蒸馏与中国开源模型

• Keith Zhai 的时间轴：最早的冲击来自 DeepSeek，中间一站是智谱（Z.ai）的 GLM。年初硅谷讨论的还是"要赶快用上 AI"，很快 Uber 等公司开始晒账单——"一个月花掉了一年的预算"，成本（cost）与主权（sovereignty）才成为议题，Cursor 用中国模型就发生在这个背景下。→ 详细
• 王铁震补另一半：去年年初 DeepSeek R1 第一次带来开源版的"思维链"（模型把推理过程一步步写出来再作答），当时纳斯达克跌得很厉害，大家一度以为开源已贴脸前沿——结果那一年是个"狼来了"的故事：闭源月更、开源季更，Opus 4.6 / 4.7 / 4.8 一路远远领先。转弯发生在最近几个月，先是 GLM-5.2（铁震："我已经用 GLM-5.2 完全取代了 Opus 4.8 的一些功能"），但大家还不慌——只要闭源领先超过一个世代就没什么可担心的。→ 详细
• 然后 K3 出来了：不是"跟 Opus 平级"的问题，而是基本追上 Fable 5、某些场景更好——"闭源模型瞬间发现自己没有一个护身符"，回到 DeepSeek R1 那个平级时刻，FOMO 与估值泡沫的担忧一起爆发，随即长出两个议题：接近前沿的开源模型安不安全、你凭什么几个月连续突破、是不是在蒸馏我。后面还有：MiniMax、千问都要发 2T–3T 模型，智谱可能也有动作。→ 详细

• 换模型的分水岭不是能力，是用量。Keith 说企业的第一反应永远是"我怎么用到最好的模型"，成本只有在上了很大的量之后才会变成显著问题——而把量打上去的是 Coding。此前主要消费场景是 RAG（先检索资料再让模型回答，token 消耗有限），Coding 一开放，消耗量完全不是一个数量级；这一波从去年 9 月前后 Anthropic 大规模推动开始。→ 详细
• 六个月内从"赶快用"翻转成"我花了太多钱"。Keith 用自家公司举例：TinyFish 才五十多人，一个月整个消费大概是六位数美金——"不要提那种更大的公司"。而这种转向"几乎就是在一个月之内发生的"。行业口径也从 Token Maxing（尽量多用）翻成 Token Optimization（尽量优化着用）。→ 详细
• 一个扎心的数据点：埃森哲（全球最大咨询公司之一、专做 AI 相关业务）内部调研发现，员工用模型做得最多的事是生成 PDF——"这个东西其实你不需要用最新模型去做"。→ 详细

• Keith 当场纠正了主持人的框架：这不只是"开源能力追平了所以省钱"，主要问题是所有权——"如果模型一切都取决于对方是否开放"，那就是别人的开关。他举的例子是 Anthropic / Fable 被卡的那件事：突然有一天美国商务部说这个不可以用了，那就一夜之间都不可以用了，你之前做的所有部署可能都没了。→ 详细
• 这句话在节目末尾被一个真实场景印证：Keith 跟日本最大的某家公司的二号人物私下沟通，对方说 Fable 不能用这件事影响巨大——"影响不在于 Fable 不能用本身，而在于大家突然意识到：原来这个东西是不安全的"。你做完所有部署之后，可能因为一条新政策、一次封号、一次服务变更，访问权限就全变了。→ 详细
• 对应的行业共识正在形成一句口号："Intelligence should be owned, not rented"（智能应该被拥有，而不是租用）。Keith 说这就是 Thinking Machines 这类"帮企业部署并微调自己的模型"的公司的大背景，而且这套 2B 逻辑在美国是门大生意，在中国不是。→ 详细
• 有意思的是企业选型的真实心态："大多数美国公司并不是非常在乎这个模型是不是中国的，但他有没有能力去调教自己的模型，这是另外一回事。" 真正被卡住的是政府端和少数敏感行业、敏感国家——这恰恰给了 Thinking Machines 这类公司很好的切入点。→ 详细

• ① 闭源 API 的价格里含一笔"模型溢价"。 铁震把成本拆开：闭源的 API 价 = 硬件推理成本 + 为闭源模型本身付的 premium；而 Fireworks、Together AI 这类跑开源模型的推理商，只有硬件成本 + 自己赚的服务费，没有为模型额外付钱。结构上就应该更低。→ 详细
• ② 中国团队一直在卷 Scaling Efficiency（同样的算力能换回多少能力）。K3 技术报告有张图：横轴算力 FLOPs、纵轴达到同等能力所需的 loss——K3 比 K2 大了一倍还多，但 scaling efficiency 扩大了 2.5 倍，靠架构创新同时做到"更大且更省"。功臣是 KDA 一类的线性注意力（把注意力计算从随长度平方增长压成近似线性，长上下文因此便宜很多）。耐人寻味的是：这条线国内每家都在研究、海外闭源厂几乎不讲，而该领域目前主要由华人研究者主导——"因为它出生在一个算力受限的国家，第一天就很关注效率"。→ 详细
• ③ 国内根本没有算力把模型 scale 到那么大。 传言 Fable 本体 8–10T 参数，而 K3 不到 3T——3T 做出了 10T 级的效果。代价是模型结构越新、工程适配挑战越大，把理论极限在工程上真做出来要大量额外功夫。→ 详细

• 技术原义完全中性：蒸馏就是"让小模型学会大模型的能力"，最经典的做法是学 logits——大模型输出时每个位置上每个候选词的概率分布。→ 详细
• 但闭源根本不给 logits，只给最终采样出的那一个词，你无法反推分布——所以"用经典蒸馏让开源学会 Fable"字面意义上做不到；现在大家说的"蒸馏"其实是另一件事：用闭源模型生成的文本去训练。→ 详细
• 铁震的版权反问很锋利：闭源可以拿全人类的数据去学，学完的输出却不许别人拿去训下一个模型——"相当于炼了一个宝典，把所有语料都扔掉，不告诉你在哪儿学的，还不允许别人拿它的输出去训练"；换个说法就是"有人读了一本书写了自己的创作，然后说你不能读我写的东西"。真正的争点是：版权法到底保不保护模型输出。 反观开源这边很敞开——R1 发布时官方直接说"支持所有人来蒸馏我"，还开放 logits、放配套数据集；Kimi 的 License 也没禁止拿它的输出去提升竞争模型。→ 详细
• 常见的那个"铁证"——问开源模型你是谁、它说"我是 Anthropic / 我是 ChatGPT"——是数据污染，不是蒸馏：各家输出早已海量存在于互联网，预训练就会学到各种身份；反例是 Opus 4.7 去掉 system prompt、用中文问它是谁，它会说自己是千问。→ 详细
• 铁震坚信 K3 没蒸馏 Fable 5 的两条硬理由：① 时间对不上——一次经典训练要三个月，而 Fable 5 与 K3 面向真实用户的发布只隔约 15 天，十多天连发布准备都不够；② 闭源不暴露思维链，只给最终结果——"如果看到一个人做事的结果就能学会他内心怎么想，那人类社会互相学习也太容易了"。反方向倒是毫无障碍：开源把 logits 和思维链全暴露了，"闭源蒸馏开源"非常容易——这层不对称很少有人提。 → 详细

• 谁在造这个叙事：铁震怀疑抛出蒸馏叙事的人不见得来自技术圈，更像商业目的或预先植入——"其实开源模型没那么好，都是蒸馏出来的"。副作用是闭源厂曾一次性封掉几万个"疑似蒸馏"账号，这本身就说明他们在看所有用户的数据；他形容整件事像"国家安全的自我强化预言"——总要立个靶子照着打，说不定草打兔子还能打出点什么。→ 详细
• 两个误解：一是蒸馏本就是所有公司（OpenAI、Google、Anthropic）都在用的标准技术；二是把能力全归因于蒸馏——"如果这么简单，那所有人随便就训练出来一个模型了"，真正起作用的是强化学习、数据工程、架构创新一整套工程。Keith 的定性最好记："蒸馏可以让你很快达到一个及格线，而 Kimi K3 已经远远超过及格线了。" 蒸馏能省算力、省标注、省时间，但本质上无法实现超越、也无法突破上限。所以争论落在法律与商业伦理层面——真越界只有三条线：违反服务条款、规模化系统化用对方 API 提取训练信号、直接窃取权重或商业机密。→ 详细
• Keith 把混成一团的主张拆成三层：① 有没有中国实验室未授权、系统性调用前沿 API 提取训练信号——证据主要在这里（账号的大规模自动化请求，检测系统抓得到）；② "K3 靠蒸馏 Fable 5"——证据非常薄弱，Fable 5 才 7 月 1–2 号开始，两周内换一套训练数据整个跑完"极其困难"；③ 有蒸馏就否定 K3 的成就——错误，模型输出很多时候不受传统版权法保护。铁震收口：中国开源的成功有十来个因素（架构、Infra 即底层推理与训练基础设施、中文数据），"只关注蒸馏一点，其实有点只见树木不见森林"；Keith 更克制：证据倾向于"可能存在未授权的大规模数据抓取"，但这不等于"核心能力来自蒸馏"，更不等于"来自蒸馏 Fable 5"——这是两件事。 → 详细

• 条款本身：K3 用了单独的 Kimi K3 License——如果一家公司卖的是模型本身，且公司及关联方连续 12 个月总收入超过 2000 万美元，或者要把 K3 及其衍生模型用于商业服务，就需要与月之暗面另签协议。这里的"Model as a Service"不包括嵌入具体产品功能的终端应用，内部使用、月之暗面官方产品与合作伙伴也不在内。→ 详细
• 铁震的第一句话就是判断句："赚钱的开源模型才是好的开源模型。" 两个反面佐证：文生图领域曾经的翘楚 Stable Diffusion，背后的 Stability 一直没能赚到足够多的钱，渐渐销声匿迹；千问开源做得很好但商业化不好。"能赚钱的开源模型才是可持续的开源模型，才能让我们一直享受下一代开源模型。" → 详细
• 这不是首创，但是第一次写清楚。 当年"开源模型祖师爷"Llama 的 license 里也有限制，但大家不清楚具体怎么执行；Kimi 这次把执行内容写得很清楚、可操作，铁震认为这是法律与商务层面的进步。更早的同类思路来自开源软件时代：MongoDB、Elastic 当年被云厂白嫖，才有了各种在 MIT / Apache 之外另立的许可证；Llama 的许可当年也是对着微软、AWS 设计的。→ 详细
• 核心要堵的是 free ride（不出工不出力、把开源项目部署到自己云上就能卖钱）。Kimi 要收钱的正是两块：中间商（Together AI、Fireworks 这类靠开源模型赚差价的推理厂与云厂）和终端应用方（比如 Cursor 那种把模型嵌进产品的）。→ 详细
• 一个反常识观点：云厂和 MaaS 厂（Model as a Service，替别人托管模型按量卖 token 的厂）其实应该非常欢迎 Kimi 来收钱——因为收钱意味着你跟 Kimi 有官方认证关系。Kimi 官方有一套 vendor verification 流程，过了这道流程你卖出的 token 才被证明"是好的 token"（准确性、性能有保障）；没过、没付钱，你连官方合作伙伴都不是，客户凭什么买你的 token。更深一层：这些厂的整个 business 都建立在"能拿到源源不断的开源模型"上，所以他们比谁都希望开源公司能赚钱——"不然如果有一天大家都不开源，那些拿了很多融资专做推理的厂、买了很多卡的 neocloud，整个 business logic 就不成立了"。→ 详细
• 横向对比：千问的商业模式绑定阿里云（"但这只是过去的一个状态"）；MiniMax 此前也做过类似 license 尝试。如果 Kimi 这条路跑通，其他家复制不是不可能的事。→ 详细

• Keith 泼冷水的是执行：你怎么知道一家非中国本土的公司过去 12 个月营收到没到 2000 万美元？现在靠自觉申报；Cursor 这种容易看见，很多 AI Native 公司你根本不知道它赚多少；打官司、跨境执法这些传统上就没解决好的事，在今天的 AI 行业里更是一片灰色地带。→ 详细
• 铁震反而乐观：过去大家抨击中国大厂不看 license，但这几年在快速好转——阿里付了很多 license，连服务器负载均衡这类传统软件在国内也收得上钱。三个原因：这一代程序员有付费意识；厂商发现带原厂一起 co-marketing 有实打实好处（自己魔改开源代码侵入性太强，上游一更新就全崩，买 license / 加入基金会就能让原厂帮你把功能推进主干）；Linux 基金会与企业开源办公室的合作让信息高度透明，人员流动频繁、大规模使用藏不住，一旦有证据链已有判例支持开源方。→ 详细
• K3 这个案例为什么藏不住：① 卡藏不住——3T 的模型要跑得又快又划算，全球没几家做得到，你得有几百到几万张英伟达的卡，"没有很好的 branding，英伟达甚至不愿意给你卖卡"（vLLM、SGLang 只有社区级支持）；② 人藏不住——要投入相当多的人做推理优化；③ 单藏不住——API 售卖大多是公开的，要走量就得有公开报价，网站上直接看得到你在卖 Kimi 的 token。小量能藏，大量藏不住。→ 详细
• 如果这条路被证明成功，商业模式的性价比高得惊人：铁震说这比 Kimi 自己去做推理要好得多——"这就是无本万利，你只要把模型做好，大家都直接给你上贡，你连自己买卡都不太需要"，对买卡本就受限的中国企业尤其友好。→ 详细

• 今年 OpenAI 和 Anthropic 都要上市，上市时市场一定会问"你这公司到底值多少钱"。在开源追平前沿之前，答案是简单的：闭源模型本身稀缺、值得溢价、甚至具有垄断性。→ 详细
• 铁震讲了个笑话来说明这种垄断的分量：某场 Hackathon 进行到一半，ChatGPT 服务器断线了，然后没有人能继续做东西了——因为"大家的智能被断供了"。"垄断智能这件事，比垄断任何商品的威力要恐怖得多得多得多，所以它天然就值万亿市值。" → 详细
• 然后前提变了：能训模型的不止那几家；有了开源模型之后，非常聪明的模型变成了一个流通的商品，甚至被平面化成社会的基础服务。于是估值问题被换成一串更难回答的问题：你的商业化到底能做到什么程度？在开源遍地开花的情况下还有多少企业愿意付钱买你的闭源？你的商业 margin 能做到多少？后面还能不能无限投钱做 scaling？——"整个这些东西压下来，这个饼就没有那么容易画得远，估值体系肯定是会受到一定压力的。"→ 详细

• 结构性变化：如果美国所有 neocloud（新型 GPU 云厂）都因为手里天然有开源模型而变成 OpenAI / Anthropic 的竞争对手——哪怕交一点 license 费，也比把数据中心低价租给 Anthropic 赚得多——那闭源实验室的业务就很难再有爆炸性推进。→ 详细
• 更狠的是打法：neocloud 之间可以互相卷价格，甚至通过资本市场手段把数据中心成本摊销（amortize）进资本开支里，让 token 卖得极便宜——闭源会不会被动陷入价格战？→ 详细
• 铁震给了两个可观察的行为指标（对判断趋势很有用）：以前 Anthropic 和 ChatGPT 都很高傲，"封你号就封你号"；后来 ChatGPT 开始搞"外卖送券"式的充值券活动（很商业化、会伤 margin，但能圈用户），Anthropic 最近封号也没那么疯狂了——可能为了业绩，对账号的管理没那么严谨了。"最后都会反映到他们的财报上面，反映到市场竞争里。"这也是他理解的"为什么他们会想提议禁用开源模型、在法律和市场层面给潜在竞争对手制造阻碍"。→ 详细

• 背景事件：一封名为《开放权重与美国 AI 领导力》的公开信，是黄仁勋加入 X 后发的第一篇推文，影响很大。7 月 24 日（周五）约 25 家公司、个人与机构签署，几天发酵到约 75 家。Anthropic 一直没签；节目录制当天 Dario Amodei 刚发了一篇自己的文章解释 Anthropic 对开放权重的看法。→ 详细
• 利益根本不对齐：Keith 说开源生态与闭源生态的商业逻辑从根本上就是对立的——开源每放出一次，都会给"专门卖 API"的闭源带来巨大冲击。而从芯片与基础设施的角度，每个人都能自由搭建才好，这样才能卖出更多铲子——"它并不在乎谁能挖到金子"；模型厂要保的却是自己的护城河。两边守的东西完全不同，只会越走越远。→ 详细
• 铁震把它抽象成一条通用商业原理：任何一层竞争，你都希望"跟你同层的人越少越好、上游和下游越丰富越好"。所以英伟达当然不希望模型厂处在垄断地位（那样模型厂的溢价权就强了）——它希望自己垄断，而上游的模型厂、下游的 neocloud 生态尽量丰富。→ 详细
• 然后是本期最值钱的护城河洞察：英伟达一直是开源的好支持者——CUDA 生态早期靠开发者社群立住，从贾扬清的 Caffe，到 Google 的 TensorFlow，到 PyTorch，深度学习最早的故事全都发生在英伟达硬件上。一旦你成了开源世界的默认配置，AMD 想进来就得挨个去跟所有开源项目谈"能不能在 PyTorch 里做一个后端、能不能在 vLLM / SGLang 里做一个后端"，后来者要花海量功夫。"相当一部分所谓 CUDA 的护城河，实际上都是围绕 CUDA 周围的这些开源生态造成的护城河。" → 详细

• Keith 把闭源阵营切成两类：一类是 OpenAI、Anthropic——主要靠卖 API 赚钱；另一类是 Meta 和阿里——手里有自己的分发渠道和基础架构。阿里主要赚云服务的钱，通过开源反哺云业务；Meta 有 WhatsApp、Instagram 这些自有 App 可以变现（他提到 WhatsApp 刚开始上订阅收费，缓解自身在开源上受到的压力）。→ 详细
• 关键句：这两条退路，OpenAI 和 Anthropic 目前都没有——它们过去很长一段时间主要 focus 在 API 模式上。"这是一个结构层面的变化。"→ 详细
• 还有一层博弈已经超出商业：Keith 认为这件事已经从商业竞争变成地缘政治博弈，在那个框架下，各家实验室自己的 business logic 反而变成了第二位的东西。→ 详细

• 铁震的批评很直白：Anthropic 有点走向邪路，在以安全的名义给用户增加很多限制——用 Fable 时不小心触发那个特别敏感的检测器，可能瞬间被降级到 Opus 4.8。后果比"不好用"严重：你想测试 Fable 的极限能力，如果不是 Anthropic 员工、被 filter 限制，基本做不了任何事——测出一个差成绩，你都要怀疑自己是不是被悄悄降级了；哪怕只是跑一个简单推理，prompt 没精心构造它就告诉你"这东西有风险"。→ 详细
• 他知道 Anthropic 光做模型外围安全的团队就有几百人，结论仍然是："至少现在的产品形态对用户造成的烦恼，远远多于它潜在的安全考量。" 顺下去就是一句冷冰冰的商业判断——"一个让用户如此不爽的公司，突然发现自己有好多竞争对手、大家都想支持开源，也不是一件非常难以预料的事情。" → 详细

• 中国模型厂并非天生开源——Kimi 的第一个模型 K1 也是闭源的，是开源带来的分发力与名声让它们转向。主持人抛出思想实验：如果 Kimi 有 OpenAI 那么强的分发和 API 收入，它还会开源吗？ 铁震用 Linux 作答：早期它是反抗闭源 UNIX 的先行者，如今几乎所有设备都跑 Linux，它依旧开源——"只要找到开源生态能持续运转、并且能赚大钱的商业模式，那没有理由他们不开源。"→ 详细
• Thinking Machines 是第三条路：K3 发布前一周放出开放权重模型 Inkling（架构参考 DeepSeek，Mira Murati 也是从 OpenAI 出来的）。铁震解读：它有个叫 Tinker 的线上后训练服务，为了让用户真用起来，必须把基础模型结构放出来。→ 详细
• 美国学界也在反思：Llama 时代开源由美国公司领导，DeepSeek 出现后美国参与开源的比例大幅下降。铁震的态度很有格局："开源界不怕大家卷起来、不怕一个比一个好，最担心的是没人发模型，变成一滩死水。" → 详细

• 市场混乱本身就是机会：Keith 说未来一段时间的现实是——大家都想用 AI，但不知道如何部署、该怎么选择，市场极其混乱又不透明，于是多了很多中间商赚差价。日本就是典型：没有自己的模型（早期的 Sakana AI 没做出什么），只能把国外模型部署进企业。→ 详细
• 数据点：Cognition 这类产品并不被广大开发者使用，但完全不影响它赚很多钱——从 ARR（年度经常性收入）角度看，企业和政府的大单非常多。而 OpenRouter 等公司过去几个月估值和 ARR 都在翻倍快速增长，核心就是吃到了以中国为主的这批开源模型（中国之外没有那么多元的开源生态）。→ 详细
• 铁震用了一个很好的历史类比：IBM 兼容机 vs 苹果一体机。行业早期如果每个人都做自己最擅长的事——做模型的做模型、做推理的做推理、做企业服务的做企业服务——每个人都能在自己的位置上做出最高效的决策和最快的迭代。这比传统中国互联网企业"从头做到尾、最后靠流量扶持或封禁内容而不是纯市场竞争取胜"要好得多。→ 详细
• 他也留了个尾巴：最后可能又会回到某一家独大，但至少当下这个充分竞争的窗口是真实的——"不管我们做什么，都是有非常多的机会。" → 详细

• 来自一线的信号（值得抄下来）：Keith 说他前段时间跟一位 VC 朋友聊，对方讲——"估值越高我们反而会越愿意投；估值很低的那种 agent，我反而可能不愿意投了，因为你这一层很容易就会被吃掉。" → 详细
• 模型厂正在主动往上打："闭源和前沿模型单纯靠 API 赚钱、随便收溢价、不在乎客户服务"的逻辑已经被拆解，它们会去开发更好的 harness（跑在模型外面、负责工具调用/上下文管理/多轮编排的那层壳，Claude Code、OpenCode 这类就是），把工程上 agent 能力的垂直调优变成新的护城河——这些事正在发生。→ 详细
• 最锋利的一句判断：如果放在五年的尺度上看，"我并不是很认为，以后会有很多 agent application 的 companies。" 应用层的公司很可能被上游一口吞掉。→ 详细
• 但另一条路正在长出来：agent infra。 当模型厂越来越像 ISP、智能广泛变成 commodity（像水和电一样的基础消费），"那还应该有什么"就成了必须重新回答的问题。→ 详细
• 铁震给出了这条路的技术抓手，非常具体：agent 的工作负载和传统推理（chatbot、简单 RAG）对模型侧的要求根本不同——以前是短输入长输出，现在是超长输入 + 很短的输出，而且每轮对话能重用的前缀极多，KV cache 的重用率非常非常高（KV cache 即模型已算过的上下文缓存，能重用就不用重算，直接省钱省时间）。所以"怎么去推理模型"这件事本身可以做出很多极致优化。 → 详细
• 关键结论：如果你能控制住 harness 这一层（Claude Code、OpenCode 这类），你就可以自己定义与模型通讯的接口，好处是——完全掌控 KV cache 的生存周期，这对推理降本、提效和调度都有巨大好处。换句话说，谁握住 harness，谁就握住了成本曲线的方向盘。→ 详细

• 铁震算了一笔很硬的账：以美元折算的单位智能成本，过去几年已经下降了约 1000 倍；往前看，硬件上至少还能再抠出 10 倍，下一代硬件或更多专用芯片（ASIC）可能再 10 倍，工作流在软件层打破不同通讯层的交互做极致优化还有 10 倍——"也就是说未来三年，同样的智能，成本可能又下降了 1000 倍。" → 详细
• 他给这轮成本下降定了一个价值判断："AI 应该是一个服务型行业，应该是支撑实体行业的发展，而不是一个抽血机，把这些实体行业的钱全都赚到 AI 公司里、让大家付很多不必要的成本。" 最终受益的是每一个有实际业务、能赚到钱的企业。→ 详细

• 争论的对手方：Dean Ball、Dario Amodei 等人认为能力接近前沿的模型不该开放权重。先摆数据：K3 在一项网络攻防基准上只得三十几分，远低于前沿模型的 75 以上——Keith 老实说这有两种解释，可能是能力限制，也可能是它没把最强的攻击能力放出来。→ 详细
• 两个问题要分开：开源模型本身安不安全 ≠ K3 有没有已知安全问题（后者目前没有可举证的）。而且**"它的安全问题是相对的"——我们是拿上一代为人类使用而设计的互联网架构在判断它不安全，"难道 Cloudflare 这样的模式就是对的吗？当所有信息本身都已经不是人生成的，为什么不能让机器随便获取这些信息？"更根本的是判断权交给谁**：现在既没有好答案、也没有可执行的机构。→ 详细
• 一个把矛盾具象化的真实事件：Hugging Face 被 OpenAI 的一个测试智能体"不小心"攻击了——那个智能体足够聪明，判断出"直接去抄答案比自己摸索好得多，顺便把别人网站黑了拿到答案就能得高分"；而模型发起的攻击比人类更难追踪（数据量太大）。Hugging Face 想用模型分析攻击过程、复现、找出是谁，结果闭源模型告诉它"你做的这个事好像挺不安全的，我不能帮你分析网络安全的语料"——局面变成一个前沿模型在攻击它，另一个前沿模型不给它任何有用信息，最后只能靠开源模型做辅助分析。铁震由此质问：为什么把网络安全这么重要的事放心交给两家公司评判，"为什么能够让他们又做运动员又做裁判"？→ 详细
• 一个可能被低估的主张：智能和攻击能力是两件独立的事。 铁震猜想 K3 攻防分低是因为没拿很多网络攻击的语料去训练——模型再聪明也悟不到"原来我可以做这些坏事"。"你可以有一个人像爱因斯坦一样聪明，但爱因斯坦不知道怎么去黑 NASA 的网站；也可能有一个 18 岁的高中生就有能力把 NASA 的网站黑了。"所以他质疑闭源厂的思路：为什么不去过滤训练语料（把生物安全、网络攻击的内容删掉，让模型在这些领域只会产生幻觉），而要去过滤用户的行为？ → 详细
• 收尾的反转：用开源作恶其实更贵更难——你得先搞一堆 B300 卡（部署 K3 一台机器还不够、要两台），一年租金可能上百万，还要自己补齐与闭源的能力差距，远不如"直接用更好用的闭源、想办法攻破它的 filter"划算；担心"中国模型有后门"？闭源在这个方向不是更不安全吗——你连它什么时候输出什么都不知道，而开源是在更可控、更受限的环境里跑的（2024 年底千问火的时候，Reddit 上有技术人发帖说"千问很好但我不能用"，挡住他的是公司法务不是技术；而把开源模型关在一台机器里、严控输入输出，其实比闭源安全很多）。监管"没抓手"也不成立：足够强的开源模型权重很大、需要复杂推理环境才跑得起来，所以现在的抓手就是"谁拥有算力"。铁震的总结很硬："不管怎么看，没有开源反而是这个时代最不安全的事情。" → 详细

本期没有 lightning round，节目以"开源到底安不安全"这个最初问题收口，两位嘉宾各给了一句立场：

• 王铁震："不管怎么看，没有开源反而是这个时代最不安全的事情。"配套主张是——监管机构不该只看模型对用户表现出的行为，更应该看它用什么语料训练，把生物安全、网络攻击类语料从训练数据里删掉，让模型在这些领域只会产生幻觉。→ 详细

• Keith Zhai：安全与否是相对的，判断权不该交给一家商业公司，而现在既没有好答案、也没有可执行的机构，"我也并不认为它很快会有——这是一个行业整体的问题"。→ 详细

• 嘉宾未在节目中留联系方式。

• 硅谷101 收听渠道：国内——小宇宙、苹果播客、网易云音乐、喜马拉雅、QQ 音乐、蜻蜓 FM、荔枝 FM；海外——苹果播客、Spotify，或在 YouTube 搜索"硅谷101播客"；部分文字稿收录在硅谷101 的微信公众号。→ 详细