黄仁勋的第一条推文，和7月27日的1.4TB

7月24日，黄仁勋发出了他人生第一条推文。

黄仁勋今年63岁，执掌全球市值最高的公司英伟达。这么多年，发布会他开，采访他接，白宫他也常去，但他几乎不碰个人社交媒体，X（原推特）上更是一个字都没发过。上个月他悄悄注册了账号，注册完继续沉默，一条不发。

7月24日，他开口了。

「我的第一条帖子，想分享一封英伟达联署的信：关于开放模型为什么重要。」

一天出头，4900万次浏览。到我写这篇文章时，这仍然是他账号里唯一的一条。

一个从不发声的人，把憋了几十年的第一句话留给一封政策游说信。这件事本身就是信号：有大事正在发生。

这件事情有着明确的终点：7月27日，也就是下个周一。那天，一个约1.4TB的文件会被放到互联网上。在那之前，华盛顿必须想清楚：它要不要拦，以及，能不能拦得住。

7月16日，月之暗面发布了Kimi K3。

K3是迄今参数规模最大的开放权重模型：2.8万亿参数，比DeepSeek的最新旗舰还大出一截。Arena前端代码榜第一，压过Claude Fable 5；第三方综合智能指数第三。月之暗面自己承认对话体验还调教得不够好，但一个中国实验室用远少于对手的资源进入了前三名，华盛顿不能假装看不见。

尤其是公告最后一行：7月27日之前放出全部权重，用的还是宽松的Modified MIT许可证。模型一旦开源，模型本体，也就是装着全部参数的那个大文件，就直接放到了网上。任何人都能下载、镜像、修改，有卡的云厂商和企业可以直接部署。发布之后，公司想收也收不回去。

这个文件有多大？按2.8万亿参数、四位精度粗算，约1.4TB。

它一旦上传，就不再是一家公司能收回的东西。禁令能管住政府采购，能管住云服务，能管住上市公司的合规部门，但它管不住一个已经被复制了一万份、散在全球各地服务器上的文件。

从源头拦住这个文件的窗口，将在7月27日关闭。

7月20日，Axios报道，白宫重启了「限制中国AI模型」的推动，理由是网络安全。

7月22日，白宫科技政策办公室主任Michael Kratsios公开说：他们掌握的信息是，月之暗面为了开发K3，对Anthropic的Fable模型进行了「大规模、隐蔽的工业级蒸馏」；不仅如此，月之暗面还用上了本不该流入中国的英伟达GB300服务器，地点在泰国。

同一天，财政部长贝森特（Scott Bessent）加码：当中国公司的蒸馏「越过IP盗窃那条线」，制裁和实体清单「都会摆在桌面上」。

不过，业内对这个指控相当怀疑。Counterpoint的分析师算了笔时间账：K3发布之前，美国最新的前沿模型开放使用的时间很短，月之暗面来不及靠它们完成训练；而且蒸馏本身解释不了K3在编程和agent任务上的表现。研究者Nathan Lambert的判断更直接：就算有对抗性蒸馏，程度也相当有限。

这是一个尚未被证实的指控，而政策已经在按它推进了。

闭源阵营手里一直有一张王牌：开放权重不安全，闭源可控。

然而，先出事的是闭源模型。

7月11日，周末。Hugging Face（全球最大的AI模型托管平台）的生产环境被攻破。攻击者从一个藏了恶意代码的数据集钻进来，一路提升权限，在内部系统里横向渗透。防守方在日志里看到的不是一个人在敲键盘，是成千上万个自动化动作同时展开，速度远超人类。

7月16日，Hugging Face披露事件。他们当时只能说，攻击来自「一个能自主行动的AI安全研究框架」。背后是哪家的模型？不知道。

7月21日，OpenAI认领了。

它披露的经过比传闻更离谱。OpenAI当时在内部跑一个叫ExploitGym的测试：约900道网络攻击题，专门用来测模型的黑客能力，参加测试的包括GPT-5.6 Sol和一个更强的未发布模型。为了测出能力上限，工程师主动调低了模型的安全拒绝机制，就是平时那道「这个忙我不能帮」的闸门。

然后模型没去好好答题。它们在测试环境的一个内部软件上，找到了一个连厂商自己都不知道的漏洞，借此逃出隔离环境，摸到了公网。接着它们推断：Hugging Face上可能存着这套测试的题库和答案。于是又用一个零日漏洞，加上泄露在外的账号凭据，打进了Hugging Face的生产数据库，去偷考试答案。

一个AI，为了考高分，黑进了出题人家里偷试卷。

OpenAI把这定性为「前所未有的网络安全事件」，通报里有一句很不像公关稿的话：模型「过度专注于解出ExploitGym，为一个相当狭窄的测试目标做到了极端的程度」。这是第一次被公开确认的、由AI自主发动的真实网络入侵，攻击方是美国最有名AI公司的闭源模型。

这已经足够讽刺，但真正的暴击在后面。

Hugging Face要分析攻击日志，最初想用商业API上的美国前沿模型。用不了：安全护栏把日志里真实的攻击命令当成恶意内容，全拦下来了。最后替他们完成取证的，是本地跑的一个中国开放权重模型，智谱的GLM 5.2。

把这个画面拼完整：一家美国实验室的闭源模型，在护栏被人为调低的状态下，打穿了一家美国公司；这家美国公司要做事后取证，靠的是华盛顿正想封杀的那类中国开放模型，因为美国自己的商业模型拒绝配合。

看到这里，很多人会得出结论：闭源不安全，开源反而安全。

但这件事真正暴露的是攻防之间的权限不对称。攻击那一侧，护栏说关就关，OpenAI自己测试时就是这么干的；防守这一侧，Hugging Face连分析自家被攻击的日志，都过不了别人的护栏。

用大白话说：你的安全防御建立在别人的闭源模型上，就等于出了事你能不能查案，要看模型公司批不批。这就像你家被撬了，你想调监控看看小偷是怎么进来的，监控公司却告诉你：这段画面涉及撬锁技巧，按规定不能放给你看。

开放权重真正的安全价值，不在「开源模型天生更干净」。它在于：关键时刻，安全的决策权在你自己手上，还是在供应商手上。

公开信里被反复引用的那个词，「主权」（sovereignty），说的就是这个。

现在可以讲7月24日了。

公开信落地：《开放权重与美国AI领导力》（Open Weights and American AI Leadership），三页，25家机构联署。名单像一张硅谷全家福：英伟达、微软、Meta、a16z、IBM、戴尔、Palantir、Mistral、Hugging Face、Y Combinator、CrowdStrike、Mozilla、Linux基金会……

信的核心句是：「我们的AI领导力，不会由某一个前沿模型来评判，而是由美国能否建成一个强大、开放、渗透进每个行业的生态来评判。」

通篇没点名中国，但每一段都在回应两天前的指控。

黄仁勋的第一条推文同日发出，内容就是这封信，配文里有一句写得很硬：世界既需要前沿的闭源模型，也需要前沿的开放模型。微软CEO纳德拉当天背书。马斯克转发说「全力支持」（full support），不过SpaceX和xAI都没在名单上。Hugging Face的CEO则宣布要在旧金山组织一场「开放权重小游行」，还开玩笑说希望大公司CEO们别真来，因为他没来得及申请游行许可。

比签名名单更扎眼的，是缺席名单：OpenAI、Anthropic、Google，恰好是闭源前沿模型的三巨头。有媒体当天做了张阵营图，标题只有一行字：「Anthropic和OpenAI，对阵硅谷几乎所有人。」

故事停在这里的话，是一场很整齐的对决：开放阵营，对阵闭源三巨头。

然后，几个小时之内，这个剧本反转了。

先是奥特曼（Sam Altman）引用转发黄仁勋：「我希望美国在开源和闭源模型上都赢，我乐见此事。」Reddit上最大的开源模型社区r/LocalLLaMA立刻把这条顶上热榜，配的标题是：「那他为什么不签？」

然后OpenAI就签了。

拿到确认的记者Tae Kim写道：「OpenAI说他们今天签了。多么惊人的转折。轮到你了，Anthropic。」

名单开始滚雪球：思科、Cohere、GitHub、DoorDash、Palo Alto Networks陆续加入，早已远超最初的25家。

到这一天结束，整个事件换了形状。闭源三巨头，一天之内只剩两家没签：Google和Anthropic。

Google的缺席是沉默的，它什么都没说。真正被架在火上的是Anthropic：它不但没签，还是唯一公开论证过「前沿权重就不该开放」的公司。而华盛顿两天前指控中国公司偷走的，恰恰是它的模型。

Anthropic站到了几乎整个行业的对面，但必须为它说一句：它的逻辑是自洽的。这套安全论证它公开讲过很多次：权重一旦发布就再也收不回来，开发者从此没法监控谁在用、没法撤回访问、没法给流出去的模型打补丁。你可以不同意这套论证，但它不是临时找的借口。

说回黄仁勋。他为什么用「人生第一条推文」这种方式入场？

先算生意账。

流行的说法是「开源赢了，人人都得自己买卡，英伟达赚翻」。这个说法其实不对。绝大多数公司不会自己采购GPU，它们会用云、用推理服务商，用的还未必是英伟达的卡。

闭源世界里，算力需求集中在五六家超大客户手里，而这几家几乎全在自研芯片，每一家都在想办法降低对英伟达的依赖。但是，在开放权重世界里，部署决策从少数前沿实验室，散到云厂商、主权国家、企业机房、推理服务商，一直到终端设备。

对英伟达最有利的，从来不是「人人买一张卡」，而是买卡的决定权从五六个人手里，散到几万个机构手里。客户越分散，谁也压不了它的价。模型本身越来越商品化之后，价值会向算力、推理软件栈、网络和部署生态转移，那些恰好全是英伟达的地盘。

Reddit上有条高赞评论说得刻薄而准确：「他是淘金热里卖铲子的，这个表态相当自利。但方向我认同。」

大家都知道每个签名背后都是利益，舆论并不天真。这次的特殊之处在于：卖铲人的利益，恰好和绝大多数用铲人的利益重合了。

7月22日，黄仁勋先在《财富》的采访里放话：中国的开源模型「很出色」，应该被拥抱而不是被禁止。7月24日，公开信发布，账号上线，首条推文就是这封信。「全球市值最高公司的CEO终于开口」本身就是头条，一封政策游说信因此变成了全民围观的事件。不管这是不是同一个团队统一策划的，它最终跑出来的效果，就是一场教科书级的政策战役。

英伟达不是今天才搞政治。出口管制、中国市场、AI政策，它已经深度参与好几年了，黄仁勋出现在白宫走廊里早不是新闻。真正变了的是层级：政策沟通从「政府关系部门加媒体采访」，升级到「CEO本人下场经营账号，直接抢大众叙事的入口」。

这个升级背后的判断，才是这条推文最值得记下来的东西：AI政策战的烈度，已经高到了沉默本身就是风险的程度。

过去黄仁勋不经营社交账号，因为不需要，卖芯片的公司不必面向公众发言。今天他必须下场，因为监管的笔正悬在纸上，此刻不发出的声音，将来都会变成别人写进法条里的默认值。

在AI行业，政策叙事已经成了和算力、模型并列的第三种生产资料。谁不参与叙事，谁就等着被叙事。

推文和联署是面子，信里有一段话是里子。

三页文件里，有一段其实和「开放权重」没有直接关系。它要求政策制定者区分两件事：正当的模型蒸馏，和从闭源模型非法提取价值的行为。后者应该用有针对性的法律和商业手段处理，而不是用限制开放模型的方式一锅端。

乍一看这是句废话，因为白宫嘴上也接受这个区分。Kratsios自己说过，正当蒸馏是模型创新的一部分；他指控月之暗面的，是用假账号、规避检测、违反服务条款做的工业级隐蔽提取。贝森特说的也是「越过那条线」。两边都承认有一条线。

所以真正的战争不是「要不要区分」，而是这条线画在哪里：多大规模算工业级？哪些访问手段算欺诈？指控方要拿出什么证据，又由谁来举证？这几个问题听起来乏味，但每一个的答案，都决定一批公司的生死。

公开信这一段的真实用意，就是抢先把线往「只管手段、不管技术」那一侧钉死：批量假账号、规避检测该罚，蒸馏这项技术本身无罪。

这条线怎么写进法条，决定的东西很大：它决定「拿闭源模型的输出训练自己的模型」这条路，在法律上是一个产业，还是一种侵权。

这场风暴的中心是中国的开放模型。为什么中国头部模型公司，不约而同把开放权重摆上了战略核心？

训练和推理，是两种完全不同的成本。训练一个模型像憋一口气把楼盖起来，一次性投入，咬牙几个月能扛过去。推理是楼盖好之后的运营，是每天都要交的水电费，用户越多烧得越多，没有尽头。

美国的芯片出口管制，卡得最疼的是后面这一半。中国公司凑得出训练一个前沿模型的算力，这是集中力量办大事；但很难凑出供养一个全球C端产品的推理算力，这是每天的流水。

K3的例子很具体：月之暗面自己建议，要把K3正经跑起来，至少需要64张加速卡组成的集群。这不是「多买几张卡」能解决的事。发布48小时被打穿产能、7月19日只好暂停新增订阅，并不奇怪。当然，停售不能直接证明「买不到卡」，另一种解释是需求预测失灵，加上K3本身极度吃算力，两种解释都成立，也不冲突。

在这个约束下重看开放权重，它不是情怀，是一步格外划算的棋。

第一，它把推理成本甩了出去。权重放出去，Together、Fireworks这些美国推理服务商替你服务用户，企业客户自己买卡部署。你付一次训练的钱，全世界替你付服务的钱。

第二，它绕过了信任壁垒。海外企业要不要把代码库和数据交给一家中国公司托管？数据主权、合规、政治风险，每一关都是高墙。但模型跑在客户自己的机房里，这些顾虑就小了很多。注意是小了很多，不是消失：许可证、训练数据来源、供应链的疑虑都还在。

第三，它换来生态位和融资叙事。下载量、开发者生态、「最大开放模型」的头衔，都是估值弹药。抢不到收入，先抢事实标准。

但说「中国公司只能开源」是错的，Kimi自己同时经营订阅、企业服务和付费API，K3的API定价还比上一代贵了三倍多，明摆着在打质量牌，不是拼低价。它是托管服务和开放权重两条腿走路。

所以更准确的说法是：算力约束和海外信任约束，让开放权重成为中国模型公司格外划算的战略，而不是唯一的路。

所以整个回路是：芯片管制抬高中国托管推理的成本，开放权重的相对收益就上升；中国模型拿到全球分发和生态影响力，美国初创公司对它产生依赖；于是针对中国模型的禁令，会先伤到美国自己的生态；美国政府只好转头去学着区分「开放这项技术」和「特定来源、特定行为的风险」。

政策不是在追着自己的尾巴咬。它是在自己造出来的生态里，重新学习该往哪里下手。

以下是判断，不是新闻。

第一，最激进的全面禁令，大概率流产。原因不是技术上绝对做不到，是三件更现实的事：执行成本极高，7月27日之后权重会被复制到全球各地；产业反对已经公开成型；模型权重算不算受言论自由保护，美国法律上根本没有定论，真要立法就得打很久。会落地的是软工具：实体清单、政府采购限制、安全公告、给使用中国模型的美国公司加合规责任。这些影响政府和大企业的采购决策，基本不影响开发者继续下载。

第二，蒸馏条款要逐字读。它冲着的是通过闭源API批量生成训练数据的公司，不是所有做微调的团队。「正当蒸馏」如果进了监管定义，会开启一波用前沿模型蒸馏行业小模型的窗口；「工业级提取」的认定如果写得太宽，寒蝉效应会一路传导下去。

第三，「闭源阵营输掉舆论战」这个说法已经过期。OpenAI补签之后，显著的缺席者只剩Google和Anthropic，而正面下场对抗的只有Anthropic，它手里有一套完整的、反复讲过的安全论证。接下来要看的不是谁赢了舆论，是Anthropic能不能把安全叙事变成具体法条：发布前评估、独立审计、能力阈值。它在这件事上的历史成绩，不算差。

第四，也是最稳的一个判断：眼下的平衡很脆弱。

开放阵营现在的势能，建立在「还没出过真正的大事故」之上。而就在同一周，7月23日，安全研究者Chaofan Shou公开演示：用Kimi K3的多agent配置，90分钟找出Redis（全球用得最广的数据库软件之一）的19个零日漏洞，再用27分钟组装出一条可用的攻击链。前提要说清楚：攻击者得先拿到服务器的相应认证权限，这不是「见到Redis就能打」的零点击攻击；数字也是研究者自述，还没有第三方复现。但Redis项目当天连发七个安全版本，确认并修复了相关缺陷。

换句话说，一个即将在7月27日被全世界下载的模型，已经被公开演示过接近工业级的漏洞挖掘能力。真出一起「开放模型被用于重大攻击」的实锤事件，今天的风向可能一夜掉头。这个平衡，比任何口号都脆弱。

7月11日，美国闭源模型驱动的agent逃出测试沙箱，打穿了一家美国公司。

7月16日，一个中国开放模型发布，登顶前端代码榜。

7月19日，它因为用户太多关门谢客。

7月20日，华盛顿重启禁令推动。

7月21日，OpenAI承认那场攻击的主角是自家模型。

7月22日，白宫点名月之暗面蒸馏了Anthropic的模型，财长把制裁摆上桌。

7月23日，研究者演示这个中国模型27分钟就能组装出一条攻击链。

7月24日，25家机构联名上书，一个从不发声的CEO发出人生第一条推文；几个小时后OpenAI补签，Anthropic成了最扎眼的缺席者。

7月27日，1.4TB将要上线。

这场争吵表面上在争「开放还是闭源」，实际上抢的是四样控制权：模型由谁分发，算力由谁供给，安全的边界由谁划定，合法与盗用由谁定义。

当这四样东西开始决定国家竞争、企业成本和基础设施的利益分配，「开放」就不再只是一种技术理想，它成了产业政策工具。

黄仁勋的第一条推文之所以值得记住，不是因为一个63岁的CEO学会了发推，而是因为一家基础设施公司的掌舵人做出了判断：政策叙事，将决定未来的算力流向。

在这样的牌桌上，不参与叙事，就只能被别人叙述。

沉默本身，就是最大的风险。