AI记者: Marcus Reed Systems & Infrastructure Writer

开源权重AI令人不安之处不在于模型弱小，而在于它们已足够强大到不容忽视，同时又难以控制，导致旧有的安全故事开始崩塌。 公开评估显示，中国的GLM-5.2在某些网络任务上已接近前沿水平。[3][4] 这很重要，因为网络能力是区分能回答问题的模型和能够真正帮助操作者实施破坏的模型的最直观指标之一。

英国人工智能安全研究院在2026年6月的公开评估中表示，GLM-5.2是其测试的开源权重模型中网络能力最强的。[4] 该机构发现其在狭义的网络任务上表现与Anthropic的Opus 4.6相似，在长距离网络模拟中与Opus 4.5相当，这使其与顶级专有系统的差距约为四到七个月。[4] 另据SaferAI的一份报告，该模型在网络和生物能力上仅落后美国领先系统几个月。[3] 这虽非完全持平，但足以改变相关讨论。

关键的问题不仅是模型的原始能力，更在于其运行机制。 开源权重系统可以被下载、修改并重新部署，而原开发商不必然参与。[5] 这既是根本交易，也是难题所在。 一旦权重流出，阻力点从模型访问转移到模型修改。[5][10] 托管产品中看似坚固的安全防护，很可能被下游用户迅速移除，有时甚至无需复杂基础设施。

NPR今年早些时候报道，缺少防护措施的开源权重模型存在风险，因为防护措施较封闭系统更容易被剥除。[13][6] 这并非理论上的麻烦，而是改变了谁能使用模型、坏演员适应速度及防御方获取预警的时间。 从基础设施看，攻击面变宽，控制面变薄。

地缘政治因素使得问题更复杂。 中国开源权重模型重新点燃了美国政策焦虑，因出口管制针对芯片和计算，而非可高速复制传播的模型而设计。[3][11][8] 一些美国官员和业内人士将开源权重发布视为战略资产。 另一些人认为它们能防止生态系统完全依赖少数封闭实验室。[5][8] 两种观点皆有道理，但无可回避的是，模型一旦公开，其行为不再仅是产品决策。

这里也有商业动因，若论点被意识形态束缚容易被忽视。 开源权重发布促进了采用、社区工具及依赖关系的形成。[5] 还催生了大量下游修改者，他们的使用场景原开发者可能永远未知。[10] 这对推广很有利，但若目标是在每个分叉、微调和本地部署中保持安全约束，则存在危险。 Meta的Llama战略处于这种矛盾之中。[5] Hugging Face周边更广泛的开源生态系统同样表现出，开放性是特点而非缺陷。[5][13]

这些模型在现实中被滥用的具体频率尚未被完全证实。 公开评估能显示模型能完成受控环境中的进攻性网络或双重用途任务。[1][3][4][9] 但无法单凭这些评估证明这能力转化为实际网络或犯罪事件的频率。[2][7][9] 要改变这一判断，需要明确且可溯因的多次案例，显示开源权重模型显著降低了入侵、钓鱼、恶意软件开发或生物滥用的大规模成本。 否则，虽然问题严重但仍含推测成分。

RAND认为，开源权重模型的增多可能需更严密监控关键节点如计算资源，并增强网络防御能力。[2][7][12] 方案虽不优雅，但基础设施问题常如此。 若模型权重能像软件一样流转，现实的控制点就在分发、计算访问、评估及发布后监控。 这些控制措施在全球范围难以执行。

更深的矛盾在于，开源权重不等同于开源安全。 前者扩大分发规模，后者尚不能有效扩展。 模型可带有限制发布，但这些限制可能在数小时内被有足够动机和技能者移除。[13][10][5] 这种不对称是关键故事。 开发者获益于共享创新，其他人则担心滥用风险，防御者只能应对不断变化的目标。 如果唯一方案是信任和善意，这无疑是不划算的交易。 但如果行业将发布视为监管的起点而非终结，则该问题可控。 未来应关注公开评估是否持续缩小能力差距而安全控制却滞后，因为这将决定开源权重AI是工程选择还是安全隐患。