当最强 AI 不再向所有人开放：一场正在发生的“智能圈地运动”

互联网曾经最迷人的地方，是“穷人也能上桌”

科技圈这些年最吊诡的一幕，是我们一边高喊 AI 将带来生产力解放，一边又默默接受：最强的那部分能力，可能从一开始就不属于大多数人。

最近，Anthropic 围绕新模型 Mythos 与“Project Glasswing”的表态，在海外技术圈激起了很强的情绪。按照公开说法，这套能力不会全面向公众开放，而是优先进入 AWS、苹果、思科、微软、谷歌、英伟达、Palo Alto Networks 这类大型机构组成的合作网络。乍一看，这像是标准的大厂叙事：高风险能力，先给可信伙伴，先做安全，再谈普惠。可真正刺痛很多开发者和研究者的，并不是“谨慎”这两个字，而是那种熟悉的门开始被悄悄锁上的感觉。

如果你经历过早期互联网，会明白这种失落从哪来。互联网最珍贵的地方，从来不只是信息丰富，而是它曾经默认每个人都可以接近同一套底层能力。一个 16 岁的年轻人，没有学历、没有融资、没有人脉，也可能用公开的协议、开源工具和一台普通电脑，做出点真正厉害的东西。今天我们回头看，从开源软件到独立开发者，从密码学工具普及到移动应用爆发，许多创新并不是在封闭的王国里长出来的，而是在一个“默认可进入”的数字边疆上冒出来的。

也正因如此，Tanya Verma 把这件事形容为“边疆关闭”，这个比喻并不夸张。前沿模型正在成为新一代基础设施，而它的分配方式，开始越来越像土地、能源和金融账户，而不像互联网协议。问题的严重性也在这里：当“智能”本身成了稀缺资源，谁能调用它，谁就更像拥有未来的生产资料。

安全，当然重要；但“安全”也正在变成新的门票制度

Anthropic 以及许多 AI 实验室最常见的理由，是安全。这个理由并不虚伪。越强的模型，越可能被用于漏洞挖掘、自动化攻击、虚假信息投放、危险知识扩散。实验室担心“一放即失控”，这完全可以理解。

但问题在于，现实中的“安全开放”往往很快变成“选择性开放”。谁是可信用户？通常是已经很大、很有钱、法务完备、和实验室有合作关系的企业。谁不够可信？通常是独立研究者、小团队、非名校背景创业者，或者只是没有站到大公司关系网里的普通开发者。于是，安全审查在客观上就变成了一套新的资格筛选机制：不是你有没有能力，而是你有没有门路。

这里最讽刺的一点是，被优先授予能力的，也未必就是最安全的一群机构。过去几年，微软、思科、CrowdStrike 这类名字一再出现在各种重大安全事件报道中。也就是说，实验室一边以“公众使用有风险”为由收紧入口，一边又把能力优先给了那些体量更大、攻击面也更大、并非零事故的大企业。这不是简单的双标，而是暴露出一个更深层的问题：今天 AI 安全治理的核心逻辑，还不是“谁最负责任”，而是“谁最可控、最可合作”。

更麻烦的是，前沿模型不是普通的软件 API。它越来越像一种“零日漏洞生成器”、自动化研究助手、代码审计器，甚至是策略设计工具。过去这类能力往往带有国家级色彩，如今却被私营公司打包、定价、授权，再通过企业合作伙伴向少数节点扩散。说得直白一点，这是一种国家级能力的私有化，但责任机制却远没有国家级能力那样成熟。没有透明标准，没有公开申诉路径，也没有足够的外部审计。实验室既是制造者，也是裁判员，很多时候还是最终解释权拥有者。

真正被卡住的，恰恰可能是创新者和安全研究者

很多人以为，反对封闭的人只是想“白嫖最强模型”。事实没这么简单。

在 AI 研究世界里，API 从来不是全部。真正严肃的安全研究、可解释性研究、对齐研究，往往需要更深层的访问权限，甚至需要白盒条件。问题是，现在不少前沿闭源模型对外只开放非常有限的接口，而研究共同体却被反复要求“证明你们能做好安全研究”。这就像有人把实验室大门锁上，再责怪门外的人研究进展太慢。

Tanya 在文中提到，她在 MATS 研究讨论会上看到，不少最严肃的 AI 安全项目最后不得不建立在中国开源模型之上。原因并不复杂：因为能用。你不一定最喜欢它，但你能真正摸到它、改它、测它。相比之下，很多最强的商业模型只能隔着 API 看个轮廓，像隔着玻璃看发动机。这样的研究条件，很难说是健康的。

这也是我对当前行业叙事最不满意的地方：大家嘴上说安全第一，实际资源配置却经常对真正做安全的人不够友好。另一方面，公众又被低配的 AI 产品教育得一头雾水。很多普通上班族每天接触的是办公室里笨手笨脚的 Copilot，自然会觉得“AI 也就那样”。可在实验室和企业特供通道里，另一套能力早已不是同一时代。这种认知错位，会让社会在政策、教育和竞争判断上都慢半拍。

从网络安全史来看，过度神化“危险能力必须尽量藏起来”也不一定成立。漏洞挖掘工具、模糊测试工具刚出现时，也有人担心这是在给攻击者送武器。后来行业的做法并不是把工具永久锁起来，而是把它们尽快纳入防御体系。今天很多成熟软件项目早已把 fuzzing 纳入 CI 流程，攻击与防守的竞赛没有消失，但防线确实提高了。AI 也可能走类似路线：能力扩散会带来阵痛，但也可能倒逼整个产业补上长期拖欠的安全债。

这不只是模型分发问题，而是下一代社会分层问题

这一轮争议最值得警惕的，不是某一家公司的决策，而是它背后的趋势：资本正在比劳动更容易地转化为“智能”。

在传统互联网创业故事里，资金当然重要，但一个足够聪明、足够拼的人，仍有机会靠产品、代码和速度冲出头。可如果未来最强智能系统只能通过高价合同、企业合作、云额度和定制准入获得，那么“有钱的人可以买到超人劳动力，没钱的人只能用通用版本”就会成为新常态。那时，竞争就不再主要是人与人的竞争，而是资本调用智能代理规模的竞争。

这也是为什么一些评论者会把它形容为“新封建主义”。这个词听上去夸张，却并非全无道理。中世纪的权力建立在土地和武装垄断之上；AI 时代，权力可能建立在算力、数据、模型和准入权之上。你看起来依然能上网、能写代码、能创业，但你接触到的“智能电力”是分级供应的。某些公司手里是工业电网，更多人只能靠小型发电机凑合。

我倒不认为闭源一定有原罪。开源与闭源，从来都不是道德高地之争，而是治理能力之争。问题在于，当 AI 已接近基础设施地位时，掌握它的企业是否也该承担基础设施级别的义务？比如明确的准入标准、申诉机制、停用解释、合规透明度，甚至在关键安全领域接受某种类似公共审计的约束。你不能一边说“我们拥有接近政府级的能力”，一边又坚持“这是我们的平台规则，你不同意可以不用”。因为对越来越多开发者、研究者和企业来说，这种能力已经不是锦上添花，而是生存工具。

边疆会彻底关闭吗？也许还没有，但警报已经响了

事情也并非全是坏消息。开源模型仍在追赶，虽然通常落后前沿 3 到 12 个月，但这个差距并不是天堑。更现实的变量在于硬件供给、能源成本和芯片扩产。如果未来算力更便宜、推理更普及，本地模型和开放模型依然可能像当年的个人电脑一样，把主机时代的集中化结构一点点冲开。

历史其实给过我们不少启发。大型机时代，计算资源极度昂贵、集中在机构手里；后来个人电脑把计算权力带到桌面。云计算出现后，资源再次集中，但开源软件和公共云 API 又把一部分能力重新下放。AI 现在也许正卡在类似的大型机阶段：最先进、最昂贵、最封闭，同时又孕育着下一轮下沉的可能。

但问题是，历史不会自动朝更开放的方向滚动。它也可能停在一个更稳定的寡头结构里：几家实验室、几家云厂商、几家芯片公司，外加一圈有资格接入的企业客户。普通用户获得的是包装好的消费级功能，开发者获得的是严格限制的接口，真正的核心能力则停留在玻璃幕墙后面，像银行金库一样被管理。

我对这件事的直观感受是：AI 行业今天最缺的，不是再多一份宏大的 AGI 愿景，而是一种更朴素的制度想象力。我们当然需要安全栏杆，但栏杆不该直接修成城墙。一个健康的技术生态，应该允许谨慎准入、强身份认证、分级授权和持续审计，而不是把“你没有被选中”包装成安全本身。

互联网最让人怀念的，从来不是它没有风险，而是它曾经给普通人留了一个入口。哪怕你没有家世、没有资源、没有背景，也能靠本事做点事。前沿 AI 如果把这个入口关上，我们失去的就不只是一个更强的工具，而是一整代人对技术公平的想象。