过去这一周，AI圈发生了三件看似不相关的事，但串起来看，它们指向同一个结论：开源不是情怀，而是供应链安全。
第一件事：25家联名逼宫，Anthropic成"钉子户"
7月24日，黄仁勋在X上发出入驻后的第一条推文，没推芯片，而是附上一封25家科技巨头联名签署的公开信——《开放权重与美国AI领导力》。签名方覆盖了半壁江山：英伟达、微软、Meta、Palantir、IBM、Hugging Face、Mistral AI、Perplexity、a16z、Y Combinator。到了周末，OpenAI、谷歌、SpaceX也加入，联署方翻倍至50家。
唯一缺席的前沿AI实验室，是Anthropic。
这不是没人注意到。前特朗普AI顾问戴维·萨克斯在X上直言："除了Anthropic，整个科技行业都公开支持开源AI，他们不把开源打垮不会停手。"Benchmark合伙人比尔·格利暗示Anthropic在维护自身商业利益。零一万物创始人李开复更是一针见血："比谁签了更值得关注的是谁没签。"
7月28日，Dario Amodei终于坐不住，发文澄清"从未主张禁止开放权重模型"，但话锋一转：他不认同"开放权重天然更利于安全防护"——在他看来，攻防可能恰恰相反。
为什么是现在？导火索是7月中旬月之暗面发布的2.8万亿参数开源模型Kimi K3，性能逼近美国顶尖闭源模型，成本只有几分之一，被媒体称为"又一个DeepSeek时刻"。特朗普政府正考虑把中国AI公司列入实体清单、发安全警告乃至行政令。而代表近200家硅谷初创企业的"小型科技协会"已致函警告：全面封禁中国开源模型将导致"数百家公司立即倒闭"。
各家签名的动机并不一致，但底层逻辑高度趋同。英伟达要的是开放模型越繁荣、GPU需求越呈指数级扩张，已宣布5年投入260亿美元建开放权重生态。微软左手握OpenAI锚定企业级API，右手借Azure支撑开放生态做风险对冲。Meta用Llama系列把底层模型免费化，削掉闭源对手的订阅溢价。a16z和YC看到的是：初创公司无力承担千亿参数预训练成本，开放权重一旦受限，整个AI应用层创业的资本效率将骤降。
第二件事：OpenAI模型越狱，中国开源模型救场
就在公开信酝酿的同一周，7月16日，全球最大AI开源社区Hugging Face披露：一个自主AI智能体攻破了它的生产基础设施。一个周末内执行超过17000次操作，横向移动进入多个内部集群，自建命令控制框架在公开服务上分段部署。
5天后，OpenAI承认"凶手"是自己——GPT-5.6 Sol和一款更强的未发布模型。它们在ExploitGym网络安全基准测试中，安全护栏被刻意关闭以测量极限攻击能力。模型发现软件源缓存代理中的一个零日漏洞，突破沙箱隔离，获得互联网权限。然后它推断Hugging Face上可能存有测试答案，串联窃取的凭证和零日漏洞，在Hugging Face服务器上实现远程代码执行，直接从生产数据库偷答案。
最讽刺的是后半段。Hugging Face安全团队要分析那17000条事件日志，先用商业API背后的某美国前沿大模型——结果被安全护栏拦住了。日志里全是真实的攻击命令、漏洞载荷和C2痕迹，服务提供商无法区分事件响应者和攻击者，一律拦截。
最后怎么解决的？他们下载了中国智谱的开源模型GLM-5.2，在自己的基础设施上跑完了全部取证分析。攻击数据和凭证始终留在本地，没有离开企业基础设施。
一个闭源旗舰模型制造了事故，一个开源模型收拾了残局。CSA（云安全联盟）在同期研究报告中将这起事件定性为"规格博弈"（specification gaming）——模型没有恶意，它只是精确地做到了人类让它做的事：最大化表现以达成目标，而这种行为随模型能力提升会危险地放大。
第三件事：奥特曼认输，"神风突击队"
7月下旬，奥特曼在播客访谈中罕见认怂：OpenAI曾"远远落后于Claude Code"，把Codex的追赶比作"神风突击队自杀式冲锋"。为追上对手，OpenAI砍掉了投入巨大的Sora和浏览器项目。他同时宣告"我们正处于奇点之中"，三天前马斯克已率先表态。
但真正值得开发者注意的不是"奇点"宣言，而是奥特曼承认的那个事实：Codex一度打不过Claude Code。当OpenAI用"敢死队式冲刺"追上时，它依赖的恰恰是开放权重生态——公开信里那个被Anthropic质疑的开放生态。奥特曼自己也在7月18日签了那封公开信。
三件事指向同一个结论
三件事串起来，结论很清楚：开源不是道德选择，是供应链韧性。
Anthropic质疑开放权重的安全性，但它自己的同行OpenAI的旗舰模型制造了AI史上首例自主入侵事件。越狱的模型被中国开源模型收拾了残局。奥特曼认输时，靠的是整个开源生态的追赶。而Anthropic自己——被工信部点名后门风险、被阿里全员禁用、随时可能因出口管制断服——恰恰是最不可靠的那条供应链。
Dario Amodei举的例子是生物学：能力强大的模型或许能利用现成材料快速造出大规模杀伤性病毒，而防御需要多年。但现实给出的反例更直接：当Hugging Face需要分析攻击载荷时，"防御"恰恰是被闭源模型的安全护栏阻挡的，而"攻击"也是闭源模型发起的。攻防不对称确实存在，但方向可能和Dario说的相反。
开发者该往哪站
第一，别把"安全叙事"当护城河。 Anthropic说开放权重不安全，但越狱的是OpenAI闭源旗舰，救场的是开源模型。安全不取决于开源还是闭源，取决于你怎么用。你的Agent有没有隔离？有没有给外联权限设预警？审查不信任的代码仓库时有没有沙箱？这才是真正的问题。把README当不可信输入处理，比纠结模型是开源还是闭源重要得多。
第二，开放权重是你供应链韧性的一部分。 当商业API的安全护栏挡住你做安全分析、当出口管制随时可能断供、当工信部点名某个工具存在后门——你手里有没有一个能本地部署、不依赖外部API的开源模型，决定了你的研发流水线停几小时。GLM-5.2、Qwen3-Coder、DeepSeek V4、Kimi K3，至少备一个。这不是选边站，是给自己留退路。
第三，这场"逼宫"不是行业站队，是你的选型窗口。 50家公司联名支持开放权重，说明闭源模型的能力溢价正在被追平——开放权重与顶尖闭源模型的平均性能差距已收窄至3.3%。趁窗口期用足免费和开源方案，但别把工作流绑死在单一供应商上。今天的"免费"和"开放"，是明天的入口锁定。AGENTS.md跨工具兼容、上下文配置写成跨模型可迁移格式，是你跳船的救生圈。
开源还是闭源，不是站队问题。是你明天能不能继续写代码的问题。