AI开权与闭源：差距、困境与机会

AI这两年的迅猛，给人一种从0到100的体感。以前的几次技术革命不是这样：先有从0到1的研发，难而慢，接上一段相对漫长的从1到100的扩散。现在那些“1”不是没有了，而是在各种闭环里被快速跃过。

闭环怎么造，被甩出闭环有什么后果，以及AI时代的教育怎么做，是大家都该关心的问题。最近有机会参加一个小型的内部研讨会，我在会上分享了几个看法，大致就沿着这三条：开源与闭源模型的差距、AI4S的局部最优陷阱，以及AI时代的高等教育、尤其是计算机教育该怎么走。这是第一篇。

01、脑力与体力

在真实的工作场景里，很少是一个大模型单打独斗。打个不一定准确的比方，它更像一个后厨：主厨掌总，其余人各自出活。比较强、也比较贵的模型是那个主厨，负责规划和判断；把已经定义清楚的活，交给便宜一些的模型去可靠地完成。强模型是脑力，其余是体力。

这样的组合，可以用同一个供应商的不同型号来实现。拿Anthropic来说，脑力用Opus，体力用Haiku，价格差五倍。

但更普遍、硅谷也经常提到的一个组合是跨厂的：脑力那一档由头部闭源模型担任，比如Claude、GPT；体力那一档，现在几乎是中国开权模型的天下，DeepSeek、千问，加上最近比较热的智谱、Kimi。这一档的价格差，从十倍到几十倍。

注意，上面我用的是“开权”，不是大家习惯的“开源”。Open source（开源）和 open weight（开权），是本质上极其不同的两种实践。这些模型被开放的是训练好的权重，能下载、能自部署、能微调，但训练数据和完整流程并不公开，无法复现，并不具备开源软件那种可复现、可审计、代码补丁全透明的性质，借用"开源"这个词名实不符。

更重要的是，开权意味着权重的让渡。这是一份可以拥有、可以搬走的资产：对使用方，下载到自己机器上，它就在手里，发布方之后断不断供、被哪一国政府叫不叫停，都跟这份权重无关；对发布方，一旦放出，就再也收不回来。同一个动作，一边是获得，一边是让渡。

“开源”的重点在代码公开，“开权”的重点在这份资产归谁掌握，这正是后面主权问题的起点。

要说明的是，开权不是中国专属。国外开权延续了多年的开源精神，阵营强大，Meta、Google、Mistral、NVIDIA 都在做，连一向只做闭源的OpenAI去年也放出了gpt-oss。

中国队起步晚，但追得猛，在编程和agentic这一档暂时领先。7月16日放出的Kimi K3，独立测试排到能力榜第三、盲测编程第一，还便宜得多，一下点燃了本来声量就不小、只是性能一直差一口气的国外开权阵营。一周刚过，7月24日，25家公司联署公开信呼吁保护开权，包括Nvidia、微软、Meta、Mistral、Hugging Face、a16z。又过了一天，谷歌和OpenAI也签了。黄仁勋转发时写道，开权模型“强化安全、加速扩散，并实现主权”。后两点大致成立，第一点恐怕正相反。

不过，签了也不见得会把最好的模型拿出来开权。Anthropic到现在也还没签。

那么，中国开权这么便宜，为什么顶不上脑力那一档，只能干体力活？

02、便宜之外，差在哪？

我在这里借用一位一线重度用户的体验。和我们研究院主要写代码不同，生成代码对他只是下游任务，他开一家小型咨询公司，要做大量案例分析，连带交付实施方案。

首先，大模型都讨好用户。但国内的模型除了语气层面的讨好，还“付诸实际行动”，直接“把事儿给你办了”。这种爽感，一旦在做不到的时候硬做，就成了草率。闭源大模型这一年有一个明显进步，从“回答”变成了“沟通”，在该停的时候停一下反问你，更像一个理性的工作伙伴。

这一点我自己也经常体验到，偶尔会有“哦，这个地方我确实该先问一下”的小惊喜。

和执行层面相关的还有信息编造。默认联网的话，网上信息真假混杂，搜到就总结，自己也不知道对不对。这其实不是模型的问题，问题出在搜索，这个在AI时代越发关键的外部基建。

有没有觉得，这些体验里带了些文化影子？

头部闭源模型的工程能力也很强。我自己的代码仓库，最后会让最强的模型对效率和安全重新扫一遍，贵，但这个钱值得。

这位咨询公司的朋友还讲了一个让我颇为吃惊的经历。六月里Anthropic发布了最强的Fable，能力在Opus线之上，才三天就全面被禁。他用这个才活了三天的短命版本，去为一套门店人流分析方案找优化。原来是软硬件结合的方案，Fable把视频分析那部分纯用软件做掉了，绕过原方案，成本降了三成。我的猜测是Fable发现，人流分析要的精度，可能只靠合适的采样就够，不需要那套硬件。最关键的是，AI视频硬件厂商在这个场景上的护城河，就这么被破了。

据这位朋友的体验，解禁后的Fable已经不是同一个“物种”，退回成了一个“更聪明的日常版本”。

目前公开的测试集，和复杂的应用场景脱节，学术界缺乏准确的靶点。换句话说，我们能测量的是AI4SE（software engineering，软件工程），而不是 AI4B（business）。开权模型跑分不低，却顶不上脑力那一档，一部分原因就在这里：跑分测的是SE，真正拉开差距的是B。

03、差距的来源：高质量闭环

从长远看，这一波模型在架构上已经接近收敛，你中有我，我中有你。学术界发表的工作大部分是微调，很容易被吸纳。模型结构固定下来，定制化硬件就比传统CPU简单很多。

英伟达的CUDA现在是最强的壁垒。但训练和推理这一整套软件栈，模型定义、数据管线、清洗、飞轮，绝大部分是高级语言写的代码，真正必须贴着CUDA写的只是其中一小块。随着AI写代码、优化代码的能力快速提高，把这一小块自动适配到别的硬件上，只是时间问题。这么看来，这层壁垒早晚也守不住。最近就有网传，Claude花一个周末把自己适配到了AMD的芯片上。真假还有待坐实，但方向大抵如此。

还有蒸馏。业界有句话：预训靠抄，后训靠蒸。这话可能有点过，但模型做完之后被请进“桑拿室”、彼此蒸来蒸去，恐怕是常规操作。开权的只要性能好，被闭源反过来蒸，也不是没有可能，外人甚至都不知道。

最近有一则新闻。白宫指控月之暗面蒸馏了Anthropic的Fable来做Kimi K3，财政部长放话要制裁。但这更像一个证据先于事实、技术上站不住、时间线不允许的指控：Fable七月一号才解禁，Kimi K3两周后就发布，而要蒸出那种能力，光靠监督微调不够，得上大规模强化学习，两周的时间和成本都不够。业界不少人存疑。真相如何，外人也无从判断，而这种无从判断，本身就是闭源单向透明的结果。

那么差距是不是来自数据？也对，也不对。

我认为拉开差距的，是高质量地生产和清洗数据的闭环，而这个闭环要靠一个真实运转的组织自己长出来。这个闭环有两层。

第一层是组织内部的使用轨迹。Anthropic合并进生产代码库的代码，超过80%是Claude写的，算上脚本和实验代码，官方说过90%以上。它一共约五千人，写代码的工程师一两千，但每个人都大量使唤agent，一个人透过AI就成了千手观音，真实的轨迹量比人数要大得多。

这批高质量轨迹，可以养成一种能力：从大噪音的海量脏数据里提取有用信息。Claude的隐私政策里有一条，即便用户把数据设成不用于训练，只要对某段对话点了赞或踩，这整段对话脱敏之后就可以用于训练。

一般情况下，用户是在对结果特别满意或特别不满意时，忍不住去点赞或点踩。这恰恰是最有价值的训练信号。中间地带的样本教不了什么，两端才有信息，而点赞点踩挑出来的正是两端。Anthropic的月活在两亿以上，即便反馈的概率不高，能收上来的信号还是相当可观。

所以用户规模成了这一代的壁垒，靠的不是数据多，脏数据谁都有，而是把脏数据提纯的能力，这个能力长在组织身上。

Anthropic既做模型服务，也做铲子，也就是自用的软件工具。它发现铲子越来越好用，就集中精力把铲子做到最好拿去卖，自用的工具和对外的产品成了同一个东西。OpenAI相对精力分散，摊子铺得宽。这里就有马太效应：闭环只在使用密度高的地方转得起来，同样的资金，战线收窄的一方转得快，铺得宽的一方每个场景的密度都被稀释。当然，事后看Anthropic是一步好棋，但其中多少是远见、多少是运气，从后视镜里才看得清。

04、开权的困境和机会

开权这条路有个结构性硬伤：用户自己一部署，就跟模型供应商没关系了，供应商不可能再收集到信号轨迹。

千问训练Qwen3-Coder 时，在阿里云上开了两万个并行环境，让模型在里面反复写代码、跑测试，用执行结果当反馈信号。蛮聪明的做法，但造出来的环境总和真实使用隔着一层，就像搭了一个干净的考场，却造不出真实的考生。

作为一个开源老兵，这一点我有切身体会。2014年我参与启动了MXNet，2018年是DGL，今年我们研究院又发布了从结构化数据到基础模型的RDBLearn。开源是软件工程史上最伟大的实践，没有之一，但要持续发展，不可能纯靠“用爱发电”。回头看这些项目，如果有一个共同的痛点，就是不知道下一个版本该把重点放在哪里，经常靠猜。看PR往哪个方向提、做点有限的用户调查、跟着学术文章的热点走，都不如真实使用场景来得准。作为研究院，我们自己没有一个真刀真枪的生产环境去用自己主导的开源项目，和用户总是隔了一层。

好处在于主权AI。开权模型下载到自己内网，权重在手，数据不外泄，跑在自己的机器上，不看任何人脸色。一家医院、一家银行、一个政府部门，最在意的不是模型排行榜上高那么几分，而是自己的数据会不会流到别处、用的模型会不会哪天被人一纸禁令关掉。闭源API 再强，这两条也很难有明确保障。这正是这一轮开权呼声变高的底层理由，也是“主权 AI”该有的样子。

同一件事，数据不出门：对供应商是断了信号，对用户是安全和自主。开权的两难就在这里，很难两全。

更大的风险在监管这一头。闭源模型出了问题，供应商还能召回、能打补丁、能一纸禁令关掉。开权模型一旦落入恶意使用者，是没有一个kill switch 的。二十五家公司的联署呼吁，并没有提出一个技术上可行的方案。

说到底，这可能不是一个纯技术问题。开权模型的恶意使用，和控枪有点像：到某个程度，防治靠的不是给每件东西装一个开关，而是法律、登记和追责。指望一个技术方案关掉所有风险，方向可能就错了。

关于破局，其实讨论到这里，大家应该能意识到，并没有一个很干净的答案。

技术上，开权模型可以叠加权重增量（delta），社区在基座之上贡献各自的改动，这条路是存在的。模型之外还有大量轻量、可审核的组件：推理引擎如 vLLM、llama.cpp，agent 脚手架如 Codex CLI、Qwen Code，还有越来越重要的记忆与上下文管理层（memory）。这些都是纯软件，正是开源社区最擅长、也最能积累的地方。

05、总结

总结一下这篇文章的观点：

开权不等于开源。 权重能下载、能改、能搬走，但训练流程不公开、无法复现。它的意义不在"代码公开"，在"这份资产归谁掌握"。

差距不在内核、硬件或数据，在闭环。 这些都能买能抄，唯独高质量生产和清洗数据的闭环买不到，只能靠一个真实运转、且服务海量用户的组织长出来。谁有提纯能力，谁就有壁垒。

开权是矛也是盾。 数据不外泄给了用户主权，却也交出了可召回性，发出去的权重收不回、关不掉，至今没有kill switch。

机会在软件层。 权重本身难以像开源软件那样协作演进，但它周边的推理引擎、agent 脚手架、记忆与上下文管理，是纯软件，正是开源社区能积累的地方。

开权最重要的两个问题是：如何在分散的用户群里既保住主权、又把使用的轨迹信号回收回来，以及如何治理。这两条，眼下都还没有答案。

下一篇，我想聊聊 AI 正在怎么改变科研，以及它会撞上的两个陷阱。

（作者张峥，系香港大学教授、港沪创研院首席科学家，本文首发于《知识分子》微信公众号）