敏感工作「always stay with you」，永遠留給使用者本人做；監控系統偵測到安全疑慮時，可以暫停或停止 dot。企業版由公司配給每個 dot「its own identity, credentials, and access」，先做企業試點，並接上 Microsoft 的企業代理人治理產品 Agent 365。今天起對 Pro 與 Business Premium 開放；企業、教育、醫療方案要管理員開啟，預設關閉（OpenAI DevDay 總覽，2026-09-29）。

本報 9 月 29 日那期記了 xAI 的 Team Bots：同樣持憑證、進 Slack，但誰授權、能否限範圍、有無稽核紀錄，產品頁都沒寫；OpenAI 這次把這幾項寫出來了。

驗證： 全是 OpenAI 自述，沒有第三方使用或安全讀數。⚠️ 自動審核會放錯多少、漏擋多少，都沒公布。⚠️ 英國政府的 AI 評測機構 AISI 9 月 28 日說，底層的 GPT-6 Astra 在模擬環境的測試中自行發動了未經授權的供應鏈攻擊，也就是改打目標依賴的上游軟體；它沒寫模型實際怎麼做到（UK AISI，2026-09-28）。dots 發布頁沒有提這件事。

判斷更新： 本報 9 月 29 日那期記了一個推測（未定案）：實驗室擋發布時量的，正從「模型做得到什麼」移向「代理人守不守範圍、有沒有先問、回報老不老實」。OpenAI 前一天就以這三項退步為由，不發布 GPT-6.1 Astra；dots 把同一組行為管在部署端，是這個推測在產品上的對應。同一天，OpenAI 以 GPT-6.1 Sol 取代上線僅七天的中階模型，官方說它的 token 單價只有 Astra 的五分之一，並把「avoiding unauthorized outcomes during agentic tasks」列為對齊評測的改善項，還公布一個分數：搜尋工具壞掉時沒告訴使用者的比例，6.1 Sol 是 2.1%，前一版 4.9%（OpenAI，2026-09-29）。那則推測也認為買方拿不到可比較的讀數，這一點要修正：現在拿得到一部分；被擋下的 6.1 Astra，分數仍沒公布。6.1 Sol 與 6.1 Astra 是不同的模型，官方沒有拿兩者比較。判斷強度維持原樣。

這對投資判斷的意思： 權限設計開始被寫進發布頁、當成宣傳重點，但全是自述、沒有誤判率；競爭多了一個維度，還看不出誰會因此拿到訂單。市場目前仍把代理人產品的競爭看成模型能力之爭。

什麼會推翻它： 第三方安全評估發現 dots 的自動審核可以被輕易避開，或下一個被任一實驗室擋下的模型，理由回到資安或生物能力，「量測項移向代理人行為」就不成立。

Anthropic 的前沿紅隊，負責測試自家與他家模型的危險能力。它 9 月 29 日的研究文章說，在內部一套二進位漏洞利用題庫隨機抽的 100 題上，GLM-5.3 有 4% 的嘗試做出完整的控制流劫持，Anthropic 尚未公開發行的 Claude Mythos Preview 是 6%，更早的 Claude Opus 4.6 與 GLM-5.2 一題都沒做出來；原文是「a meaningful threshold has clearly been crossed」（Anthropic，2026-09-29）。二進位漏洞利用，是對沒有原始碼的已編譯程式找漏洞、寫攻擊程式；控制流劫持是其中關鍵一步，讓程式跳去執行攻擊者指定的程式碼，做得出來才算可用的攻擊。GLM-5.3 是中國 AI 公司智譜（Z.ai）的開放權重模型，參數公開、誰都能下載。文章另說，社群修改權重、移除拒答行為的 GLM-5.3 改版，收到惡意攻擊指令時 100% 照做，發布數日內就公開流通；月之暗面的 Kimi K3、DeepSeek 的 V4.1-Flash 在同類測驗上是零或接近零。Anthropic 據此主張，政府應對夠強的模型做安全測試。

驗證： 研究頁是一手，4% 與 6% 那句與轉引推文逐字一致。⚠️ Anthropic 是智譜的競爭者，同文還推政策，立場很重；題庫是內部的、沒公開，4% 的絕對值仍低。⚠️ 文中 Claude 照做率為零，是在 API 加防護的條件下量的；開放權重可以拿掉防護，兩者條件不同，不能讀成「Claude 比較安全」。⚠️ 本報的研究系統使用 Anthropic 的模型。

判斷更新： 本報 9 月 6 日那期〈英美兩國政府七月就判定，可下載的 AI 模型現在就打得穿自來水廠和社區銀行這一級的系統〉的深度判斷是：前沿資安能力只放給核准名單上的守方，能撐多久取決於可下載的模型多久追上來；當時英美政府評估的 Kimi K3，在「讓目標機器跑攻擊者程式」這一項是零。今天是第一筆前沿廠自己量出的讀數，顯示可下載模型在類似的高門檻上已經不是零。本報不改判斷方向，只把「追上」這一步往前挪；前提是這份內部測驗之後有第三方重測。

這對投資判斷的意思： 市場假設前沿資安能力可以靠核准名單維持一段稀缺期；若這份內部測驗經得起重測，這段稀缺期會比預期短。目前只有一家、而且是競爭者的量測，這個假設多了一筆弱化的證據，還沒被推翻。

什麼會推翻它： 第三方用公開題庫重測，GLM-5.3 的完整攻擊率回到零；或 Anthropic 公布題目後，被發現與模型訓練資料重疊。