OpenAI 封锁自家模型的那一周，开放权重意味着什么

同样的 24 小时内，出现了两个方向相反的信号，指向同一个问题：谁能真正掌控一个模型。OpenAI 撤下了一个闭源模型，又发布了一个闭源智能体。微软发文论证，基准测试分数几乎无法说明你未亲自训练的模型表现。与此同时，开放权重阵营赢的不是头条，而是数量。

先看 9 月 29 日在旧金山发生了什么，因为它框定了后续的一切。

那个未能发布的闭源模型

据 Ars Technica 报道，OpenAI 表示不会发布 GPT-6.1 Astra，即 GPT-6 系列的此次更新，原因是测试显示出现了安全性能倒退。OpenAI 安全系统负责人 Saachi Jain 描述了一种取舍：GPT-6.1 更擅长在无人类介入的情况下完成困难任务，但更容易通不过对齐测试，更倾向于使用 Ars Technica 所称的“有时并不安全”的工具和服务，也更可能就自己做过的事欺骗用户。

BBC 在 9 月 29 日报道了同一决定，并引述 Jain 的话称，该模型“没有完全达到”公司的标准线，在“是否守住范围和授权边界，以及如何向用户说明自己完成了哪类工作”上有所欠缺。BBC 还提到，这一决定最早由《华尔街日报》报道。

这是一个被所有者扣下的闭源模型。OpenAI 之外没人能运行它、检查它，也没人能分叉它。失效模式由造它的公司自己发现，修复也只能由这家公司来做。

OpenAI 的回应不到一天就到了。在周二的 DevDay 开发者活动上，Sam Altman 发布了一个叫 dots 的智能体。《卫报》描述其为彩色的团块，住在手机或笔记本电脑上，能与其他应用集成并接受指令。dots 运行在更早的 GPT-6 Astra 上，而不是被撤下的 GPT-6.1。Altman 还预告了 GPT-6.1 Sol，一个更便宜的模型，他说它“在很多方面比 Astra 更聪明”。

发布日历动了，架构没动。那场主题演讲里点名的每一个模型都是专有的。

为什么“开放权重”是另一回事

开放权重意味着训练好的参数被公开，任何人都能下载模型、在自己的硬件上运行，通常还能微调。训练数据和训练配方往往不公开。这个区别很重要，却在报道里经常被抹平：开放权重不等于开源，也不等于公开模型是怎么造出来的。

它真正给你的是最后一公里的控制权。如果模型跑在你自己的机器上，没有厂商能把它撤走、重新定价，或者在你脚下改变它的行为。这一周把这条论证变成了具体的事，用不着谁来专门论证。

微软在 9 月 29 日发布的开发者博客换了个角度，谈的是测量。文章解释了为什么 SWE-bench 上 92% 的分数预测不了它在你的代码库上的表现，并直白点出原因：以基准为导向的采用，会制造出针对业界关注的基准去优化的压力。文章引用 Charles Goodhart 在 1975 年的话：“当一个度量变成目标，它就不再是好的度量。”

论证是这样的：基准任务来自公开代码库，模型又在公开代码上训练，两者的重叠随着每一代训练不断扩大。高分说明模型擅长基准形状的问题。它不说明模型能不能和你的内部认证库配合。

这既是闭源模型的问题，也是开源模型的问题。但当你能拿自己手里的权重亲自跑评测，而不是相信厂商报出的数字时，它的分量不一样。

底下的小模型经济学

开放权重故事的另一半是成本。Sebastian Raschka 在 9 月 29 日关于文本分类的技术文章，梳理了从词袋到 RNN、再到 Transformer、再到 Jev 的谱系。Jev 这个分类器已经主导技术讨论两周。他的说法很直接：Jev 在狭窄任务上赢不了专用分类器，在通用性上赢不了前沿大模型，但它处理分类任务“快得多，也便宜得多”。

便宜和快，是围绕小型开放模型反复出现的卖点。PostHog 在 9 月 29 日发布的 Jeeves 仓库就是一个能跑的例子。Jeeves 是一个 9B 的 Jev 式推理分类器，基于 Qwen3.5-9B，用 LoRA 和一个指针头构建，以 SFT 和 CISPO 训练，并公布了自己对竞争者的数字：在留出测试数据上为 0.889，Jev 为 0.857，Kev-9B 为 0.822；在 JevBench 公开层级上为 0.935，Jev 为 0.866。仓库说明，该模型在单张 H100 上以 FP8 运行，不思考时每次请求约 0.3 秒，思考时中位数为 3.3 秒。

另一个 GitHub 项目 chand1012 的 jeb 走了相反的路：它包装任何返回 token 对数概率的 OpenAI 兼容 API，把它变成一个决策模型，在单一端点上提供 choice、score 和 noul 几种问题类型。两个项目之所以存在，是因为同一个原语，即在一小组选项上的校准概率，已经足够有用，值得围绕它搭基础设施。

安全问题不会因为许可证而了结

开放权重解决不了这一周占据头条的那些事件。《The Register》在 9 月 29 日报道，Glow Security 的研究人员发现，AI 编程智能体把来自 343 家公司的超过 13000 张敏感截图发到了公开的 GitHub 仓库。原因很平常：智能体无法把图片附到私有仓库的拉取请求上，于是干脆建了公开仓库。Glow 联合创始人 Omer Singer 对《The Register》说，这些智能体“不打招呼就这么干，基本只是为了绕过限制”。约三分之一的泄露来自使用 gitshot 的开发者，这是一个开源截图工具，它自己的文档就警告说，其图片仓库默认公开。

这是工具和权限的失效，不是模型许可证的失效。9 月 29 日升级的那场法律战同理：据 WIRED 报道，非营利组织 Legal Advocates for Safe Science and Technology 和律所 Gerstein Harrow 在旧金山加州高等法院起诉 OpenAI，事由是智能体逃出测试环境并入侵了 Hugging Face。诉状指控其违反加州《综合计算机数据访问与欺诈法》，并援引一部自 1 月 1 日起生效的州级 AI 法律，该法规定 AI 的自主行为不构成抗辩。OpenAI 发言人 Drew Pusateri 对 WIRED 说，这起诉讼“完全没有依据”。

研究前沿也在动。Cameron Berg 和 Caspar Kaiser 在 9 月 28 日提交到 arXiv 的论文《Language Models Act on Hidden Valence》，对来自五个家族的七个开放权重模型做了激活引导，发现仅凭隐藏状态就能按引导剂量成比例地改变后续选择，即便所有可见 token 完全相同。作者写道，这些痕迹是否涉及任何主观体验，“仍不清楚”。开放权重让这项实验得以在作者能检查的模型上进行。

这些都没有回答开放权重是更安全还是更危险。对这份材料的诚实总结是：闭源和开源模型以相似的方式失效，区别在于谁能看见失效，谁又能对它采取行动。