开放权重模型这几周又被推到争论中央。有人担心中国模型进入美国企业技术栈；有人担心权重一旦流出，护栏、访问控制和撤回机制都会失效；开发者和不少公司则看中它较低的成本与更高的可控性。
Anthropic CEO Dario Amodei 在 7 月 27 日专门发文澄清：公司从未主张按类别禁止开放权重模型。这个表态之所以值得看，不是因为 Anthropic 突然变成了开放权重的拥护者，而是因为它把争论从“模型该不该开放”拉回了几个更具体的环节：谁拥有训练算力，谁在大规模复制前沿能力，模型的危险能力究竟到了哪一步。
下文只讨论这份政策文的逻辑。Anthropic 对地缘政治和风险严重程度的判断，仍只是企业立场；但它提出的拆法，确实比把所有模型塞进“开源”或“闭源”两格里更有操作性。
禁止企业使用，碰不到真正的风险链路
公告针对的背景很具体：美国政界曾讨论限制美国企业使用中国开放权重模型。Anthropic 的回答也很直接，这类保护主义禁令没有碰到它最担忧的对象。
如果担心的是某个威权政府在秘密训练更强的模型，再把它交给军方、情报或监控系统，美国公司能否部署某个开放权重模型，并不会改变那条训练链路。模型甚至不必公开发布，可以在封闭环境里训练和部署，只交给极少数机构使用。
网络攻击、生物攻击或严重对齐问题也是一样。坏行为者不会因为美国企业不能合法调用某个模型就放弃寻找能力。限制正常企业使用，可能改变竞争格局，却未必切得到风险源头。
Anthropic 在这里没有给开放权重贴上安全或危险的单一标签，也没把闭源平台说成天然可靠。它把问题落在一件更朴素的事上：政策究竟要约束哪一段行为。
权重流出后，安全措施很难补回
Anthropic 对开放权重的担忧并不轻。公告承认，权重一旦发出去，闭源服务常用的许多安全手段会变得很难实施：护栏可以被移除，使用行为难以监控，账号可以被封，模型副本却无法被收回。
风险不只在于“开放更危险”这样一句模糊判断。开放权重改变了安全控制的时间结构。
闭源模型服务发现漏洞后，可以更新系统提示、调整工具权限、下线某项能力，必要时暂停服务。开放权重模型被下载到私有设备后，发布方对副本的控制会迅速下降。后来即使找到了更好的安全补丁，也难以要求已经流出的每一份模型重新装上。
所以同一份公告才会同时容纳两种判断：低风险开放权重模型可以成为有价值的公共资源；跨过危险能力阈值的模型一旦公开，误用风险会持续存在，也难以逆转。争论的焦点应当落在那条阈值线怎么划，而不是把所有公开权重都塞进同一个政策口袋。
政策真正盯住的三段链路
公告的三项主张放在一起，能看出它实际想干预的环节。
训练算力是一端。Anthropic 主张限制向中国出售高端 AI 芯片和芯片制造设备，并打击走私和绕行。无论是否接受它的国家安全前提，这条思路盯住的是训练前沿模型所需的资源，不是模型发布后的标签。
另一端是 industrial-scale distillation（工业规模模型蒸馏）。模型蒸馏本来是常见技术路线：用更强模型的输出训练更小或更便宜的模型。Anthropic 所说的风险并非普通团队做一次实验，而是有组织地、大规模调用前沿模型，持续复制能力，以更低算力成本追赶前沿。模型是否把权重放到网上，和这条链路并不完全重合。公告也明确表示，一刀切封禁开放权重不是应对蒸馏的正确办法。
图片来源：Anthropic 官方文章
最后才是 capability threshold（能力阈值）。Anthropic 的建议是，模型一旦在网络、生物或对齐风险上足够强，不管是开放还是闭源，都应接受发布前的强制安全测试。能力较低的创业团队和学术模型可以豁免，避免合规成本把所有开源项目一起压住。
训练、复制、发布是三段不同的链路。它们未必能直接拼成一套完整政策，却比“见到开放权重就管”更贴近风险出现的位置。
模型什么时候该进测试，谁来决定
“对足够强的模型做测试”很容易获得赞同，执行起来却并不轻松。
阈值按什么定？模型能写出漏洞利用代码，算不算跨线？它能解释生物实验步骤，但不能独立规划完整攻击，是否需要纳入？模型在受控测试里表现一般，放进 Agent 工作流后却能调用工具、连续迭代，风险要怎么算？参数量和上下文长度回答不了这些问题。
白宫此前讨论高风险模型审查时，也有类似分歧。欧盟式风险分级更看使用场景和对公民权利的影响；能力阈值路线则关心模型本身会不会显著降低攻击门槛。两者可能重叠，关注点却不同。
Anthropic 没有给出一张现成的阈值表，只提出不要预先认定开放模型一定更利于防御，或一定更容易做安全，应让发布前测试提供证据。这个方向有用，但它不会自动解决谁来测试、标准是否公开、各国是否互认、模型更新后要不要复测。把分界线从“开放/闭源”挪到“能力阈值”，等于把争论放到了更难却也更具体的地方。
别把政策口径当成模型选型建议
Anthropic 的公告不会替企业完成模型选型。它没有建议每个团队去部署开放权重模型，也没有替供应链、数据合规和模型安全问题给出答案。
团队选模型时，仍要看数据能不能出域、推理服务是否稳定、版本能不能回滚、出了问题由谁响应。开放权重给了更多自主权，也把部署、监控、权限和更新责任更多地交给使用者。
能力测试处理的是“哪些模型不该无条件扩散”；企业选型处理的是“这套能力能不能安全、稳定地进入我的工作流”。这两件事会互相影响，不能互相代替。
所以此前关于 Kimi K3、Inkling 等模型的讨论，更适合围绕参数、上下文、成本或定制能力展开，它们问的是模型怎么被采用。Anthropic 这份公告关心的则是：能力继续往前走后，哪些能力不该只靠市场和厂商自觉来决定如何扩散。
三个词，分别对应三种治理动作
这三类政策工具对应的目标并不一样。
开放权重说的是分发：谁能拿到模型、在哪里运行、发布方还能保留多少后续控制权。它带来可得性和可定制性，也让风险更难撤回。
能力阈值说的是测试何时开始：模型是否已经足以明显降低网络攻击、生物攻击或其他高影响行为的门槛。它不该只看模型是否开放，也不该只看模型来自哪里。
芯片出口和工业规模蒸馏说的是能力的来源与复制速度。前者影响谁能训练前沿模型，后者影响已有能力以多低的成本被追赶。
Anthropic 的立场能否成为共识，还要看政策制定者、开源社区、模型公司和使用者怎么回应。不过这份公告至少把问题拆开了：开放与闭源只是分发层的一层外壳；训练、复制、发布和使用，才是需要分别回答的治理环节。
参考来源
- Anthropic：Our position on open-weights models
- Anthropic：Detecting and preventing distillation attacks
- UK AI Security Institute：How far behind the frontier are leading open-weight models on cyber?
- Anthropic：The Adolescence of Technology
以上来源用于理解 Anthropic 对开放权重、模型蒸馏和前沿模型安全测试的公开政策口径，不等同于对其风险判断、监管路径或地缘政治主张的独立验证。