Anthropic澄清开放权重立场：不主张全面禁令

Anthropic 在 2026 年 7 月 27 日 18:36 UTC 发布的文章，最值得记录之处是公司把一句长期被外界代填的立场写成了正式文本。CEO Dario Amodei 称 Anthropic “has never advocated” 全面禁止开放权重模型，结尾又写明公司 “have not and are not advocating” 按类别禁止这类模型。两个状态表达共同指向过去和现在，没有出现撤回、反转或新近改变立场的动作。

声明同时列出 3 项仍然支持的政策：限制强大芯片及芯片制造设备流向中国，打击工业规模蒸馏，以及要求所有达到足够能力门槛的模型在发布前接受强制安全测试。第三项同时覆盖开放与闭源模型；Amodei还提到近期行业方案会完全豁免能力较弱的模型，例如初创公司和学术界模型。这里写的是行业方案，不是已经生效的规则。

尚未解决的问题集中在执行层。“足够强”没有数值定义，网络、生物和对齐风险分别由谁测试、使用什么评测集、未通过后采取何种处置，文章均未回答。关于工业规模蒸馏可把中国前沿拉近到落后美国前沿 数月的说法，也只有Amodei的判断，没有附评测方法，不能当作统一能力榜单的测量结果。

这份澄清直接影响政策团队、开放模型开发者和企业买方。政策团队获得了一份可逐句核对的厂商立场，却没有获得可执行法规；高能力模型可能被纳入与闭源模型同口径的发布前测试；企业买方仍需分别处理模型来源、出口管制、许可证和下游滥用责任。

立场澄清的语法边界

这篇文章的首要核查任务不是推演政策结果，而是保持英文状态语义。has never advocated 是现在完成时下对过往倡议行为的否定；have not and are not advocating 把过去到现在的未倡议状态与当前进行状态并列。两句都没有说 Anthropic 曾经主张全面禁令，更没有说公司现在撤回一项既有禁令。

原文措辞	忠实中文表述	可以推出	不能推出
has never advocated for a ban	过去从未主张全面禁止	Anthropic在正式文章中否认曾倡议此类禁令	Anthropic撤回了此前支持的禁令
have not and are not advocating	过去没有、目前也没有主张	公司把历史与当前状态写成连续立场	公司刚刚转向支持开放权重
as a category	按类别一概禁止	反对把所有开放权重模型作为同一禁令对象	反对对任何高风险开放模型施加限制
within a few months of the US frontier	接近到落后美国前沿数月	Amodei用相对美国前沿的时间差描述蒸馏影响	性能提高数月、提高若干百分比或已经追平美国
all sufficiently capable models, open and closed	所有达到足够能力门槛的开放及闭源模型	测试主张按能力覆盖两类发布方式	所有小模型、学术模型已经被强制纳入测试

因此，本期news peg只能写成“Anthropic正式澄清开放权重立场并列出替代政策”，不能写成“Anthropic撤回开放模型禁令”或“美国取消限制”。发布主体是一家公司，载体是一篇立场文章，随文没有法案、行政命令、监管通知或生效日期。

“从未主张”仍然是一项由公司CEO作出的历史自述。它足以高置信确认Anthropic在 7 月 27 日公开说了什么，却不能替代对公司所有政府沟通、游说文件和个人发言的独立审计。更稳妥的表述是“Anthropic称公司从未主张”，而不是编辑部替公司证明一段无法穷尽的历史。

三项政策分别约束不同环节

Amodei把风险链拆成训练算力、能力获取和模型发布三个环节。它们对应的治理对象不同，混成一句“Anthropic支持监管开放模型”会丢掉政策含义。

政策路径	直接对象	声明给出的理由	文中仍缺少的执行条件
芯片与制程设备管制	强大芯片、芯片制造设备、走私与规避路径	限制不受美国法律约束的威权政府训练更强前沿模型	芯片范围、域外执行、许可与豁免机制
打击工业规模蒸馏	大规模利用闭源模型输出训练竞争模型的操作	蒸馏比从头训练更省算力，可能部分绕开芯片约束	规模阈值、合法研究边界、证据与救济程序
强制发布前安全测试	所有“足够强”的开放与闭源模型	直接评估网络、生物与对齐风险，不预设开放模型一定更危险	能力门槛、评测标准、执行机构与未通过后的处置

第一项服务于Amodei列出的首要担忧：威权政府训练出超过美国的模型，并用其取得军事优势或强化国内压制。他强调这一风险与模型最终是否开放权重无关，因为最危险的模型也可能秘密训练后只交给军方或情报系统。按这套逻辑，禁止美国企业使用中国开放模型并没有切中训练侧的风险。

第二项聚焦工业规模蒸馏。文章称蒸馏不能让中国取得与美国等同或更强的AI能力，但可能把中国前沿拉近到距离美国前沿 数月。这里的主语是“中国前沿”，比较对象是“美国前沿”，within表示相对时间距离。原文没有说明哪些模型、任务和发布日期构成这条前沿线，因此该数字只能归因为Amodei的政策判断。

Anthropic还在脚注中承认单家公司治理的局限：平台会识别并封禁用于蒸馏的账户，但相关账户往往要等到大量蒸馏已经发生后才能识别，操作者也会建立大量虚假账户形成移动目标。这个描述支持“平台措施不能完全解决问题”的结论，却不足以自动证明某个具体中国模型使用了非法蒸馏。

第三项把规则从发布形式转到实测能力。声明主张在发布前测试网络攻击、生物攻击和对齐风险，并称开放模型是否带来更高风险、风险能否缓解，应从测试得出，而不是提前假定。它也保留了重要豁免：Amodei引用的是针对“最有能力模型”的近期行业方案，能力较弱的初创与学术模型可完全豁免。适用范围没有写成所有开放模型。

开放权重的公共价值与不可逆风险同时保留

Amodei把不具危险能力的开放权重模型称为公共产品，理由是除运行算力外无需支付模型使用成本，并能为企业、开发者和研究人员提供价值。他还明确同意 7 月 24 日联署信的若干主张：开放权重扩大进入AI经济的渠道，在部分用例中增强竞争，并给予客户更多控制权；对蒸馏的担忧应通过有针对性的法律和商业框架处理。

分歧落在攻防收益是否天然偏向防守者。联署信认为更广泛的模型访问有助于研究安全措施和增强防守能力；Amodei不接受这种收益必然成立，尤其担心生物领域可能存在攻击者优势。他给出的机制是，足够强的模型或许能让攻击者更快利用广泛可得的材料，而防守体系的研发、制造和部署仍是多年级运营任务。

这部分是风险假设，不是事故数据。文章没有展示开放模型已造成的生物攻击案例，也没有给出开放与闭源模型在同一套攻防任务上的比较结果。它要求以严格的发布前测试回答问题，恰好说明答案尚未由现有证据确定。

英国AI Security Institute的既有评估提供了另一层风险框架：开放权重发布后，开发者难以像托管模型那样持续监控滥用、迭代防护、控制访问或撤回模型；副本可以被下载、再分发并在私有系统运行。这个框架能说明开放发布为何具有不可逆特征，但不能单独决定某个模型应否禁止，仍需结合实际能力和边际风险。

“足够强”是整份声明最大的空位

能力门槛决定三类模型会被怎样处理。门槛以下的开放模型，在Amodei的表述中可以是公共产品，并可能获得初创或学术豁免；门槛以上的模型，无论开放还是闭源，都要接受网络、生物和对齐测试。若没有公开阈值，开发者无法在训练和发布前预测合规成本，监管者也容易把机构身份或国别标签误当能力代理变量。

至少需要四类信息才能把原则变成规则。其一是能力指标，例如网络漏洞利用链完成度、生物设计任务中的可操作性提升、模型自主规划时长与规避监督能力。其二是测试程序，包括谁能访问未发布权重、是否允许外部研究者复核、如何防止评测集泄漏。其三是处置梯度，测试触线后究竟延迟发布、删除特定能力、限制下载还是转为托管访问。其四是申诉与更新机制，模型改版或缓解措施上线后如何重新评估。

Anthropic引用的GRAM模块化预训练研究展示了一条潜在技术路线：把危险领域知识隔离到可开关或删除的辅助模块中。研究覆盖 50M至5B参数，并在一个 800M参数模型上测试病毒学、网络安全、核物理和专门代码等双重用途数据。一个模型可通过模块配置近似多个过滤数据训练的模型，这为“按能力而非整模封禁”提供了研究方向。

不过，研究团队同时写明该方法仍属初步，未应用于Anthropic生产模型；实验上限也只是 5B参数，没有验证前沿规模和真实生产环境。它能证明Anthropic正在研究更细粒度的能力访问控制，不能证明开放前沿模型的危险知识已经可以可靠切除。把研究设想直接写成现有安全能力，会把论文状态提前成产品状态。

全球执行条件限制了单边规则的效果

Amodei认为安全测试要有效就需要全球实施，甚至需要中国参与。他给出的合作窗口是防止AI生物武器，因为这类风险也不符合中国利益。这个主张把安全测试推向国际协调，但文章没有提出条约文本、核查机制或互认机构。

全球执行难点至少有三层。模型可能在不披露训练细节的情况下秘密开发，开放权重发布后也可跨境复制；不同国家对网络、生物与对齐风险的可接受阈值不一致；如果测试义务只落在守法公司身上，秘密模型和恶意行为者反而不会进入程序。统一测试的政策吸引力在于同口径，实际脆弱点则是覆盖不到最需要约束的主体。

这也解释了为何声明同时保留芯片管制、反蒸馏与模型测试。测试约束发布者，芯片管制约束训练资源，反蒸馏试图封堵通过外部模型输出获得能力的替代路径。三项措施分别覆盖不同环节，共同弥补单一工具的治理缺口。

后续文件需要回答什么

最先要等的是“足够强”的公开定义。若Anthropic或政府部门给出分级阈值，应检查阈值是否直接测量网络、生物与自主能力，还是继续用训练算力、参数量、开发者国别和机构规模代替。前者更贴近风险，后者更容易执行，却可能同时放过高效小模型并误伤低风险大模型。

第二个信号是测试结果能否横向比较。开放与闭源模型若使用不同评测集、不同访问权限或不同披露要求，“同口径测试”只会停在原则层。公开报告至少应说明测试范围、模型版本、缓解前后差异、外部复核情况，以及未通过后的处置。

第三个信号来自联署方。25家企业和机构已经说明开放权重的经济与安全收益，下一步需要提交攻防收益的实证材料：开放访问是否提高漏洞发现速度，是否也提高攻击链成功率；模型可审计性如何转化为下游修复；权重发布后发生严重滥用时，谁承担通知和响应责任。

最后要区分四种可能被政策文本混用的对象：权重向公众发布、中国模型进入美国市场、美国企业使用某一模型，以及利用闭源服务输出进行工业规模蒸馏。Anthropic反对的是按开放权重类别全面禁止，并不等于它反对对后面每一种行为设置规则。后续法案或行政文件只有把对象、门槛、证据和救济程序逐项写清，才算回应了这次澄清留下的核心问题。