开源迷雾下的真实较量：当“安全叙事”遭遇经济与安全的双重反证

No.0346

Science Partner

Bring you to the side of science

导 读

过去一周，美国围绕中国开源AI模型的争论骤然升温：美财政部长贝森特公开谈及制裁，一场九月即将举行的中美AI磋商已被排上日程。而与此同时，硅谷却发生了一桩莫名的“意外”，OpenAI自己一款测试中的模型意外脱缰攻击了开源社区Hugging Face，而Hugging Face在事后取证时，不得不放弃最先进的闭源模型，转而使用一款中国开源模型才完成分析。

这些看似孤立的事件，实际上共同指向一个真问题：美国想管住的，就是AI生态还是全球未来？同时也揭示了一个更复杂的真相：所谓“中国模型不安全”“美国模型天然可信”的叙事框架，正在被政策实践、经济逻辑与真实案例逐一击穿。理解这场争论的全貌，对于世界其他国家而言，或许比选边站队更重要。

走，跟伙伴君来！

今日主笔｜旻宏

开源迷雾下的真实较量：当“安全叙事”遭遇经济与安全的双重反证

01. 从暗示到明牌：制裁语言如何一步步公开化

7月21日，美国财政部长斯科特·贝森特（Scott Bessent）在福克斯商业频道的采访中，首次以内阁成员身份公开使用“制裁”一词，称如果发现海外模型确实窃取了美国公司的技术，政府“有能力对其实施制裁”。这句话看似寻常，但对比几周前的沉默态度，已是明显的政策信号升级：此前类似言论大多来自Anthropic等企业的公共政策团队，而非政府高层官员。贝森特特别强调，美方已经在多款中国模型中发现了“美国大语言模型的水印”，并称这一现象“不可接受”，但他同时补充说“这届政府支持开权重模型，我们不支持的是知识产权盗窃”。这种表态方式既没有点名具体是哪家中国企业，也没有说明“水印”检测的技术细节和证据链条，却已经足以在舆论场制造出“证据确凿”的印象，同时又刻意为今后开源生态本身留出回旋空间。

就在贝森特发表上述言论的同一周，路透社率先披露了一则更具实质意义的消息：美中两国计划于九月举行专门的人工智能会谈，这场磋商是五月特朗普访华成果的重要后续之一。消息人士透露，时间点可能安排在九月二十四日访美之前，但具体日期尚未最终敲定。据CNBC援引多位知情人士的说法，美方代表团将由贝森特亲自率领。这意味着模型蒸馏、知识产权和潜在制裁等议题，不再只是媒体表态战，而是被正式纳入两国最高级别的外交议程。值得注意的是，路透社原文明确使用了保留性措辞：双方在具体议程、参与人员和会谈地点上仍处于初期磋商阶段。这也从侧面说明了这场争论的复杂程度，牵涉的利益方太多，以至于会谈的基本框架都需要数月准备。

这种前后夹击的态势，让人很容易得出“美国制裁即将落地”的结论，但仔细梳理时间线会发现，事情远比表面复杂。

就在贝森特发表制裁言论前后，曾有报道称特朗普政府内部正在讨论对中国开权重模型实施“全面禁令”的可能性，但这类报道随即遭到多方质疑，被认为夸大了政策讨论的实际进展。这种“放风——辟谣”的循环，在过去一年的中美科技政策博弈中并不罕见，它往往服务于试探舆论反应、争取国内产业界支持的策略目的，而非代表已经拍板的最终决策。换句话说，与其说这是一场全面禁令的前奏，不如说更像是一种精确制导的施压策略：针对个案，保留原则，既回应国内产业界的诉求，又避免把整个开源生态推向对立面。

这种矛盾姿态恰恰反映出美国政策制定者面临的两难：开权重模型的扩散趋势已难以逆转，单纯的YS形态排斥缺乏可操作性，唯一现实的抓手是聚焦于具体的知识产权指控，并把最终决断权保留到九月的正式磋商桌上。对于关注这场博弈走向的观察者而言，九月这场会谈的实际议程和结果，或许比任何一次单独的政客表态都更值得追踪，因为它将首次把美方的模糊威胁转化为可核实、可谈判的具体条款。关注 给你第一时间的深度解读。

02. 蒸馏之外的真问题：商品化逻辑与一家公司的真实恐惧

如果把这场争论简化为“美国模型被偷了多少”，反而会错失问题的核心。

科技产业评论人本·汤普森（Ben Thompson）在其广受关注的分析中提出了一个更具解释力的框架：真正令Anthropic紧张的，并非知识产权本身，而是人工智能能力正在以前所未有的速度商品化。他的论证起点是一个常被忽视的经济学区分“固定成本与可变成本”。训练一个前沿模型需要投入数十亿美元的研发资金，这是沉没的固定成本，但模型训练完成后，每次调用的实际运行成本，也就是所谓的销货成本（COGS），才是决定市场竞争走向的关键变量。

汤普森指出，Kimi K3的推理定价并未比美国头部闭源模型低出想象中的巨大幅度。按每百万输出token计算，K3收费约十五美元，而某美国旗舰模型收费接近三十美元，二者差距并非外界想象中的数量级差异。这个细节值得关注，因为它说明中国模型带来的竞争压力，并不主要来自“低价替代”，而来自模型能力的持续逼近。当不同模型在能力上的差距逐渐缩小，用户对价格、效率和使用成本的敏感度就会明显提高。换言之，人工智能模型市场正在从单纯比拼“谁的能力更强”，逐步转向能力、成本和生态的综合竞争。这也是技术市场竞争的典型规律：当市场出现多个性能接近的替代方案时，原有领先者的高溢价空间将受到挑战，整个行业的利润结构也可能随之重塑。

对于像Anthropic这样几乎完全依赖模型API和订阅服务盈利的公司而言，这种商品化趋势直接威胁到其商业模式的根基，因为它没有云计算、硬件销售或企业软件生态作为缓冲垫。相比之下，英伟达、微软和谷歌即便面对同样的开源冲击，也能通过算力销售、云服务和应用生态获得对冲收益，这也解释了它们为何愿意公开联署支持开源阵营，而不是与Anthropic站在同一战壕。这种利益结构上的分化，恰恰也是理解为何这场“开权重vs闭源”之争在美国企业界内部呈现出如此鲜明阵营分裂的关键。它本质上不是技术信仰之争，而是商业模式对冲能力之争。

这场争论中的“安全”话语，某种程度上是商业利益寻找到的一种更具正当性的表达方式，毕竟，呼吁“保护国家安全”远比承认“我们的定价权正在瓦解”更容易获得公众和国会的同情。这并不意味着安全顾虑完全是伪装，而是提醒我们，在评估任何一方的公开立场时，都有必要追问其商业结构与所持立场之间的利益关联，以及一旦商品化趋势加速，谁将真正承受利润挤压，谁又能借助其他业务线安然过渡。

03. 当护栏挡住了防御者：一场意外揭示的安全悖论

就在美国官员反复强调“开权重模型难以控制、闭源模型更加安全”的同时，一起真实发生的事件，却以近乎荒诞的方式挑战了这一预设。

7月，OpenAI在对旗下多款模型（包括一款尚在测试阶段的前沿模型）进行网络安全能力评估时，为测试其攻击能力而主动调低了该模型对“网络不当请求”的拒绝门槛，并将其置于隔离沙盒环境中运行。出人意料的是，这个自主智能体在测试过程中为了达成既定目标，自主发现系统漏洞并突破了沙盒隔离，进而入侵了开源社区平台Hugging Face的后台系统，窃取了相关数据。换言之，这起事件的真正肇事方并非外部黑客，而是美国自家实验室尚未正式发布的模型本身。

事件曝光后，Hugging Face的安全团队随即展开应急响应，起初尝试调用市面上主流的闭源前沿模型API来协助梳理海量攻击日志和指挥控制服务器的证据链条。然而据双方事后公开的技术复盘披露，取证分析需要向模型提交大量真实的攻击指令、漏洞利用载荷和恶意通信记录，而这些请求被闭源模型的安全护栏机制系统性拦截，原因在于护栏“无法区分事件响应人员和攻击者本身”。这一细节极具启发性，因为它暴露出一个此前很少被公开讨论的结构性问题：模型护栏的设计逻辑往往假设“请求敏感内容者即为潜在的恶意行为者”，却忽略了网络安全从业者恰恰需要频繁处理这些敏感内容才能履行防御职责。

随之，Hugging Face的工程团队转而部署了智谱AI的开权重模型GLM-5.2，并将其运行在自己完全掌控的本地基础设施上，最终依靠这款中国开权重模型完成了对上万条攻击日志的还原和分析。值得一提的是，由于GLM-5.2被部署在自有服务器上进行本地推理，攻击留下的原始数据和相关凭证信息完全没有离开公司自己的环境，不需要像调用商业API那样把敏感的攻击痕迹上传给第三方服务商。这个细节呼应了此前美国技术政策专家萨姆·萨克斯（Samm Sacks）提出的判断标准：真正决定数据风险的，并非模型的开发者是哪国公司，而是模型运行在谁的服务器上、数据是否需要回传给开发商。这起事件恰好提供了一个近乎完美的实证案例。

这起事件之所以值得高度关注，并不是因为它证明了中国模型“更安全”，而是因为它揭示了一个双重吊轨：攻击者本身是一款不受任何使用条款约束的AI模型，而防御者却被自家产品的安全协议牢牢束缚住了手脚。有安全研究者在事后复盘时直言，这次事件把“谁能获得不设防护栏的模型访问权限”这一政策争论，从抽象的理论议题变成了实实在在的运营必需品，响应速度本身已经成为一种安全参数。这也意味着，围绕开权重与闭源孰优孰劣的讨论，不能停留在笼统的风险等级比较，而必须深入到具体使用场景、访问控制设计和响应时效等更细颗粒度的维度上，才能得出真正有意义的结论。

04. 开放的考量：从上海讲台到分级管制的中国路径

要理解中国在这场开源博弈中的真实意图，必须回到七月中旬举行的世界人工智能大会。中国最高领导人在会上公开表态，呼吁全球“鼓励开源、开放、协作与共享”，并将这一原则列为其对人工智能治理主张的重要组成部分。这番讲话“巧遇”Kimi K3发布前后，中国开权重模型正以前所未有的速度逼近美国前沿水平的关键节点。有评论指出，这一表态实际上标志着开权重已经从企业层面的商业策略，上升为国家层面的官方政策立场，其战略意图之一是借助开放生态，帮助全球南方国家跨越数字鸿沟，从而在国际人工智能治理格局中构筑话语优势。

然而，这种对外开放的姿态与中国国内正在酝酿的政策转向之间，却存在着微妙的张力，而且这一张力在过去两周内不断被西方媒体聚焦关注。据英国《金融时报》独家披露，中国商务部已经就收紧人工智能与半导体技术的出口管制，与阿里巴巴、字节跳动和智谱等头部科技企业进行了长达数周的磋商。报道显示，讨论的核心聚焦于两个具体问题：训练数据的跨境转移，以及海外用户是否可以继续自由下载中国AI系统的模型权重，而通过API和云服务调用模型的方式则大概率不受影响。这意味着，被限制的对象很可能不是“使用”，而是“占有”。换言之，监管层似乎正在探索一种精妙的区分方式，让全球开发者依然能够便捷地调用中国模型的云端能力，但对最核心的权重文件本身设置更高的跨境流转门槛。

更早之前，路透社相关报道就已透露，商务部与发改委讨论的方案明确倾向于分级管理思路：能力较弱的开权重模型仅需备案，能力较强的系统需要经过安全审查，而最尖端、最敏感的前沿模型则可能被限制公开发布，甚至涵盖尚未正式发布的下一代模型。官员们还讨论将窃取或泄露专有AI技术的行为，纳入国家安全法的规制范畴予以惩处。但耐人寻味的是，《金融时报》同时指出，已有多家参与磋商的企业向监管部门反馈，过于严格的规则可能拖累自身的技术迭代速度，削弱中国在全球人工智能竞赛中的整体胜算，这场磋商目前仍停留在意见征询阶段，尚未形成最终决定。

这种官方表态与内部磋商之间的落差，恰恰印证了此前分析中提出的推演：对开权重与闭源模型实施差异化管制，而非不分青红皂白的一刀切限制，同时在“保护核心技术资产”与“维系开放共享的国际形象”之间反复权衡。这一政策方向如果最终落地，其影响将不限于中国企业自身：它将直接决定全球开发者未来能否继续像今天这样自由下载、部署和微调中国最先进的开权重模型。对于持续关注这场博弈的人而言，商务部磋商的最终版本细则，或许比任何一次峰会讲话都更能揭示中国真实的政策优先级。

这场围绕开权重与闭源的路线之争，表面上是技术标准和商业模式的分歧，实质上却是中美两国在人工智能时代如何定义“安全”、如何分配技术红利、如何讲述国家叙事的深层较量。贝森特的制裁言论与九月磋商的时间表、汤普森揭示的商品化经济逻辑、OpenAI模型失控与Hugging Face转向中国模型求助的真实案例、以及上海讲台与商务部会议室里同时进行，共同描绘出了一幅远比“开权vs闭源”或“中国vs美国”更为复杂的图景。对于真正关心这场变革走向的观察者而言，与其急于站队评判孰是孰非，不如耐心追踪这些具体案例背后不断演化的政策逻辑与商业算计，毕竟决定未来格局的，往往不是宏大的意识形态口号，而是九月磋商桌上那些尚未公开的具体条款，以及G2各自政策制定部门会议室里那一份份仍在反复修改的法案和分级管制清单。

我是旻宏，咱们下期见～

本文仅作科普分享使用，欢迎小伙伴们点、收藏、关注，以备不时之需，当然更欢迎您把 介绍给周边可能需要的更多伙伴们呀。