美國“許可”模型失靈，GLM-5.2與Kimi-K3成所有美國企業的安全必需品

美國政府對兩大本土前沿模型的監管“新思路”差點闖了禍。當企業遭遇智能體攻擊，安全團隊需要AI參與漏洞分析或事件響應時，他們發現自己首先要對付的，不是攻擊者，而是整套“許可”機制；而最終，來自中國的開源模型挽救了局面。

過去，美國一直將開放權重模型視為AI安全風險的重要來源，認為能力一旦開放，同樣可能落入攻擊者手中，因此不斷強化對前沿模型的發布、訪問和部署限制。但最近發生在HuggingFace身上的真實安全事件，卻說明開放權重模型正在成為企業網絡安全體系的重要基礎設施。

AI智能體已經能夠端到端（end to end）地驅動一次真實網絡攻擊。上周，全球最大的AI開源社區HuggingFace，就遭遇了這樣一起不同以往的安全事件。它并非傳統的人類黑客或固定腳本，而是表現出典型的智能體攻擊（agentic attacker）的特征：它在大量短生命周期沙盒中執行了成千上萬個獨立動作，像“打游擊”一樣，并將命令與控制（C2）節點部署在公共網絡服務上，自主遷移。

更令人警惕的是，攻擊與防御正在使用同一套能力底座。本次攻擊HuggingFace的智能體，看起來似乎構建于一個智能體安全研究Harness之上，而非專門為破壞而設計的惡意工具。目前尚不清楚它所使用的底層模型是什么，但這一細節說明，安全研究能力與攻擊能力之間的邊界正在迅速模糊。

由于此次攻擊涉及超過1.7萬條日志，并混雜了大量“誘餌活動”（decoy activity），如果完全依賴人工分析，安全團隊需要數天時間才能還原攻擊路徑。于是，該團隊首先想到調用美國商業前沿模型API，希望借助AI完成取證分析。

然而，事情很快變得吊詭起來。一個月前，美國政府對前沿大模型的監管進入新階段，圍繞Anthropic的Mythos/Fable 5與OpenAI的GPT-5.6 Sol/Terra/Luna建立起受限發布、可信伙伴、分階段部署等“許可”機制。7月，Anthropic為新模型引入了安全分類器（classifiers），用于識別可能涉及攻擊的請求。

這套設計在真實場景中暴露了致命短板。當Hugging Face將攻擊者的漏洞利用鏈、攻擊命令和日志提交給商業模型API時，模型無法判斷請求究竟來自攻擊者還是防御者。最終，商業API觸發安全策略，拒絕繼續分析。

關鍵時刻，開源模型成了唯一的“救火隊”。Hugging Face轉而采用了部署在自有基礎設施上的GLM-5.2。事后，Hugging Face給出的建議耐人尋味：企業應當在真正發生安全事件之前，就準備好經過驗證、能夠運行于自身基礎設施上的模型，作為商業API之外的備用能力。這樣做一方面可以避免事件響應因安全策略被阻斷；另一方面，也能確保攻擊數據、憑證以及客戶信息始終留在私有環境。

Hugging Face并非唯一遇到這一問題的用戶。幾乎同一時間，一位開發者公開表示，在修復代碼倉庫的15個安全漏洞時，OpenAI的Codex和Anthropic的Claude Fable 5均拒絕處理，而剛剛發布的Kimi K3則順利完成了全部任務。

這是一個極具代表性的信號。全球AI治理的問題，已經不再是企業會不會遭遇自主智能體的網絡攻擊，而是當真正遭遇攻擊時，企業的分析和響應系統是否還能正常工作。

對于企業而言，一個能夠真正參與漏洞分析、事件響應和取證工作的模型，其實際價值正在超過一個理論能力更強、卻無法在關鍵時刻調用的模型。決定AI價值的，不只是能力上限，也不只是調用價格，而是在危機時刻，它是否能夠穩定獲得、穩定部署，并真正完成工作。而恰恰在這一點上，開放權重模型展現出了一種此前未被充分重視的戰略價值。

換句話說，在現實的AI治理路徑上，開放權重模型正在成為所有企業“災備級”的安全基礎設施。它可以是足夠好用的智譜GLM-5.2，也可以是新近發布的Kimi-K3，以及“很快”開源的Qwen-3.8或正式版的DeepSeek-V4。

更關鍵的是，這種情況不會隨著治理加強而消失，而很可能越來越普遍。美國試圖限制的是Mythos、Sol這一層級的安全能力，但能力擴散仍然持續快于能力控制。

智譜創始人兼首席科學家唐杰公開表示，希望在年底前實現下一代模型達到Mythos的能力水平；幾乎與此同時，月之暗面發布了總參數規模達2.8萬億的Kimi K3，在匿名雙盲對戰的Code Arena中排名第一，制造了又一次“DeepSeek時刻”；阿里巴巴也預覽了參數規模2.4萬億的Qwen-3.8，官方稱其綜合能力在全球范圍內僅次于Fable 5，并承諾將“很快”開放完整模型權重。

經過幾天試用，這些模型正在嵌入歐美企業的網絡安全基礎設施。云端開發平臺Vercel首席技術官Malte Ubl表示，他們已經將Kimi K3視為網絡安全領域的頂尖產品；相比之下，Fable經常直接拒絕相關請求，而Sol雖然愿意幫助完成防御任務，但成本明顯更高。

這讓白宮人工智能與加密貨幣特別顧問、長期代表硅谷AI利益的大衛·薩克斯（David Sacks），再次痛批美國現行做法。他認為，沒有理由限制美國模型完成中國模型能夠輕松完成的任務，這樣做只會削弱美國自身的競爭力。

對美國而言，這當然是一場關于產業競爭力的爭論；但對于全球 AI 治理而言，它意味著一個更加困難的問題：當越來越多實驗室都能夠訓練出具備類似能力的模型之后，治理還能否繼續建立在“限制少數模型訪問”之上？這個問題的答案，正在被現實不斷否定。

美國當前治理思路，本質上仍然建立在"控制模型入口"之上。但現實世界中的網絡安全攻防，并不會因為模型入口受到限制而停止。攻擊者可以選擇任何能夠獲得的模型，無論是閉源模型的越獄，還是開放權重模型的本地部署；真正受到限制的，反而可能是那些需要遵守規則、依賴商業API的企業安全團隊。這種能力獲取的不對稱，正在動搖現有AI治理框架賴以成立的前提，也因此引發了AI時代"槍支管制"的討論。

或許，這正是HuggingFace事件真正留下的啟示。當開放權重模型越來越接近前沿能力，它們承擔的角色已經不僅僅是推動AI普及，更開始成為企業安全體系的一部分。而未來AI治理真正需要解決的問題，也許不再只是如何限制能力擴散，而是如何確保能力擴散之后，合法的防御者始終比攻擊者更容易獲得這些能力。