过去几天里，围绕开放权重模型，尤其是来自中国的开放权重模型，出现了大量讨论。有报道称，部分美国官员正在考虑禁止美国企业使用中国的开放权重模型。作为回应，许多科技公司签署了一封支持开放权重模型的信函，甚至有人指责 Anthropic 试图通过禁止开放权重模型来保护自身业务。任何读过我过往文章的人都应该知道，我并不认为此类禁令是有效的措施，但为了消除疑虑，我在此明确声明：Anthropic 从未主张禁止开放权重模型。
不具备危险能力的开放权重模型是一种公共产品：除了运行它们所需的算力之外，它们不产生任何成本，并且能为企业、开发者和研究人员提供价值。
保护主义性质的禁令无法解决我最担忧的国家安全问题。具体来说，我担心两种噩梦般的场景。六个月前，我在文章《技术的青春期》中阐述了这些观点¹，并且多年来一直坚持这一立场。
- 我主要担忧的是，威权政府——并非仅指中国共产党，尽管中国共产党显然是最具威胁的——构建出比美国更强大的 AI 模型，并利用它们获取永久军事优势或对其人民实施极度深层的压制。这一担忧在美国政府内部广泛存在：副总统万斯去年在巴黎警告称，“威权政权窃取并利用 AI 来强化其军事、情报和监控能力”；而情报界《2026 年度威胁评估》也发现，“其他全球大国在 AI 领域的强劲进展正在挑战美国的经济竞争力和国家安全优势。”这些模型是否以开放权重发布并不重要，它们是否被美国企业使用当然也不重要。事实上，最危险的模型可能是那种秘密训练、仅交给中国人民解放军用于无人机，以及交给国家安全部用于监控和压制的模型。
- 我的次要担忧是，强大的 AI 模型可能被滥用于发动网络攻击或生物攻击，并可能存在严重的对齐问题。开放权重模型——无论它们来自中国还是其他任何地方——确实可能比封闭模型带来更高的风险，因为很难为其设置护栏或监控其使用，而且权重一旦发布就无法撤回。但禁止美国企业使用这些模型，对于应对这一风险毫无作用，因为恶意行为者不太可能是合法的美国企业。这样做只会保护美国 AI 公司免受竞争，但这从来都不是我的目标。
为了应对这些担忧，我确实支持以下三项措施，这也是我和 Anthropic 一贯倡导的：
- 我们不应向中国出售先进芯片或芯片制造设备，并应严厉打击猖獗的走私活动以及获取此类芯片的各种规避手段。中国本土产能有限，因此，根据规模定律，没有美国芯片，中国就无法构建比美国更强大的模型。这是阻断第一类威胁最高效、最直接的方式，同时，通过阻碍那些美国法律无法触及的模型训练，也能间接有助于应对第二类威胁。
- 我们应严厉打击工业规模的知识蒸馏活动。知识蒸馏相比从头训练模型，其计算效率要高得多。它使中国能够构建出远超其芯片数量通常所能支撑的更好模型，从而在一定程度上规避芯片禁令。知识蒸馏虽不能让中共获得与美国等同或更优的AI能力，但能将中国的前沿水平拉近至与美国仅差数月。诚然，许多开展此类活动的公司会发布开放权重的模型——但开放权重本身远不如这些活动背后有寻求在前沿领域超越美国的威权国家支持这一事实来得重要。我们应制定政策干预措施来阻止这种行为。全面禁止开放权重模型既非正确的补救措施，也并非我们所呼吁的。
- 所有具备足够能力的模型，无论是开源还是闭源，都应接受强制性安全测试。应对第二类威胁的最佳方式，就是在模型发布前直接测试其在网络、生物及对齐方面的风险。我认为这一理念实际上已接近共识：令我感到振奋的是，特朗普政府近几个月已朝此方向迈进，同时近期业界提案也主张将此类测试应用于最具能力的模型——无论其来源国是哪里，也不论是开源还是闭源（同时完全豁免能力较弱的模型，例如来自初创公司和学术界的模型）。开源模型是否构成更高风险、以及该风险能否被缓解，这些问题应当通过测试来回答，而非事先下定论——此外，提升开放权重模型安全性的方法也值得期待，包括Anthropic近期关于模块化训练策略的研究。值得注意的是，测试若要有效，就必须具备全球性，这意味着连中国共产党也需要参与其中。我认为这实际上是有可能实现的：正如我在《技术的青春期》一文中所写，围绕防范AI生物武器展开有限合作或许是可行的，因为这同样符合中国的利益。
这就引出了那封公开信。我认同其中的大部分内容：开放权重能扩大AI经济的参与面，至少在某些应用场景下能增强竞争，并让客户拥有更大的控制权。关于知识蒸馏的担忧，应通过有针对性的法律和商业框架来解决——也就是我上文提到的同一类措施。但我不同意信中声称开放权重模型必然更有利于开发安全措施，也不认为广泛的能力获取必然对防御者比对攻击者更有帮助。在我看来，情况很可能恰恰相反。例如，我担心生物学领域存在严重的攻击者-防御者不对称性：能力足够强的模型或许能利用广泛可得的材料，迅速将大流行级别的病毒武器化；而防御这些威胁，即使在最理想的情况下也是一项需要多年的运营任务（正如我们在“曲速行动”中所见）。诸如此类的问题，应当通过严格的发布前测试来实证回答，而非事先假定。
总结一下我和Anthropic的立场：我们过去没有、现在也不主张全面禁止开放权重模型。相反，我们应该聚焦于：防止强大芯片落入威权之手，制止工业规模的知识蒸馏，并要求对所有能力足够强的模型（无论是开放还是封闭的）进行安全测试。
脚注
- 关于滥用模型以攫取权力的讨论，以及关于生物风险的讨论，请分别参见该文章的第3节和第2节。
- 参见英国AI安全研究所的这份报告，具体而言：“这种带来上述好处的开放性，同时也排除了封闭模型开发者能够使用的许多安全措施——例如检测和破坏滥用行为、在漏洞出现时迭代安全防护、控制用户访问以及撤回模型。一旦开放权重模型发布，这些选项便永久丧失：安全防护可以被移除，副本可以被下载、重新分发，并在不受监控的私有系统上运行。对于具有危险能力（包括高网络攻击能力的模型）而言，开放权重发布因此会带来持续且不可逆的滥用风险。”
- 另请参阅此处、此处及此处，以获取美国司法部的更多报告。
- 在 Anthropic，我们致力于通过自身实践来打击工业规模的模型知识蒸馏行为，包括识别并封禁以这种方式使用我们模型的账户。这颇具挑战性——例如，相关账户往往只有在大量蒸馏行为发生之后才能被识别，而且蒸馏行为通常涉及创建大量难以追踪的虚假账户。任何单一公司的实践都无法完全解决这个问题，正因如此，我们呼吁就此问题制定相关政策。
- 关于生物威胁与攻防平衡的更详细讨论，请参阅《技术的青春期》第 2 节。概括而言，我认为目前保障我们在生物学领域安全的并非“防御者”，甚至也不是材料的可获得性，而是智力能力与实施灾难性危害意愿之间的负相关关系。以往的技术，如互联网搜索甚至 DNA 合成，都远不足以打破这种相关性，但我担心，按照目前的发展速度，人工智能很快就会做到这一点。另一种说法是，一项足够强大的技术会消除所有障碍，并揭示攻击者或防御者是否具有内在的结构性优势，而我担心在生物学领域，攻击者拥有这种优势。
相关内容
Cognizant 与 Anthropic 扩大合作，将 Claude 带给企业客户
推出 Claude Opus 5
Opus 5 是 Opus 层级的一次阶段性改进，为长期运行的智能体提供强大支持，同时在编程和专业工作方面带来了性能提升。