Anthropic开发了Claude模型。它与美国政府合作时，坚持限制模型用于致命自主战争和针对美国人的大规模监控。合同谈判破裂后，政府要求停用产品、抵制公司，并限制相关政府采购对其产品的购买和使用。Anthropic为此提起诉讼。

导读：精选三个看点，可左右滑动

2026年8月27日，加州北区联邦地区法院认定，政府的一组停用、商业抵制和供应链认定措施违反宪法或行政法。法院撤销有关措施，并禁止相关被告继续实施。9月25日，哥伦比亚特区巡回上诉法院（下称“特区巡回法院”）却以二比一维持了军方依据另一项法律采取的采购排除措施。[1]

这两个案件分别审理不同措施，特区巡回法院没有推翻加州判决。两案共同提出的问题是：AI公司对产品用途的限制，在什么条件下会成为政府可以依法处理的供应链风险？

特区巡回法院多数意见接受了政府对训练和未来版本的担忧。即使公司无法接入军方已部署的模型，它仍能通过训练影响后续产品是否执行某些任务。加州法院则重视军方对现有模型的控制，以及测试、选择新版本的能力，要求政府解释为何必须立即采取范围广泛的措施。[2]

本文以两院的实体意见及加州救济文书为依据。

1. 双方合作到了哪一步，争议发生在哪里

双方的合作始于诉讼之前。特区巡回法院判决记载，政府及情报机构从2024年起，通过承包商在机密系统中使用商业Claude。模型曾拒绝处理一些政府认为属于适当国家安全用途的任务，例如威胁评估、机密材料及描述暴力的截获内容。Anthropic随后开发政府专用的Claude Gov，并调整用途政策，允许部分武器系统设计、外国情报分析和进攻性网络行动。[3]

商谈直接合同和扩大部署时，双方仍无法就两项限制达成一致：致命自主战争，以及针对美国人的大规模监控。Anthropic坚持保留限制，军事部门要求允许一切合法用途。到2026年初，军方采购战略的变化，以及双方对敏感行动用途的争议，使谈判趋于紧张。期限届满时，双方未能达成协议。

公司限制用途，可以有不同的方式。合同可以规定客户不得将产品用于某项任务；模型也可能因训练而拒绝回答某类请求。这两种限制的效果不同：客户违反合同，并不意味着模型一定会拒绝执行。商业产品中的监测或干预工具，是否也存在于军方版本，需要另行查明。

本案还有一个关键事实：所讨论的机密部署中，模型交付后由军方自行运行，公司无法接入、修改或关闭。军方也可以测试新版本，决定是否接收。但这些控制权并不能改变供应商已经完成的训练，也无法保证未来版本一定具备军方需要的能力。[2]

表格可左右滑动。

两院接受了无部署后接入权限这一事实，赋予它的分量却不同。加州法院认为，这削弱了政府立即行动的理由。特区巡回法院多数继续追问：军方需要不断升级模型时，供应商的训练选择会不会妨碍任务执行？

本文由此提出一个跨案观察：供应链控制的讨论，已经从已部署模型的运行，延伸到训练、更新和对未来能力的依赖。 这是本文理解两案的分析框架。法院并未确立一套以这几个阶段为要件的法律测试，具体措施是否合法，仍取决于适用法条和案件证据。[2][15]

2. 为什么有两个案件，各自审查什么

加州案审查的是跨机构停用、广泛商业抵制等措施。 2月27日，总统要求联邦机构停用Anthropic。军事部门的部长（下文简称“部长”）又要求与军方交易的承包商、供应商和合作伙伴，停止与公司开展任何商业活动。这项要求会影响政府采购以外的交易。公司还挑战了军方的供应链风险认定，其依据是《美国法典》第10编第3252条，下文简称§3252。该条允许军方在国防采购中处理特定供应链风险。[4]

特区巡回法院案审查的是另一项军方采购措施。 军方依据《美国法典》第41编第4713条，下文简称§4713，在有关政府采购范围内排除Anthropic产品的采购和使用。法律为这类措施设定了专门的司法审查路径，公司因此直接向特区巡回法院申请审查。军方之后作出的行政复核决定，也进入了这个案件。[4]

加州案3月取得初步禁令，法院在案件审理期间先阻止有关措施实施；8月才作出最终裁判。特区巡回法院4月拒绝了公司要求暂时停止采购措施的申请，9月才判断措施是否合法。下表分别列出两个案件的进程，时间均为2026年。[1][5]

表格可左右滑动。

这里涉及的第九巡回上诉法院，处理的是政府对加州初步禁令的上诉。加州8月意见记载，双方后来请求暂停该上诉。它与特区巡回法院审理的采购排除案分属两条诉讼路径。[5]

加州8月27日共有三份裁判文书：实体意见解释法院的判断，最终救济命令规定哪些措施应撤销、哪些被告受禁令约束，最终判决书记载结果并要求结案。具体胜负要结合三份文书阅读。[1]

理解后文，需要始终留意授权文本、措施范围，以及法院对证据的评价。法条不同能够解释一部分结果，言论报复、程序和技术风险方面的分歧，还要结合另外两项因素来看。

两条独立诉讼路径及影响结果的三组因素

1. 言论报复：政府为什么采取这些行动

美国宪法第一修正案保护言论自由。Anthropic关于军事AI和用途限制的表达，涉及公众关心的政策问题。加州法院认为，即使表达发生在合同谈判中，也可能受到这项保护。政府可以拒绝公司的合同条件；如果因为公司的公开立场而惩罚它，仍可能构成违宪的言论报复。[6]

法院认定，公司已证明政府采取了不利行动，也证明受保护表达是这些行动的重要推动因素。举证责任随之转移：政府需要证明，即使公司没有作出这些表达，它也会采取相同行动。仅说明政府有权停止采购，不能回答本案措施究竟为何被采取。

措施的范围在这里很关键。部长要求军方交易伙伴停止与公司的其他商业往来，总统指令又涉及多个联邦机构。法院将这些措施的范围和采取时间，与官员要求惩罚公司的言论、对公司观点的批评结合考察，认为政府行动超出了通常的采购取舍。

3月4日，负责研发并参与合同谈判的军方官员迈克尔给Anthropic发邮件，表示双方已“非常接近”签订新合同。此时，政府已经公开要求停用和抵制公司。加州法院认为，军方仍在争取合作，削弱了政府所称必须立即隔绝公司的安全理由。这封邮件进一步支持了法院关于报复动机的判断；邮件如何进入法院审查，见注释7。[7]

政府与承包商合作时，通常可以把履约效率与承包商的表达权利放在一起衡量。加州法院认为，本案措施影响其他机构和采购关系以外的商业交易，已超出这种合同管理的范围，属于政府动用公权力施加惩罚。法院还说明，即使按政府承包关系中的表达保护标准衡量，公司表达的公共政策价值、措施范围和风险证据，也不足以支持政府的行动。[6]

2. 正当程序：先听取公司解释有什么用

政府将Anthropic列为国家安全风险，同时限制它公平竞争联邦项目的资格。加州法院认为，公司受到的影响已超出声誉受损，第五修正案因此要求政府提供相应的程序保障。受到保护的是依法参与竞争的机会，公司并没有因此获得某份合同的权利。[8]

接下来，法院要判断政府应当提供什么程序。马修斯案确立的衡量方法要求法院评估，公司可能遭受多大损失、现有程序有多大误判风险，以及额外程序能减少多少错误。政府的国家安全需要和增加程序所带来的负担，也须纳入衡量。[8]

公司在决定前回应，可以澄清一个直接影响风险判断的事实：它能否干预军方已经部署的模型。加州法院接受的证据显示，这些模型交付后由军方自行运行，公司无法接入、修改或关闭。更换新版本还要先经军方测试和批准。法院据此认为，政府没有充分说明，为何必须马上排除公司、来不及先听取解释。对未来版本的担忧，可以在军方决定是否接收新模型时处理。[8]

公司还可以说明训练、监测工具和合同限制各自怎样影响模型。政府已在诉讼中公开提交行政记录，也就是机关作出决定时收集、考虑的材料。法院没有发现足够的保密理由，能够解释为何不能提前告知依据、允许公司回应。在这些条件下，决定后再申请复核或提起诉讼，不足以弥补此前的程序缺失。这里要求的回应机会可以包括书面反驳，并不限定必须举行正式口头听证。[8]

公司的经营增长也没有使这一损失消失。法院指出，Anthropic是在初步禁令恢复其地位后继续发展的，后来的市场表现不足以证明先前的国家安全标签和竞争资格受限没有造成损害。

3. 采购权限：风险认定还缺少哪些依据

加州法院还依据《行政程序法》，检查军方的认定是否符合法律授权、是否有合理的事实依据，以及是否遵守决策程序。

§3252针对的是“对手或敌对方”以破坏、渗透或其他颠覆方式影响供应链的风险。加州法院结合这些词语的语境认为，公司公开提出合同条件，并不足以构成这类行为。AI模型普遍存在不透明性，也不足以解释为何单独把Anthropic认定为具有颠覆风险的供应商。[9]

军方因此需要证明，公司行为怎样符合这项法律定义。公开的合同分歧、拒绝接受某项用途，以及一般技术不确定性，与法条防范的风险之间，都需要证据建立联系。国家安全目标不能代替这一步证明。

法院还发现，即使撇开定义争议，政府的决策程序也有独立缺陷。法律要求考虑有没有限制更少、仍能降低风险的办法，并向国会说明这些办法为何不可用。政府的分析只是笼统复述法律标准，发给六个国会委员会的相同通知也没有提供必要说明。[10]

风险评估由谁提出，同样受规则约束。当时适用的采购规则要求负责情报事务的官员提供评估，记录中的评估却来自负责研发、同时参与谈判的迈克尔。政府称机构重组改变了职责，但没有充分证明规则已变更，或原指定官员无法履职。法院据此认定，政府没有遵守自己的采购程序。[10]

这些缺陷可能影响决定。由指定官员评估风险、充分讨论替代办法、听取公司回应，都可能改变是否排除公司，以及排除范围。国会后来没有索取更多材料，不能证明先前缺失的程序没有作用。

法院还检查了技术依据何时形成，以及政府如何讨论普通采购选择、模型测试等替代办法。因此，撤销认定的理由包括调查和程序不足。风险理由前后变化的问题，第四节另作分析。[7][10]

1. 法条中的“操控”是否要求恶意

按两院的理解，加州适用的法律着重防范敌对方通过供应链破坏系统。特区巡回法院多数对§4713的理解则更宽：即使供应商出于安全考虑，其产品控制导致军方需要的功能无法使用，也可能进入供应链风险审查。[9][11]

§4713以“任何人”为行为主体。它列举破坏、恶意引入不需要的功能、提取数据，以及“以其他方式操控”产品的设计、运行、维护等环节。这些行为须带来法条所说的功能或信息影响，包括监视、拒绝、扰乱或操控。争议就在于，最后的“操控”是否也必须具有恶意、隐蔽或颠覆性质。[11]

Anthropic认为，前面列举的是破坏和恶意干预，后面的补充表述应当处理同类行为。公开、出于安全考虑的产品设计和合同限制，不应被算进去。多数意见却认为，“操控”也可以表示安排、运行或控制，本身不要求坏动机。训练能够影响模型行为，使其拒绝任务，因而可以符合这个词在本案中的含义。

为什么前面的恶意行为没有限制后面的解释？多数认为，法律列出的行为并不都带有恶意。“破坏”本身有这种意味；“引入”是因为前面加了“恶意”才有这种意味；提取数据和操控则未必如此。各项行为所指向的对象也不同，不能把整个列表当作一种完全相同的行为。法院还认为，“恶意”修饰邻近的引入行为，不能自动延伸到后面所有行为。[12]

这项法律用于国家安全采购，并不为本案行为设定刑事或民事责任。多数因而没有额外要求政府证明公司具有类似犯罪故意的恶意。它还区分了费舍尔案：那个刑事案件中，前列行为都涉及损害证据，因而限制了后面的补充条款。本案列举没有同样一致的特征。多数还认为，对这类国家安全采购授权的歧义，应作有利于政府的解释，以免不必要地限制行政机关的国家安全判断。[12]

多数并不怀疑公司的隐私和AI安全目标。它关注的是这些产品选择可能怎样影响军方任务执行。善意动机，在这一解释下不足以排除供应链风险。

两条法律的差别可以从文字中看到：

表格可左右滑动。

Anthropic还主张，加州已经判断过供应链风险问题，特区巡回法院应受该判断约束。多数拒绝了这一主张。两院适用的定义不同，法律又将§4713的审查专门交给特区巡回法院。它没有质疑加州对较窄定义的理解，但认为那不能决定本案另一项法律授权的含义。[13]

2. 没有远程开关，风险为什么仍被接受

法条可以涵盖某类行为，不等于政府已经证明本案措施合理。法院仍需检查决定的证据和解释。特区巡回法院独立判断法律含义；对技术风险、军事需求和降低风险办法，则在证据支持、解释合理的条件下，给政府较大的判断空间。[14]

Anthropic提出，已部署模型没有供公司干预的后门，公司无法远程关闭或修改；军方可以测试新版本，也可以拒绝升级、继续使用已经交付的旧版。多数接受了这些部署事实，却认为它们主要回答了交付后的干预问题，不能排除交付前训练和未来更新的影响。

过去商业模型拒绝政府任务的事例，是多数的重要依据。公司称部分拒绝已通过协作解决，但法院认为，这些经历仍说明训练会影响任务执行，从而支持对未来任务的担忧。这项推理尚未证明，两项最终合同限制均已通过技术手段执行；也不能把早期商业版本与现有军方版本直接等同。[15]

测试为什么没有说服多数？一个原因是用途边界本身仍可能存在争议。例如，目标选择中有多少人类参与，才不属于致命自主战争？另一个原因是模型回答可能受提示措辞影响。一次测试通过，未必能保证不同操作人员在相似情境中得到同样结果。

继续使用旧版，则可能牺牲更新后的能力。多数认为，军事系统难以长期停留在旧版本，因而仍会受到供应商未来训练选择的影响。法院据此接受了本案的风险判断。这一结论没有认定公司实际中断过某场战斗，也没有否定所有测试或模型拒绝机制的价值。[15]

§4713还要求政府说明，为什么没有合理可用、限制更少的办法。Anthropic提出可以普通解约，或只限制特定用途。对于解约，多数认为公司没有解释：若政府以同样的国家安全理由公开终止合同，声誉影响为什么会更小。[16]

对于局部限制，公司只在书状中简略提出，没有展开充分论证，法院认为这不足以有效提出该项争议。法院同时分析了方案本身：模型会嵌入其他系统，逐一核查军方承包商的具体用途，可能造成延误、费用和不确定性。因此，无论从诉讼论证还是方案可行性看，公司都未能说服多数。[16]

对采购争议而言，这意味着替代办法需要具体说明。哪些用途能够分开管理，如何核查承包商使用，成本和时间是多少，都关系到法院能否认定办法合理可用。

公司无法接入已部署模型，是一项技术反证。如果政府担心的是实时干预，这项事实会削弱它的理由；如果原决定关注的是训练和未来版本，证明作用就不同。审查理由变化，要先弄清政府原来究竟依据什么作出决定。[7][18]

1. 加州案：理由变化为何引出借口问题

加州法院发现，公开认定发布后，技术依据才在很短时间内形成。政府对已部署模型的干预担忧，后来转向未来版本。公司说明模型由军方自行运行、新版先经测试、接收由军方决定后，政府仍需解释这些安排为什么不足以降低风险。法院认为，已有调查和替代办法分析，没有充分支持所采取的行动。[10]

继续谈判又增加了一层疑问。如果风险严重到必须立即隔绝公司，军方为什么仍争取签订新合同？法院结合官员的惩罚性言论和决策材料缺陷，认为政府的安全解释存在借口问题，行政决定也缺少合理依据。理由变化是这项判断中的证据之一，法院没有认定政府解释一旦变化就必然违法。[7][10]

2. 特区巡回法院案：6月说明为什么被接受

在另一个案件中，公司向军方提交反对意见后，部长于6月3日维持了原有采购排除范围。他说明，原决定和复核都不依赖公司能够实时控制已部署模型这一前提；依据包括交付前的风险、部长所称对公司失去信任，以及原有材料。[18]

特区巡回法院多数将原决定的关注理解为：供应商能够通过训练塑造模型行为。它因此接受6月说明为原有理由的“进一步阐明”。在这种理解下，无远程接入权限并未推翻决定的技术前提。这也是法院随后判断迟延通知未影响结果的重要基础。[18][19]

3. 进一步说明与事后换理由怎样区分

两院的处理揭示了同一个行政法问题：后来的解释，是把原有理由说清楚，还是在原理由受到质疑后另找依据？回答需要核对原决定和当时已有的证据，再看公司的反证究竟推翻了哪项前提，以及新说明能否解释原措施的范围。单凭理由出现的先后顺序，无法完成判断。

这里还须保留案件边界。加州法院评价的是自己的§3252及广泛措施记录。现有材料不足以证明它已审查并否定6月3日的§4713复核。因此，可以比较两院如何处理理由变化，但不能说两院对同一份6月决定作出了相反裁判。

1. 法定程序：迟延通知是否影响了决定

§4713通常要求有关官员共同提出建议，事前通知公司并允许回应，再以书面说明措施为何必要、较少限制的办法为何不可用。紧急国家安全利益可以允许延迟通知，但之后仍须补足相应程序。[17]

军方3月采取立即生效的措施，3月19日提供支持材料、说明采购范围，并重新给公司30天提出反对意见。公司4月17日提交意见、申请撤回认定；部长6月3日维持了决定。

多数没有在这一部分最终判定紧急判断是否合法。它暂且假定：该判断可以由法院审查，而且政府判断错了。即便如此，公司仍需说明，缺少事前回应是否可能影响决定。程序有错但未影响实质结果时，法院可以不因此撤销措施，这通常称为“无害错误”。[19]

多数认为，公司后来已经提交详细材料，仍未说服部长撤回认定。合同和谈判背景，军方原本就知道；无部署后接入权限虽然是有利于公司的新信息，却没有否定多数所理解的原风险理由。法院据此判断，更早提交这些材料也不会改变决定，公司未证明迟延通知造成足以撤销措施的影响。[19]

Anthropic提出，决定作出后，心理和官僚惯性会使机关不愿改弦更张。多数认为，发回重走程序，也无法让部长忘记已有判断；应当检查实际提交的反对意见是否能够改变结果。它同时承认，公司在事后程序完成前及时申请临时救济，仍有意义。这项法定程序结论，并不等于法院在此确认军方最初确有紧急情势。

2. 第五修正案：事后回应为什么被认为足够

宪法正当程序是另一个问题：即使法律规定的通知争议没有导致撤销，第五修正案是否仍要求公司在措施实施前获得回应机会？特区巡回法院暂按公司享有受保护的自由或财产利益来分析，没有最终认定这一前提。加州法院则已认定公司享有相应自由利益，两院在这一点上的判断程度不同。[8][20]

多数认为，AI能力发展、采购战略变化、合同谈判破裂和敏感任务分歧，足以解释军方为何需要快速行动。在这些具体条件下，事后说明依据并允许公司回应，满足了宪法要求。

公司以长期合作和最长180日退出安排，质疑行动是否紧迫。法院认为，早期使用范围较有限，后来情势已经变化；180日是最迟完成退出的期限，措施仍要求尽快移除。因此，多数没有据此否定快速行动的需要。[20]

3. 第一修正案：为什么没有证明言论报复

特区巡回法院多数承认，公司的安全倡议受到第一修正案保护，采购排除也是不利行动。公司败诉的关键在于，没有证明两者之间存在报复因果关系。[21]

多数重视合作的时间顺序：公司长期倡导安全限制，政府此前仍采购并扩大合作；直到公司最终拒绝接受政府认为必要的合法用途条款，关系才破裂。法院据此将采购决定归因于合同条件冲突。官员的尖锐公开批评，在多数看来不足以推翻这个解释。

这与加州法院存在真实的评价分歧。加州重视广泛限制、惩罚性言论及公开抵制后的继续谈判；特区巡回法院重视先前合作和采购要求形成的过程。不过，后者没有逐项分析加州关注的3月4日邮件，不能说它已专门否定该证据。两院的动机判断应当放回各自措施和证据中理解。

1. 异议担忧：普通产品选择会不会被纳入特殊权限

亨德森法官不同意多数对“操控”的解释。她认为，词典中存在中性含义，仍须看这个词放在什么法律语境中。法条前面列举了破坏、恶意引入不需要的功能和提取数据，后面的补充表述应保留颠覆、欺骗或隐蔽干预的共同性质。列表中各项语法和对象不同，并不当然消除这种联系。[22]

她担忧，多数的解释会把普通产品设计和合同选择也纳入特殊采购排除权限。供应商公开说明限制，政府过去也接受过这些安排，后来却可能因为供应商不愿扩大授权而被排除。异议以未来供应商被要求开放政府认为必要的一切功能为例，展示这种权限扩张的风险。这是一个假设，不能据此认定本案政府已要求违法用途。

美国参议院第115-408号报告讨论了敌对国家、恶意行为人和供应链渗透，亨德森认为这支持较窄解释。多数则认为，立法报告列举的典型威胁，不能将“任何人”缩小成外国实体，也不能改写条文通常含义。报告对应当时的法案版本，其内容也须与现行条文区分。争议在于，立法背景应怎样影响文字解释。[23]

多数最终维持了采购措施。异议留下的担忧是，普通产品功能一旦可以被称为供应链风险，其他限制条件能否有效约束政府？法律仍要求审查必要性、限制更少的办法、程序和宪法问题，多数也保留了这些要求。但在本案中，政府的说明通过了这些审查。

2. 为什么法条差别还不足以解释全部分歧

授权文字确实不同。§3252使用“敌对方”和“颠覆”，§4713使用“任何人”和“操控”。后一种定义，使公开且出于安全目标的行为控制更可能落入风险范围。加州对较窄条文的解释，无法直接决定特区巡回法院的结果。

措施范围又影响宪法判断。加州审查的商业抵制涉及政府采购之外的交易，总统停用指令涉及多个机构。特区巡回法院审查的是§4713采购措施及复核。措施会影响多少交易、怎样改变公司地位，都关系到报复动机、程序保障和救济范围。

同样的技术事实，所回答的问题也不同。无部署后接入权限，在加州削弱了立即排除公司、跳过事前回应的依据；在特区巡回法院，它无法消除训练和更新风险。测试与保留旧版能降低多少风险，两院也有不同评价。只问“公司有没有远程开关”，无法解释完整分歧。

表格可左右滑动。

1. 各项请求分别得到什么结果

法院支持公司的一项请求，不意味着公司提出的其他请求也成立；撤销某项措施，也不等于政府必须继续采购。下表把请求、被告和法院给予的救济分开列示。[1][24][25]

其中，§558(b)是《美国法典》第5编第558(b)条，要求行政制裁或命令具有法律授权。

“独立越权请求”与依据《行政程序法》提出的请求分开。公司主张，总统要求所有联邦机构停用产品，缺少国会授权或宪法依据，违反了权力分立原则。它请求法院据此禁止机构执行该指令。[25]

表格可左右滑动。

这里要看，机构是否已经完成决策，并作出对公司产生法律后果的行政行为。仅有立场表达或准备工作，可能还未形成法院可以撤销的“最终行政决定”。五个机构的§558(b)请求失败，是因为公司没有充分证明这一审查条件已经满足。法院没有因此认可这些机构的一切行为。[25]

2. 哪些机构受到判决约束

永久禁令约束参与相关措施的被告，要求它们撤回实施指示，并采取必要行动防止被禁止的措施继续执行。指定未参与措施的被告不在禁令对象之内。[24]

九个机构的特定实施行为被撤销，分别涉及军事部门、财政部、联邦住房金融局、国务院、总务署、人事管理局、核管理委员会、国土安全部和能源部。住房金融局以接管人身份采取的行为，明确排除在这项撤销范围之外。另五个机构是卫生与公众服务部、商务部、退伍军人事务部、证券交易委员会和美国国家航空航天局，它们在§558(b)这项请求上胜诉。[24][25]

取得全部请求有利判决的被告，包括国家艺术基金会、社会保障署、联邦储备理事会、总统行政办公室及相应负责人和匿名被告1—10。[25]

公司对所有被告提出的独立越权请求均失败。但这不表示总统指令已获全面确认合法，因为法院已通过宪法请求和禁令，对相关行为作出另一项处理。理解胜负，必须保留请求之间的区别。

3. 政府能否换供应商，后续状态确认到了哪里

加州最终命令允许被告采取2月27日相关指令发布前本来就依法可用的行动。军事部门可以遵守适用法规、法律和宪法要求，转用其他供应商，无需继续使用Anthropic产品。公司胜诉所取得的是对特定违法措施的救济，政府没有因此承担继续交易的义务。[24]

判决后的完整状态尚未核实。目前尚不能确认有无新的上诉、rehearing / rehearing en banc（合议庭复审／全院复审，下文简称“复审”）、暂缓或最高法院程序。特区巡回法院的mandate（巡回法院正式命令）是否已签发，也有待核实。具体合同受到怎样的影响，还要核对措施范围和后续命令。现有裁判不能直接证明全部交易已经恢复，或全部交易均被禁止。

1. 把部署方式和用途限制说明白

两案表明，同一句“公司限制模型用途”，可能涉及完全不同的控制方式。供应商应说明，交付的模型文件由谁持有，谁有系统访问权限，运行时是否存在监测或干预机制。新版本由谁训练、采购方怎样测试和接收，也关系到风险判断。合同中的禁止用途需要与这些技术安排分别说明。

用途定义同样需要落到具体操作。目标选择中有多少人类参与，监控数据涉及哪些对象，执行授权怎样安排，都影响限制的含义。定义明确后，双方才更容易讨论模型拒绝、测试和人工监督能降低哪些风险。这些是本文提炼的实务建议；采购机关是否接受限制，仍需结合具体部署和合同协商。

2. 替代办法要有实施方案，采购决定要有依据

加州法院认为政府讨论替代办法不足，特区巡回法院则认为公司的局部限制论证不足。双方都需要把方案说具体。主张升级前验收或分用途许可，应交代测试覆盖的情境、局限，以及承包商的使用怎样核查。切换所需时间、旧版支持和紧急回退安排，也会影响方案是否合理可用。

采购机关作出排除决定时，应记录风险依据何时形成、为何指向特定供应商，并说明普通解约或测试为什么不能解决问题。限制延伸到哪些交易，需要与风险对应；法定程序的完成情况也须留下依据。行政复核可以进一步说明原有理由，但技术前提发生变化时，机关仍需解释新旧理由与证据之间的关系。

3. 诉讼中说明证据能改变什么，留意何时申请审查

要求决定前获得回应机会，要说明公司能够提供哪些信息、这些信息可能纠正什么判断。主张言论报复，要用证据解释政府的实际动机；措施范围和官员言论，都可能进入这一分析。

行政复核还会影响法院何时可以审查决定。在特区巡回法院案中，公司在复核后另提一份申请，确保至少有一份有效的审查申请。后续争议需要留意申请期限和是否须再次申请，不能仅凭已经起诉就忽略后来形成的决定。[26]

4. 持续更新为什么带来新的依赖

运行控制、生命周期控制与能力依赖：本文的分析框架

传统软件采购也有升级和维护依赖。基础模型让这层关系更突出：供应商即使无法接触今天部署的版本，仍可能通过下一版本的训练和安全政策，影响采购方明天能获得什么能力。

因此，已经部署的系统由谁访问、修改或停止，只回答了运行控制的问题。训练、开发和安全政策涉及模型生命周期的控制。组织持续需要更新后的能力时，还要评估供应商的产品选择会怎样影响任务执行，这就是本文所说的能力依赖。三者可以同时存在，是本文的分析框架。法院没有确立一套三阶段测试。

特区巡回法院对测试覆盖和长期保留旧版的局限所作分析，将未来依赖纳入了风险判断。加州法院则重视军方测试、决定接收新版本的权力，要求政府充分解释广泛措施的必要性。两种判断共同说明，未来依赖可以成为审查的问题，但并不自动证明任何排除措施都合法。[8][10][15]

采购方仍可以测试、拒绝升级或更换供应商。这些选择能降低多少依赖，取决于验收能力、切换成本和任务需要。组织长期使用基础模型时，未来版本的能力边界，也应进入采购和风险管理的视野。

供应商决定未来版本的产品能力时，也会影响持续使用者可以完成哪些任务。采购方需要管理的供应链依赖，就包括这部分影响。

主要原文。 J：哥伦比亚特区巡回上诉法院，2026年9月25日实体意见，51页；CA：加州北区8月27日意见，案卷第250号文书，59页；CR：最终救济命令，案卷第251号文书，4页；CJ：最终判决书，案卷第252号文书，1页。加州文件为公开案卷库收录的法院文书副本；J多数页码与PDF一致，异议从1重新编号，对应PDF44—51。

补充原文。 S：4月8日暂缓裁定；G：政府6月4日补充书状及6月3日决定；C：政府5月12日函及公司4月17日回复。G、C为外部托管的提交文件，其当事人说法与裁判结论分别处理。

法条与立法报告。 《美国法典》第41编第4713条、《美国法典》第10编第3252条、《美国法典》第41编第1327条，均已取得美国政府出版局提供的完整官方PDF；R：美国参议院第115-408号报告。法条按裁判适用的时间基线分析，未声称取得指定日期《美国法典》预备版的完整文本或完成全部现行修法校验。

材料边界。 6月3日决定原件及两组实体裁判已直接核对；完整行政卷宗、3月通知及相关共同附录原件仍未全部取得。涉及这些底层材料的事实，以相应法院记载为依据，不标作已经独立核验全部记录。具体军事行动、估值及模型参数未作为独立确认事实。

[1] CA第59页；CR第1—15段；CJ唯一页；J第4—5、43页。

[2] J第7—9、20—23页；CA第6—7页；G PDF第21—22页。一般行为训练、两项最终合同限制与部署后控制不能全部等同。

[3] J第8—11页；初期拒绝及政府专用政策演变分别保留其部署阶段。

[4] CA第1—5、22页；J第5—6、14—15页；§1327(a)、(b)。

[5] CA第22页；S整个PDF第4—7页；J第13页。第九巡回上诉法院暂停仅为CA所记当时程序，最新状态未核定。

[6] CA第24—34页，表达保护、报复因果、相同行动抗辩及政府承包关系框架。法院讨论了政府履行采购合同与行使主权权力的区别，并对Pickering利益衡量作了备选分析。

[7] CA第49—53、59页；第一修正案因果分析亦见第24—34页。迈克尔邮件不属于作出行政决定时的原始记录；法院依检验机关借口或恶意的有限例外将其纳入考察。已有记录足以支持法院结论，邮件起补强作用，行政诉讼补充记录仍须符合例外条件。

[8] CA第34—41页。法院将声誉污名与具体法律利益损失相结合的情形称为“stigma-plus”，并认定本案涉及第五修正案保护的自由利益；具体损失是公平竞争联邦工作的资格。程序衡量采用马修斯案标准。本案要求的是决定前告知依据并允许回应，包括书面反驳机会，未限定必须举行正式口头听证。

[9] CA第44—47页；§3252(d)(4)。

[10] CA第47—53页。指定官员问题按法院对当时《美国联邦法规汇编》第48编第239.7304(a)条的适用说明，不作现行规则全面认证。

[11] §4713(k)(6)；J第23—24、28页。

[12] J第24—30页。多数讨论关联词解释、同类解释、修饰语范围及同词同义推定，并分别考察行为列表与功能后果列表；否定两组词均须恶意的解释。费舍尔案中前列行为均涉及损害证据，且宽读会产生大量条文冗余，本案没有相同前提。采购制度及国家安全授权背景另见第28—29页。

[13] J第30—31页及脚注1；§3252(d)(4)与§4713(k)(6)。

[14] J第16—17页，独立法律审查、合理解释及国家安全事实判断。

[15] J第18—23页；测试、旧版及训练风险分别见第20—23页。判决引用的参数规模未当作核定产品规格。

[16] J第32—33页；§4713(b)(3)(B)。法院认为公司只用一句话提出局部限制，未充分展开，因而未有效提出该论点；法院仍给出方案本身不足的备选理由。

[17] J第11—15页；§4713(b)、(c)；C PDF第4—7页。3月19日具体材料包依据J重构。

[18] G PDF第21—22页两页扫描原件；J第35—36页对行政解释的处理。

[19] J第33—38页；法定紧急错误只作假设，通过缺乏有害影响拒绝撤销。

[20] J第38—41页；受保护利益在此仅被假定，最长180日属于退出安排。

[21] J第41—43页；法院承认表达保护和不利行动，否定本案报复因果。

[22] J异议第1—8页；异议的制度假设不作为已经发生的违法用途要求。

[23] R印刷第2、7—9、12—14页；J第31页；异议第7—8页。

[24] CR第7—15段；CA第55—59页。撤销、发回、宣告、禁令及合法采购选择分开。

[25] CR第1—6、13段；CA第53—55页。单项§558(b)失败、第三项诉讼请求全部败诉及指定被告全部请求胜诉分别列明。

[26] J第14—15页；C PDF第1—2、4—7页；G印刷第10—12页。政府在本案不主张因过早申请驳回，不等于法院解决所有成熟性原则。