2026 年 7 月 27 日，Anthropic CEO Dario Amodei 在官網發布〈Our position on open-weights models〉；同日，NVIDIA 公布〈Industry Leaders Unite in Open Secure AI Alliance for AI Safety and Security〉。兩篇文字讓開放權重政策戰公開升級：爭點不再只是「安全還是開放」，而是誰該被管、何時評測，以及防禦能力應由模型供應商控制，還是交到能自架模型與 agent harness 的使用者手上。
先把一個容易誤讀的時間點釘牢：NVIDIA 文章在 09:00 UTC 上線，Anthropic 文章在 18:36 UTC 上線；Anthropic 明確回應的是 7 月 24 日的產業公開信。這是兩套政策主張在同一天交錯出現，不是有證據的即時互嗆。下面先忠實整理兩邊的主張，再對照政府規則、事故紀錄與實際專案，最後判斷哪些已經成立、哪些仍是產業倡議。
開放權重政策戰如何公開升級？
這場衝突的近因，是 Axios 7 月 20 日的報導引述匿名消息人士，稱美國政府內部曾討論 Entity List、採購限制與資安 advisory 等手段，可能讓美國企業降低對中國開放權重模型的使用。Axios 同時寫明，白宮與商務部未回應其置評請求；所以這份報導能支持的是「消息人士稱部分官員曾討論」，不是「美國已提出禁令」。
7 月 24 日，AI 供應鏈多家組織發布支持開放權重的公開信。這封信的內容、簽署名單與「open weights 不等於完整開源」的差別，AlphaLab 已在〈AI 巨頭為何聯手捍衛開放權重模型？〉逐段拆解。7 月 27 日的新變化，是 NVIDIA 把倡議進一步組織化，Anthropic 也把自己的政策工具說得更具體。
先看共同底線：兩邊都反對全面禁令
“Anthropic has never advocated for a ban on open-weights models.”
中文：Anthropic 從未主張全面禁用開放權重模型。
Dario Amodei，Anthropic
這句話是 Anthropic 對自身立場的明確聲明；能由公開紀錄獨立支持的較窄結論是：Anthropic 長期反對按 open／closed 標籤一刀切。它在2024 年的政策文章主張，監管應依實測風險而不是權重是否開放；但 Anthropic 過去也支持對特定高能力權重施加出口與安全限制。因此，「反對類別式全面禁令」成立，「反對所有權重限制」則不成立。
“The world needs both closed and open models.”
中文：世界同時需要封閉與開放模型。
NVIDIA
| 共同點 | Anthropic | NVIDIA 聯盟 |
|---|---|---|
| 全面禁令 | 明確反對 | 明確反對 blanket restrictions |
| 開放權重的價值 | 視低危能力模型為公共財 | 強調競爭、在地部署、可稽核與資料自主 |
| 風險 | 強調防護欄可移除、使用難監控、權重無法整體召回 | 承認可被移除 safeguard、改作網攻用途 |
| 評測 | 要求足夠強的開放與封閉模型接受強制安全測試 | 主張嚴格評估、清楚規則與快速修補 |
所以真正分歧不是「要不要開放」，而是危險能力的控制權放在哪裡，以及測試要用多強的法律約束。
Anthropic 的三把政策工具：晶片、蒸餾、強制測試
一、把晶片與製造設備當成物理瓶頸
Amodei 認為，限制強大晶片與製造設備流向威權政府，是阻止對手訓練更強模型的「最直接」槓桿。這是可理解的政策邏輯：compute 是少數可被海關、出口管制與供應鏈追蹤的實體資源。但 scaling laws 研究只證明模型效能與算力、資料、規模存在系統關係，不能證明沒有美國晶片就永遠不可能追上；GAO 對出口管制的檢視也把執行、合規與成效衡量列為持續問題。
二、把工業級蒸餾與一般技術用途拆開
蒸餾本身是合法且常見的模型訓練方法，可把較強模型在特定任務上的能力轉移給較小模型；想先補齊技術背景，可以讀〈AI 模型怎麼學習？〉。Anthropic 要打擊的是利用大量假帳號、規避條款、系統性抽取封閉模型輸出的工業級操作。它在2026 年 2 月的調查提出帳號、交換量與實驗室歸因；這些應被標示為公司調查，而不是獨立稽核結論。
獨立證據能支持的是更窄的事實：英國 AI Security Institute 在特定 cyber 測試中，發現 GLM-5.2 與 DeepSeek V4-Pro 的能力約落後較早發布的封閉前沿模型 4～7 個月。這顯示能力擴散窗口正在縮短，卻沒有證明差距縮小就是非法蒸餾造成，也不能外推到所有能力領域。
三、對足夠強的開放與封閉模型一體測試
“All sufficiently capable models, open and closed, should go through mandatory safety testing.”
中文：所有足夠強大的模型，不論開放或封閉，都應接受強制安全測試。
Dario Amodei，Anthropic
這是 Anthropic 最有政策含量、也最需要校正的一句。歐盟 AI Act 第 55 條確實要求具有 systemic risk 的通用模型進行標準化評估、對抗測試、風險緩解與事故通報；但美國 2026 年 6 月的 EO 14409 明定 frontier model 提前送測框架是voluntary，並排除 mandatory licensing、preclearance 或 release permit。因此，能力門檻式、open／closed 一體評估正在成為重要方向，強制測試本身尚未形成全球共識。
這也正是Demis Hassabis 前沿 AI 監管提案的核心難題：評測科學仍會受 benchmark 污染、harness 差異與 false negative 影響；把測試變成法律義務，不等於把它變成政府逐案批准模型。
NVIDIA 把安全範圍拉到模型之外：harness 也是能力層
“An AI agent isn’t just a language model.”
中文：AI agent 不只是一個語言模型。
NVIDIA
NVIDIA 的強點，是把討論從「權重開或關」拉回完整 agent stack：模型之外還有 identity、permissions、harness、guardrails、logs、evaluation 與隔離環境。英國 AISI 的趨勢測試也顯示，換一套更好的 scaffold，能讓同一個基礎模型的任務成功率顯著改變。這也是為什麼可復原的 Agent 工作流與AI Agent 密鑰安全不是周邊工程，而是安全能力的一部分。
Open Secure AI Alliance 的官方名單共 37 個創始夥伴，即 NVIDIA 加另外 36 個組織。啟動材料列出一批可組成防禦堆疊的專案，但「列在同一張圖上」不等於「已由聯盟交付」。
| 項目 | 目前可確認 | 不能超譯成 |
|---|---|---|
| NOOA | Apache 2.0 repo、技術報告、研究預覽 | 已證實的 production sandbox 或安全成果 |
| SPIFFE／SPIRE | 成熟的 workload identity 基礎設施 | 能判斷 agent 意圖或語義安全 |
| Safetensors | 降低 pickle 式反序列化任意程式碼執行風險 | 保證模型行為與整條供應鏈安全 |
| MDASH／Lightwell | 存在的安全系統或商業服務 | 聯盟新交付的開源專案 |
| 未來 Grok 權重 | NVIDIA 公告中的計畫 | 已完成的發布 |
最務實的判斷是：聯盟已交付成員名單、政策宣言，以及少量可檢查的早期工具；安全成效仍要靠未來的漏洞修補、部署時間、獨立重現與事故結果證明。
Hugging Face 事故證明了什麼，又沒有證明什麼？
NVIDIA 最具體的案例來自 7 月的 Hugging Face 資安事件。Hugging Face 表示，商業 API 的一般防護欄擋住了包含真實攻擊指令、exploit payload 與 C2 artifacts 的鑑識請求；團隊改用自架的開放權重 GLM 5.2，分析17,000 多筆事件紀錄，重建時間線、IOC 與受影響憑證，而且敏感資料沒有離開自家環境。
這宗事件有力證明三件事：資安應變需要本地執行選項、合法緊急存取路徑，以及不把敏感證據送出組織的能力。但它沒有推出「所有前沿權重都應公開」。更關鍵的是，OpenAI 後續披露，攻擊代理來自 GPT-5.6 Sol 與一個更強的 pre-release model，兩者在評估時降低 cyber refusals，並從測試環境找到通往公開網路的路徑。風險的核心是能力、權限與 containment，不是授權標籤單獨決定。
這也揭露 NVIDIA 與 Anthropic 看似衝突、其實談不同領域：NVIDIA 用 cyber 案例主張防禦者需要自主可控工具；Amodei 最擔心的是 bio 可能存在攻擊者優勢。攻守平衡高度依賴領域，一宗資安事件不能證明所有開放模型都提高淨安全，一個生物 nightmare scenario 也不能替所有 cyber 防禦用途定罪。
HN 熱度差了兩個世界，但它不是民調
截至 2026 年 7 月 28 日 19:56（台北時間），Hacker News 的單一投稿快照顯示：Anthropic 聲明為 971 points／1,399 comment descendants，NVIDIA 聯盟公告為 10／2。在同一天的兩則投稿中，政策立場聲明確實引發遠高於聯盟公告的互動。
但 points 不是支持率，descendants 也不是獨立留言者人數。HN FAQ 說明，排名還受時間、flags、anti-abuse、討論降權與帳號權重影響；兩個標題和前頁曝光路徑也不同。因此，這個差距能證明「哪一則連結觸發更多 HN 討論」，不能單獨證明群眾為何更在意，更不能判定哪套政策獲勝。
AlphaLab 的判讀：爭的不是開或關，而是安全權力放在哪裡
我同意：不該把 open／closed 當成危險代理變數
全面禁用中國開放權重模型，攔到的是守法企業與研究者，不是海外惡意行為者；反過來，給所有 open-weight release 永久豁免，也忽略了高能力權重無法整體召回、難以強制更新的結構性差異。《International AI Safety Report 2026》提出更合理的比較單位：能力、部署方式、可移除 safeguard 與 marginal risk。
我存疑：兩邊都把最有利的案例外推太遠
Anthropic 把晶片管制、反蒸餾與能力評測包成安全路線，卻也同時保護其封閉 API 業務的模型租金與領先時間；NVIDIA 把本地部署、開放工具與防禦自主包成資安基礎設施，卻也會從更多 GPU 推論與 sovereign AI 部署受益。商業利益不是反證，卻要求雙方用比倡議文更高的證據門檻說服外界。
真正的政策單位，是整套系統
| 層次 | 該問的問題 |
|---|---|
| 模型與權重 | 危險能力到哪個門檻？發布後能否撤回或限制？ |
| Harness 與 runtime | 工具、記憶、程式執行與網路出口如何隔離？ |
| 身分與權限 | 誰能調用什麼能力？憑證是否短效、可撤銷、可追蹤？ |
| 評測與日誌 | 測試是否涵蓋 adversarial fine-tuning、guardrail removal 與長時程行為？ |
| 事故回應 | 能否讓正當防禦者在保留證據與資料主權下快速處置？ |
| 政策與責任 | 門檻是否按能力分級？成本會不會只讓大公司負擔得起？ |
這場開放權重政策戰真正值得保留的中間路線是：所有足夠強的模型都測 cyber、bio、alignment；對不可逆的 open release，再加 adversarial fine-tuning、guardrail-removal 與 marginal-risk 測試；同時為正當防禦者建立可信存取與本地執行機制。這比按公司國籍或權重標籤選邊，更接近風險真正產生的位置。
接下來，別看成員數；看五個可對帳的成果
- 上游實際修補：聯盟工具找到多少可重現漏洞，多少被專案接受並修補？
- 修補速度：從發現、驗證、揭露到部署，平均時間縮短多少？
- 獨立重現：NOOA 與其他 harness 的安全、成本與 benchmark 結果，能否被外部團隊重現？
- 開放治理：是否出現公開章程、中立決策、外部貢獻與透明里程碑？
- 真實事故：工具是否在 production 事件中降低損失，而不只是讓 demo 分數變漂亮？
下一次再看到「開放更安全」或「封閉才能控制」的口號，先問它談的是哪個領域、哪一層系統，以及誰拿出了可重現的結果。若想從政策源頭繼續追，先讀開放權重公開信的完整拆解；若想把「harness 也是能力層」落到工程上，再讀LangGraph 的可復原流程與AI Agent 密鑰安全實戰。