Anthropic拒签黄仁勋联名信：开源权重之争背后的安全逻辑与行业博弈
联名信风波：一场关于“开放”定义的错位对话
2026年7月，英伟达创始人黄仁勋在个人社交媒体平台发布了一封支持开放权重模型的联名信，迅速在AI社区引发剧烈震荡。这封由NVIDIA、Google、OpenAI、Meta、Microsoft、Mistral及Hugging Face等巨头联署的文件，核心诉求明确：呼吁机构在发布大模型时，将训练完成的参数文件公开，允许开发者下载、部署、微调及二次开发。
然而，名单中唯独缺席了Anthropic。这一“漏签”行为立即引发了开发者社区的强烈反弹。Anthropic研究员Julian Schrittwieser随后在社交平台回应，并未直接否定开放权重的价值，而是通过类比CUDA、Windows等封闭基础设施，质疑“开放”标准的统一性。工程师Atharva Ingle则迅速列举了微软和英伟达已开源的项目，指出Anthropic在MCP协议开放与Claude权重封闭之间的双重标准。Reddit等社区更是将矛头指向Anthropic的“信任危机”，认为其正从挑战者沦为唯利是图的封闭巨头。
然而，若剥离情绪化的站队，这场争论的本质并非简单的道德审判，而是对“开放”这一概念在不同技术层级上的认知错位。权重、协议与运行环境，构成了这场争论的三条平行线，各方看似在争论同一件事，实则指向完全不同的工程边界与安全逻辑。
签的是什么：从“API黑盒”到“权重白盒”的技术跃迁
联名信所倡导的“开放权重”，并非要求所有模型无条件公开，而是主张将“开放权重”作为一种合法的模型发布范式存在。要理解其意义，需对比两种模型交互模式：API调用与本地部署。
在传统的API模式下，开发者仅能发送请求并接收结果。模型内部运行的版本、推理参数、安全过滤规则及系统提示词，对开发者而言是黑盒。这种模式虽然便捷，但限制了开发者对模型行为的深度干预与验证。
开放权重则意味着开发者获取了模型的参数文件。这一转变带来了三个核心工程价值：
- 量化与效率优化：开发者可根据硬件限制，对模型进行量化处理，降低显存需求，实现边缘端部署。
- 领域微调与蒸馏：通过微调，模型可适配特定垂直领域任务；通过蒸馏，可将大模型能力迁移至小模型，提升推理效率。
- 可复现性与安全审计：研究人员可固定模型版本，反复测试其在不同修改下的行为变化，验证安全规则的鲁棒性。
因此，联署公司并非承诺公开最强模型，而是认可一种分级开放策略：经过能力评测、风险可控的模型，应允许以权重形式交付。这也解释了为何OpenAI等以API为主的公司愿意签署——它们可保留前沿模型的黑盒属性，同时支持成熟模型以开放形式存在。
为何愿意签：技术可行性与风险可控性的三重判断
名单中多数公司支持开放权重，基于以下三个技术判断，认为该模式在部分场景下具备可行性：
第一，能力评估优于形式标签。 模型是否适合开放，应基于其具体能力而非“是否公开”这一标签。例如，用于文本整理的小模型风险较低，而具备复杂网络操作能力的模型风险较高。通过发布前的渗透测试、安全边界测试，可筛选出适合开放的模型，实现“部分开放、部分封闭”的混合策略。
第二，权重开放是深度安全研究的必要条件。 仅通过API测试，研究人员难以区分模型行为变化是源于权重更新、提示词调整还是分类器变更。获取权重后，研究人员可固定版本，测试量化、微调或模型合并后的安全表现。例如，验证4位精度量化是否导致安全拒绝行为失效，或多个模型合并后原有防护是否依然存在。这种深度复现能力，是仅靠原厂测试无法覆盖的。
第三，安全系统可与模型权重解耦。 模型负责内容生成，而输入检查、输出过滤、工具权限控制等安全措施可部署在模型外部。权重公开后，部署者仍可添加分类器、限制文件访问权限并记录异常调用。联署公司倾向于认为，风险可通过外部部署配置进行缓解，而非必须依赖原厂控制。
Anthropic的顾虑：安全控制权的不可让渡
Anthropic未正式解释缺席原因，但从其技术路线可推断，其核心顾虑在于“模型离开原厂服务器后，安全措施的可控性”。
Claude的安全架构不仅依赖训练时的对齐，更依赖运行时的持续监控。Anthropic在服务器端实施输入输出检查、异常请求识别及账户调用限制，并通过动态更新分类器或替换模型版本来应对新威胁。这些措施的有效性，建立在模型运行于Anthropic可控环境的基础上。
权重公开后，这一控制链断裂。外部部署者可移除分类器、修改系统提示词或进行微调，Anthropic无法掌握副本的处理内容，也无法强制推送安全更新。更严峻的是，大模型的安全训练通常仅抑制特定回答，而非消除底层知识。微调可能削弱拒绝行为，导致发布时通过安全测试的模型，在修改后失效。早期版本、量化版本和微调版本可能长期存在，原开发者无法确认其防护状态。
这与联署公司的逻辑形成鲜明对比：后者认为可通过能力评测筛选模型，并由外部部署者配置过滤；前者则认为，对于高能力模型，现有测试不足以支撑其在长期传播和修改中的可控性。
结语：从“是否开放”到“开放哪一部分”的范式转移
Julian Schrittwieser将CUDA、Windows和MCP拉入比较，恰恰揭示了“开放”并非单一开关。权重、协议、运行环境和应用代码，公开后带来的影响截然不同。MCP作为协议开放，不交出模型能力；而权重开放，则赋予使用者独立运行和修改模型的权利，对原有安全控制构成根本性挑战。
Anthropic的缺席，并非对所有开放技术的否定，而是对开放前沿模型权重的保留。它质疑的是：发布前的评测，是否足以支撑一份模型权重被长期、不可控地交给外部使用？
这场争论没有赢家，也没有输家，但它将行业讨论从二元对立的“开放vs封闭”，推进到了更精细的“开放哪一部分”、“如何分级开放”的技术深水区。未来，大模型生态的健康发展，或许不在于谁更开放，而在于谁能建立更完善的分级开放标准与安全治理框架，在创新效率与安全伦理之间找到动态平衡。