美国政府对两大本土前沿模型的监管“新思路”差点闯了祸。当企业遭遇智能体攻击，安全团队需要AI参与漏洞分析或事件响应时，他们发现自己首先要对付的，不是攻击者，而是整套“许可”机制；而最终，来自中国的开源模型挽救了局面。
过去，美国一直将开放权重模型视为AI安全风险的重要来源，认为能力一旦开放，同样可能落入攻击者手中，因此不断强化对前沿模型的发布、访问和部署限制。但最近发生在HuggingFace身上的真实安全事件，却说明开放权重模型正在成为企业网络安全体系的重要基础设施。
AI智能体已经能够端到端（end to end）地驱动一次真实网络攻击。上周，全球最大的AI开源社区HuggingFace，就遭遇了这样一起不同以往的安全事件。它并非传统的人类黑客或固定脚本，而是表现出典型的智能体攻击（agentic attacker）的特征：它在大量短生命周期沙盒中执行了成千上万个独立动作，像“打游击”一样，并将命令与控制（C2）节点部署在公共网络服务上，自主迁移。
更令人警惕的是，攻击与防御正在使用同一套能力底座。本次攻击HuggingFace的智能体，看起来似乎构建于一个智能体安全研究Harness之上，而非专门为破坏而设计的恶意工具。目前尚不清楚它所使用的底层模型是什么，但这一细节说明，安全研究能力与攻击能力之间的边界正在迅速模糊。
由于此次攻击涉及超过1.7万条日志，并混杂了大量“诱饵活动”（decoy activity），如果完全依赖人工分析，安全团队需要数天时间才能还原攻击路径。于是，该团队首先想到调用美国商业前沿模型API，希望借助AI完成取证分析。
然而，事情很快变得吊诡起来。一个月前，美国政府对前沿大模型的监管进入新阶段，围绕Anthropic的Mythos/Fable 5与OpenAI的GPT-5.6 Sol/Terra/Luna建立起受限发布、可信伙伴、分阶段部署等“许可”机制。7月，Anthropic为新模型引入了安全分类器（classifiers），用于识别可能涉及攻击的请求。
这套设计在真实场景中暴露了致命短板。当Hugging Face将攻击者的漏洞利用链、攻击命令和日志提交给商业模型API时，模型无法判断请求究竟来自攻击者还是防御者。最终，商业API触发安全策略，拒绝继续分析。
关键时刻，开源模型成了唯一的“救火队”。Hugging Face转而采用了部署在自有基础设施上的GLM-5.2。事后，Hugging Face给出的建议耐人寻味：企业应当在真正发生安全事件之前，就准备好经过验证、能够运行于自身基础设施上的模型，作为商业API之外的备用能力。这样做一方面可以避免事件响应因安全策略被阻断；另一方面，也能确保攻击数据、凭证以及客户信息始终留在私有环境。
Hugging Face并非唯一遇到这一问题的用户。几乎同一时间，一位开发者公开表示，在修复代码仓库的15个安全漏洞时，OpenAI的Codex和Anthropic的Claude Fable 5均拒绝处理，而刚刚发布的Kimi K3则顺利完成了全部任务。
这是一个极具代表性的信号。全球AI治理的问题，已经不再是企业会不会遭遇自主智能体的网络攻击，而是当真正遭遇攻击时，企业的分析和响应系统是否还能正常工作。
对于企业而言，一个能够真正参与漏洞分析、事件响应和取证工作的模型，其实际价值正在超过一个理论能力更强、却无法在关键时刻调用的模型。决定AI价值的，不只是能力上限，也不只是调用价格，而是在危机时刻，它是否能够稳定获得、稳定部署，并真正完成工作。而恰恰在这一点上，开放权重模型展现出了一种此前未被充分重视的战略价值。
换句话说，在现实的AI治理路径上，开放权重模型正在成为所有企业“灾备级”的安全基础设施。它可以是足够好用的智谱GLM-5.2，也可以是新近发布的Kimi-K3，以及“很快”开源的Qwen-3.8或正式版的DeepSeek-V4。
更关键的是，这种情况不会随着治理加强而消失，而很可能越来越普遍。美国试图限制的是Mythos、Sol这一层级的安全能力，但能力扩散仍然持续快于能力控制。
智谱创始人兼首席科学家唐杰公开表示，希望在年底前实现下一代模型达到Mythos的能力水平；几乎与此同时，月之暗面发布了总参数规模达2.8万亿的Kimi K3，在匿名双盲对战的Code Arena中排名第一，制造了又一次“DeepSeek时刻”；阿里巴巴也预览了参数规模2.4万亿的Qwen-3.8，官方称其综合能力在全球范围内仅次于Fable 5，并承诺将“很快”开放完整模型权重。
经过几天试用，这些模型正在嵌入欧美企业的网络安全基础设施。云端开发平台Vercel首席技术官Malte Ubl表示，他们已经将Kimi K3视为网络安全领域的顶尖产品；相比之下，Fable经常直接拒绝相关请求，而Sol虽然愿意帮助完成防御任务，但成本明显更高。
这让白宫人工智能与加密货币特别顾问、长期代表硅谷AI利益的大卫·萨克斯（David Sacks），再次痛批美国现行做法。他认为，没有理由限制美国模型完成中国模型能够轻松完成的任务，这样做只会削弱美国自身的竞争力。
对美国而言，这当然是一场关于产业竞争力的争论；但对于全球 AI 治理而言，它意味着一个更加困难的问题：当越来越多实验室都能够训练出具备类似能力的模型之后，治理还能否继续建立在“限制少数模型访问”之上？这个问题的答案，正在被现实不断否定。
美国当前治理思路，本质上仍然建立在"控制模型入口"之上。但现实世界中的网络安全攻防，并不会因为模型入口受到限制而停止。攻击者可以选择任何能够获得的模型，无论是闭源模型的越狱，还是开放权重模型的本地部署；真正受到限制的，反而可能是那些需要遵守规则、依赖商业API的企业安全团队。这种能力获取的不对称，正在动摇现有AI治理框架赖以成立的前提，也因此引发了AI时代"枪支管制"的讨论。
或许，这正是HuggingFace事件真正留下的启示。当开放权重模型越来越接近前沿能力，它们承担的角色已经不仅仅是推动AI普及，更开始成为企业安全体系的一部分。而未来AI治理真正需要解决的问题，也许不再只是如何限制能力扩散，而是如何确保能力扩散之后，合法的防御者始终比攻击者更容易获得这些能力。