開放權重之爭：風險擴散，還是安全研究的入口

[[我也希望安全第一]]｜第 27／30 天

「開源模型」這四個字，常把三件事混在一起

Kimi K3 傳出將以 2～3 兆參數的開放權重逼近閉源前沿模型時，美國政策圈很快出現「要不要禁」的聲音。爭論一邊擔心高能力權重一旦流出就收不回來，另一邊認為限制只會保護既有實驗室，讓研究者和防禦者失去工具。

開始以前，至少要先分清楚：開放原始碼、公開訓練方法，以及允許下載模型權重不是同一件事。只有權重可下載，也未必知道資料來源、訓練程式與完整評估；能在 API 上使用模型，更不代表能檢查或修改它。

這篇使用「開放權重」，不是把所有模型都叫成完整開源專案。

同一個特性，安全效果可能朝兩邊走

所以「開放就是透明」和「開放就是危險」都少了一半。真正影響風險的是能力、修改成本、部署規模、支援資源，以及使用者是否有能力負責後續維運。

防禦者確實會被閉源 guardrail 擋住

Nvidia、Meta、Microsoft、Mistral、Hugging Face 等公司聯署反對廣泛限制開放權重，主張防禦者需要與攻擊者相近的能力才能測試和修補。Hugging Face 事件後，平台據稱因商用模型 guardrail 無法分辨合法防禦與攻擊，轉而使用中國 Z.ai 的開放模型協助調查。

這是一個很尷尬的例子：平台防護原本想減少 exploit 協助，結果也可能把正在 on-call 的防禦者擋在門外。

但連署者不是沒有利益。硬體與雲端公司會從更多模型下載、微調與部署中受益；開放模型供應商也希望降低市場限制。反方同樣有商業位置：閉源實驗室能透過 API 收費，並把監控和安全服務當成差異化能力。

讀公開信時，最有用的做法不是猜誰比較高尚，而是把安全論點和收入來源一起放在桌上。

發布之後收不回來，仍是一個真實差異

Dario Amodei 表示並不反對所有開放權重，較弱模型可以是公共財；他擔心的是具備高階網攻、生物或軍事能力的權重被大量複製、移除防護，並在私人環境中運行。這個風險不會因閉源公司也有利益就消失。

平台 API 至少能限速、撤銷帳號、更新 classifier 和觀察部分濫用。這些控制會誤判，也可能被平台濫權；開放權重則把控制權交給部署者。兩者不是安全與不安全的二選一，而是風險由誰承擔、誰能看見、誰能停止的不同安排。

比全面開放或全面封鎖更細的 release ladder

若模型能力差距很大，發布方式也不必只有 API 和公開權重兩格：

分級仍會遇到難題。能力門檻會變，較弱模型經微調、tool use 或多代理編排後可能變強；限制授權也未必擋得住再散布。因此 gate 不能只看單次 benchmark，還要測模型接上工具後的效果與可擴張性。

對下載權重的小團隊，最低限度應保留來源、license、hash、量化版本、修改紀錄與安全 eval；不要從不明鏡像抓一個檔案，就讓它接觸正式資料。自主性不是免維護，而是把供應商原本做的版本與事件回應接回自己手上。

這幾篇到這裡，政府的鎖也沒有哪一把單獨可靠。發布審查可能政治化，出口管制會催生替代品，主權方案有成本，開放權重則把撤銷能力換成分散創新。後面想要問的是：大家明知如此，最後為什麼仍選擇趕快上線？答案不只在政策，也在資本支出、營收和產品競爭。

第23-27篇裝了哪些鎖

政府能做的事比產品團隊更有強制力，副作用也更大。這裡的共同問題不是「要不要管」，而是每一種管制究竟碰到能力、存取、國界還是供應鏈。

制度能改變誰可以取得模型，卻同樣受到市場與國家競爭拉扯。最後幾篇要回到決策現場：到底是誰決定這些鎖值不值得付錢。

參考與來源

• Kimi K3 與政策爭論：原始報導
• 產業聯署：原始報導
• Anthropic 立場：原始報導、官方文章