开放权重的价值已经超出模型下载，开始进入主权与供应链设计
开放权重经常被简化成“可以免费下载模型”。对企业和国家级基础设施而言，它真正改变的是控制权：模型可以在自己的算力、网络和数据边界内运行，可以被定制、审计、冻结版本，也可以在供应商中断时继续服务。
但控制权不会免费出现。使用者同时接过了安全、许可证、更新、监控和算力运营责任。
先区分几个容易混用的词
- 开放权重：训练后的参数可下载。
- 开放源代码：推理、训练或工具代码可查看和修改。
- 开放数据：训练或评测数据可获取。
- 开放配方：数据处理、训练和后训练方法被披露。
- 开放许可证：权利和限制足够明确，允许目标用途。
一个模型可能开放权重，却不开放训练数据；可能允许研究，却限制某些商业或地域用途。采购与合规不能只看仓库是否公开。
开放权重带来四种控制
部署控制
模型可以运行在本地机房、边缘设备、专有云或主权云，满足数据驻留、低延迟和断网需求。
版本控制
企业可以冻结模型、量化、修改推理栈，并在升级失败时回滚。闭源 API 的行为变化和下线时间不再是唯一节奏。
定制控制
团队可以通过微调、蒸馏、模型合并、领域词表和安全后训练建立专用能力。对物理 AI、医疗、制造和小语种尤其重要。
审计控制
研究者可以分析权重、激活和安全机制，安全团队可以在自己的攻击数据上测试，而不受 API 速率和分类器限制。
风险也从供应商转移到使用者
权重供应链
模型文件可能被篡改、替换或夹带恶意加载代码。必须使用：
- 内容哈希与签名；
- 只读制品库；
- 安全格式；
- 来源和许可证记录；
- 下载、转换、量化的完整谱系。
运行代码
trust_remote_code、自定义 tokenizer、模型转换脚本和社区容器都是攻击面。权重开放不等于周边代码可信。
能力滥用
本地运行可以绕过服务端防护。高能力模型的开放部署需要自己的分类器、工具权限、网络策略、审计与事件响应。
更新责任
发现漏洞或偏差后，没有供应商自动替你修复。团队要能评估新版、回归、灰度和回滚。
建立 Model BOM
类似软件 SBOM，模型物料清单至少包含：
模型名称、版本、哈希
权重与代码许可证
基础模型和派生关系
训练/微调数据声明
量化与转换工具版本
推理引擎、内核和容器
安全评测与已知限制
部署位置和负责人
一个“同名 70B 模型”经过不同量化、模板和推理引擎后，行为可能明显不同。Model BOM 必须精确到实际制品。
评测主权比权重主权更重要
拿到权重却没有自己的评测集，仍然只能依赖发布者的结论。真正的自主能力包括：
- 领域任务集；
- 安全与越权测试；
- 多语言和本地法规场景；
- 性能、显存、功耗与 P95 时延；
- 模型升级回归；
- 红队和事故复盘。
评测结果应绑定具体模型哈希、模板、推理参数和工具版本。
开放与闭源不是二选一
一套现实的多模型架构可以是：
- 本地开放模型处理敏感、高频和可控任务；
- 云端强模型处理复杂、低频任务；
- 路由器根据数据等级、时延、成本和能力选择；
- 关键输出使用独立验证；
- 所有模型共享统一工具权限和审计。
这样既保留前沿能力，也降低单一供应商、跨境网络和价格变化风险。
政策讨论应区分能力与分发方式
把所有开放权重视为同一种风险过于粗糙。更合理的治理维度包括：
- 模型实际危险能力；
- 训练和推理算力门槛；
- 是否附带高风险工具链；
- 可追踪性和安全评测；
- 部署者的控制能力；
- 具体滥用路径。
关闭权重不会自动消除强模型风险，开放权重也不自动带来安全。真正关键的是能否建立透明、可验证、可追责的部署体系。
开放权重正在从社区偏好变成基础设施问题。下载只是起点，模型物料清单、评测、制品安全和运营能力才决定它能否成为长期可控的技术资产。