蒸馏权之争：追赶者省下研发成本，前沿实验室却收不回投入
2026 年的开放权重之争，常被讲成一场价值观之争：开源好，还是闭源好？这篇专题想换一个切口：把它看成一场关于"能力租金如何分配"的制度竞争。谁有权把昂贵的前沿能力蒸馏（distillation，用小模型学大模型输出的做法）成本国可控资产，这个被叫作"蒸馏权"的东西，正在成为国家向本土 AI 产业转移能力租金的准强制许可。我们会先拆掉"下载权重等于技术主权"的直觉，再用经济学证明蒸馏的实质是租金再分配，然后用 2026 年一连串争议事实验证边界，用资本证据检验主权叙事，最后落到一个可检验的制度方案。
一、开放权重免费下载，凭什么不等于技术主权？
2026 年 4 月，一场关于技术主权的讨论被一个排名点燃。据 CIGI 文章所述，当时短暂登顶 Artificial Analysis 的 Intelligence Index 开放权重榜的，不是 OpenAI、Anthropic 或 Google 的模型，而是北京 Moonshot AI 发布的 Kimi K2.6：免费下载、任意语言可微调，几乎没有任何西方政策制定者熟悉它。站在一位欧洲或东南亚官员的立场，这看起来像一条摆脱美国 API 依赖的捷径：把权重下载进本国机房，是不是就拥有了自己的 AI 技术主权？加拿大智库 CIGI 学者 Rafal Rohozinski 在 2026 年 6 月的文章里给这种直觉起了名字："主权由下载"（sovereignty by download）。主权由下载
这个直觉错在把"部署控制权"当成了"能力来源"。同一篇文章把世界摆成了两套系统：美国模型是 hyperscaler（超大规模云厂商）集中式，少数公司把前沿系统作为集中核心构建，权重留在实验室，安全在中心调度，能力通过 API 向外出租，租金与地缘杠杆同步集中；与之相对，中国模型走的是去中心化开放权重路线，DeepSeek、Qwen、Kimi K2.6 都可以下载、在本地微调、不依赖超大规模数据中心。
| 维度 | 美国 hyperscaler 模式 | 中国开放权重模式 |
|---|---|---|
| 权重去向 | 留在实验室，借 API 向外出租能力 | 公开下载，可本地 fine-tune（微调） |
| 安全与调度 | 集中在少数数据中心统一调度 | 分散到各国本地运行 |
| 租金与地缘杠杆 | 随能力同步集中 | 随下载向世界扩散 |
两种模式，一种出租能力，一种扩散能力。但"能下载"不等于"能自己造出下一代"。运行权在你手里，下一版由谁定义、以什么价格供给，仍取决于上游的资本、算力与知识来源。美国 CLOUD Act 已经给了华盛顿对美国公司所持数据的域外触角，出口管制可以在某个时刻单方面收回最先进的芯片与访问资格。全球各地正在出现的自建主权栈，从瑞士的国家超算项目到印度的 IndiaAI、沙特的 HUMAIN，本质都是在买算力、买人才、买供应链，而不是在买"能力来源"。前沿实验室能持续产出，靠的是每年数十亿美元级的研发投入，这些投入形成一种超额回报，经济学上叫能力租金（frontier rent）。Catalini
那么主权到底由什么构成？刊发在 Carnegie 的文章中，巴西 FGV 法学院学者 Luca Belli 在 2026 年 9 月给出了一个可操作的定义：主权不是控制每一层技术栈，而是"agency under constraint"，在相互依存的约束里保留做出关键选择的能力，包括更换供应商、施加条件、改造技术、参与规则制定。它由三根支柱支撑：agency（自主行动能力）、interoperability（互操作，防止被围墙花园锁死）、openness（开放，但必须是战略性的开放，而不是把开源当口号）。KASE 框架
图注：KASE 三支柱概念图：中央是"AI SOVEREIGNTY = agency under constraint"，周围是 agency、interoperability、strategic openness 三根支柱，底部列出完整的 8 层技术栈，顶部是检验任何主权主张的三项测试（提升自主选择？降低锁定？不制造新脆弱性？）。图由 worker 依据 Carnegie 文章自绘，图中为英文标签。KASE 框架
有了这套词汇，再看 KASE 的 8 层技术栈：数据、软件与算法模型、算力、连接、能源与矿产、教育与研究、网络安全、AI 安全框架。开放权重只覆盖其中一层。你把模型下载回机房，其余七层的依赖一个都没少。所以"下载 = 主权"是错觉：公开参数只转移了部署控制权，能力从何而来、下一代由谁供给，仍然握在上游手里。真正的战场，是能力租金的分配。而分配的第一个技术机制，就是蒸馏。
二、蒸馏为什么既不是偷窃、也不是开源，而是强制许可？
蒸馏的机制很简单：一个规模小得多的"学生模型"，通过海量交互吸收"教师模型"的输出，从而以远低于重新预训练的成本继承教师的能力。教师模型的输出在这里不是成品，而是训练数据。
这是不是盗窃？a16z 合伙人 Christian Catalini 在 2026 年 8 月的文章里给出了明确反驳：蒸馏是合法行业实践，和过去国防、航空航天、芯片承包商面对的间谍与商业秘密盗窃不是一回事。中国实验室不是偷走了前沿实验室的秘密权重，而是"让美国模型当他们的老师"。而且前沿实验室自己立场矛盾：他们靠 fair use 论证大规模抓取互联网、媒体和书籍来预训练，现在却要把别人学自己输出的行为定为非法。需要说明的是，Catalini 是 a16z 合伙人，立场偏向开放权重，这段话不是中立第三方综述，而是论辩的一方。Catalini
那前沿实验室为什么紧张？因为蒸馏动的是租金。学生模型以极小成本继承了教师经过巨额研发才获得的能力，等于把先行者的能力租金重新分配给了追赶者。但请注意尺度：据 Catalini 引用的经济学家 Nordhaus 的测算，全经济平均来看，创新者最终只捕获约 2.2% 的社会剩余。这是全经济平均数字，AI 是否例外是 Catalini 自己的推论，不是 Nordhaus 的原论断。可获利性制度（appropriability regime）指的就是制度与市场环境决定创新者能独占多少研发回报，而 AI 出生在可获利性的弱侧：研究洞见不断溢出、人才在实验室间流动、API 本身必然泄漏有价值信息。
所以把蒸馏放进制度光谱，它既不是盗版，也不是开源，而是更接近强制许可（compulsory licensing）：知识产权制度里"不经权利人同意、但有偿使用"的法定许可。规则若允许第三方蒸馏，实质是把先行者的研发成本摊给整个市场，让追赶者用近乎零的边际成本继承前沿能力。开源把参数无偿交给任何人改造与再发布，不设门槛；强制许可则保留所有权，只以法定价格与条件开放使用。蒸馏权恰好落在二者之间：能力可以被继承，但继承要付费、要走章程、要能问责。问题的关键是：哪些领域的租金值得保护？Catalini 用报酬曲线的形状来划分：大多数领域是 concave（凹）曲线，模型一旦"够用"，再涨能力的边际价值就递减，竞争转向价格、可靠性和部署便利，智能像电一样按用量计费；少数领域是 convex（凸）曲线，小幅能力优势就能产生超额回报，最前沿的模型值得支付远高于次优的溢价，这是 cyber 防御、金融量化、前沿研发这些领域的常态。Catalini
| 领域 | 报酬曲线 | 主导竞争的维度 | 谁捕获主要价值 |
|---|---|---|---|
| 日常办公、内容生成、代码补全 | concave | 价格、可靠性、易部署 | 基础设施、平台与互补资产 |
| cyber 防御、金融量化、前沿研发 | convex | 小幅能力优势即超额回报 | 拥有最佳模型的实验室 |
连指控方自己都承认蒸馏有合法用途。OpenAI 在 2026 年 2 月致美国国会的备忘录里明确写下：蒸馏作为技术是合法的，公司为开发者提供官方授权的蒸馏通道（responsible distillation pathways），但禁止用输出复制能复刻自身能力的"仿制前沿模型"。既然 OpenAI 与 Anthropic 都承认技术本身无罪，分歧就只能落在别处：访问是否获准。OpenAI 备忘录
三、同一个蒸馏，为何一方叫攻击、一方叫制度？
2026 年 2 月 23 日，Anthropic 发布官方博客，披露了一次它称之为"攻击"的蒸馏行动：约 24,000 个欺诈账户，累计产生超过 1,600 万次 Claude 交互，涉及三家中国实验室，DeepSeek 约 15 万次、Moonshot AI（Kimi）约 340 万次、MiniMax 约 1,300 万次。这些数字是 Anthropic 单方自报，三家被点名公司随后均公开否认，不能当作审计过的事实。Anthropic 称这些实验室瞄准的是 Claude 最有差别的能力：agentic reasoning（代理式推理）、工具使用与代码，DeepSeek 的提示里甚至要求模型把已完成的回答逐步写出内部推理，相当于规模化生成思维链训练数据。而它描述的绕行机制更有意思：它不在中国提供商业 Claude 服务，于是这些实验室通过转售前沿模型访问权的商业代理服务绕行，代理网络运行所谓的"hydra cluster（九头蛇集群）"架构。Anthropic 披露
图注：按 Anthropic 博客文字重建的 hydra cluster 架构示意：三家中国实验室的流量汇入一个约 24,000 个欺诈账户的账户池，经混合流量代理转售服务转发到 Claude API，收集到的训练数据再回流训练自家模型；虚线回箭头表示"封一个账户，立刻有新的补位"，单一代理网络曾被观察到同时管理超过 20,000 个账户。图为依据文字描述绘制的示意，非 Anthropic 官方发布。Anthropic 披露
"封一个换一个、无单点故障"，这是把绕过访问控制做成了工业化流水线的特征。十一天前，OpenAI 已在致国会备忘录中给出同向指控，声称观察到通过混淆来源的第三方路由器访问美国前沿模型的程序化蒸馏。两家前沿实验室立场趋同，值得记住的是它们的身份：都是能力租金的受益方，又都是指控方。厂商级指控很快升级为国家层面：2026 年 9 月 8 日，NSA、CISA、FBI 三家机构联合发布 advisory AA26-251A，把名单从三家扩到六家，新增 Alibaba、StepFun、Z.AI，指向四个美方模型家族，称自 2024 年底以来累计提取了"数十亿 token、覆盖数百万次交互"。措辞也很讲究："likely with Chinese government awareness"，知情但不等于认可，字面上留下克制距离。CISA Advisory
图注：advisory 的 Table 1：六家中国 AI 公司与它们被指向蒸馏的美方模型家族对应表，逐行列出中英文公司全称、被指向的 Claude/GPT/Gemini/Grok 各代变体与被提取的功能域。这是 NSA/CISA/FBI 的单方指控，被点名公司均否认，不能据此认定其事。CISA Advisory
同一套事实，两天后出现了完全相反的政策读取。2026 年 9 月 10 日，Y Combinator 掌门人 Garry Tan 在 Demo Day 上对 CNBC 说："I would do nothing"（我什么都不会做），并提议建立"American distillation regime"（美国蒸馏制度），让美国开放权重实验室"从正门大摇大摆地进来"蒸馏前沿模型。TechCrunch 特别澄清：Tan 不是主张美国实验室用偷来的凭证，而是要求把合法蒸馏变成制度；他真正恐惧的噩梦场景是"只剩一家公司垄断前沿 AI"。这份主张背后是 2026 年 7 月 Microsoft 与 Nvidia 发起的联署信，签署方从最初的 25 家扩展到 50 家，Google、OpenAI、AMD 先后加入，Anthropic 与 Amazon 始终未签。Garry Tan
图注：欺诈访问与正门蒸馏的左右对照：红框一侧是研究机构经欺诈账户池与代理网络访问 Claude，越过使用条款与出口管制；绿框一侧是开放权重实验室通过付费 API 协议或合作合同走文档化渠道蒸馏，保留安全机制并有版税与审计痕迹，下方是五维对比表。绿框路径是依据公众论辩绘制的理想化正门路径，不代表 Anthropic 背书第三方付费蒸馏。Anthropic 披露
到此可以收束这一章：争议的焦点不在蒸馏技术本身，而在访问是否获准。欺诈方借代理绕过使用条款与出口管制，正门方要求把合法蒸馏变成制度，分歧是访问权的归属，不是技术的中立与否。但"正门制度"要落地，主权叙事立刻要面对一个尴尬的事实：走开放权重路线的实验室，同样需要巨额资本。
四、下载权重免费，主权为何要三十亿欧元起？
2026 年 9 月 8 日这一天，"主权"一词同时出现了两个版本。一边是三家美国机构（NSA/CISA/FBI）把主权写成对中国实验室的国家级指控，另一边是法国实验室 Mistral 把主权写成资本事实：Series D 融资 30 亿欧元，投后估值超过 210 亿欧元，Samsung Electronics 领投，EQT 管理的 Scaleup Europe Fund 与 PSG Equity 联合领投，卢森堡大公国直接以国家身份入股，另有 18 家老股东跟投，名单里有 a16z、ASML、Nvidia、Salesforce Ventures 等；同时新增 Advent、BlackRock 与卢森堡大公国等新进股东。对照一年前的 Series C：17 亿欧元、投后 117 亿欧元，ASML 领投并拿下 11% 股权。一年之间估值翻了约 1.79 倍。"欧洲最大股权融资轮"的说法只出现在 Mistral 自报口径里，没有独立第三方确认，引用时需要保留这个限定。Mistral 融资
一个"免费下载权重"的实验室，一年要吞下三十亿欧元级的资本。钱花在哪？官方口径是四大方向：扩大训练算力、扩展基础设施、加速商业增长、扩大国际足迹，Mistral 还把前沿研究定位为"支撑其基础设施、产品与主权的基石"，另有报道称其目标是在 2030 年前建成 1 GW 的欧洲算力（该数字由 VentureBeat 单独报道，不在本轮融资声明中）。同一个 cap table 上，Samsung 是韩国半导体资本，卢森堡是政府资本，a16z 与 Nvidia 是美国资本，主权与商业利益在同一张股权表上交错，也在提醒我们：主权资本不等于控制权。
把这一章与第一章的 KASE 框架接起来，Mistral 的自我描述恰好是三支柱的产品语言：数据留在组织边界内、模型可控可定制、算力私有可预测、生产系统可审计。主权在这里不是一个下载动作，而是一笔持续投入：芯片盟友（ASML 与 Samsung 同时出现在股东名单上）、欧盟政府基金、美国二级资本。回到第 1 章的判断，KASE 给任何"主权 AI"主张留了三项测试：是否提升自主选择能力？是否降低锁定？是否在不制造新脆弱性的前提下保持开放？用这三项去检验，Mistral 的 30 亿欧元，是在开放权重这一维度之外，为数据、算力、基础设施等各层补齐 agency 的投入。
所以权重可下载，不等于主权免费。即使走开放权重路线，持续主权仍需要巨额资本与供应链支撑。主权是把能力租金转化为本土可控资产的过程，不是一次下载。那么最后一个问题就变得具体了：规定"谁有权、以什么条件蒸馏"的制度，究竟应该长什么样？
五、禁止与放开都通向坏结局，第三条路长什么样？
先看已经摆在桌上的两个极端。禁止一侧，Anthropic 的指控在 2026 年 9 月被 NSA、CISA、FBI 三家机构升级为国家级叙事，他们把蒸馏活动映射进 MITRE ATLAS 攻击生命周期框架，用"资源构建、模型访问、越狱、数据外泄、能力抽取"这一整套攻击术语来称呼它，还提出了"subtly alter responses"（对疑似恶意蒸馏悄悄降级响应）的防御建议。
图注：advisory 的 Table 2：MITRE ATLAS Mappings，把被指控行为映射到多个 TTP（攻击技术与过程），覆盖从资源构建到数据外泄、能力抽取的完整生命周期。这张图是"禁止路线"一方的术语词典，不证明六家公司使用了其中的全部技术。CISA Advisory
放开一侧，Garry Tan 的"美国蒸馏制度"与联署信的 50 家签署方要求把蒸馏当成普通行业实践。但 Catalini 的两条曲线已经预告了极端方案的代价：全面禁止会把少数 convex 领域之外、本可充分竞争的 concave 领域也锁死，等于把市场拱手送给现有几家 API 供应商，监管捕获的风险随之而来，以安全之名抬高审批门槛，反而让没有庞大合规团队的新玩家更难进场；全面放开则会让前沿研发的可获利性持续走低，最终削弱最需要巨额投入的那部分研究。两极都通向坏结局。Catalini
| 方案 | 主要主张方 | 核心论据 | 主要风险 |
|---|---|---|---|
| 全面禁止（含国家级执法） | Anthropic、OpenAI、NSA/CISA/FBI | 防止能力经欺诈渠道扩散、绕过出口管制 | 巩固少数 API 供应商，concave 域也被锁死 |
| 全面放开（正门制度） | Garry Tan、联署信签署方 | 蒸馏是合法行业实践；创新者仅捕获约 2.2% 社会剩余（Catalini 援引 Nordhaus 的全经济平均） | 侵蚀前沿研发的可获利性，进而削弱 R&D |
| 有偿、可审计的蒸馏许可 | Catalini、Carnegie、IAPS | convex 域强验证、concave 域放开；审计机制可行 | 审计成本与执行者能力不足 |
中间方案的关键词是"可审计"。它要可检验，就必须有具体的操作机制。IAPS（Institute for AI Policy and Strategy）在 2026 年 8 月的报告给出了一个落地样本：把验证分成 end-location（终端位置）、end-user（终端用户）、end-use（终端用途）三类，共 10 项机制。为什么需要位置验证？看 NVIDIA 的销售渠道就明白，芯片从厂商到最终客户要经过服务器厂商、分销商、转售商多级转手，每一级转手都是一层单据链，只有分层验证才能追踪芯片最终去了哪里。执行者也不只有政府一家：IAPS 安排了三条通道，BIS 自身、以验证作为许可条件的出口企业、以及经认证的独立第三方审计师，用来弥补监管机构人力与预算的缺口。IAPS
图注：IAPS 论文的 Figure 1：NVIDIA 的 AI 芯片销售渠道结构，从 NVIDIA 出发，经直售或服务器厂商、分销商、转售商多条路径到达最终客户。多层渠道等于多次转手，这正是"为什么需要分层单据链验证"的具体证据。IAPS
这套机制借鉴了核领域的 IAEA 保障体系：远程摄像监控（NGSS）、激光帘防篡改（LCCT）、从设施级转向国家级的"state-level approach"范式，并引入金融行业 FinCEN 314(b) 的跨机构信息共享机制来对抗"同时跨多云跑工作负载"的规避手段。需要说清楚的是，IAPS 验证的对象是芯片出口，不是蒸馏行为本身；它对"有偿、可审计、附安全责任"的蒸馏许可提供的是一条可借鉴的审计思路：分层验证、单据链与独立第三方审计师。思路可以移植，制度不能照搬，蒸馏许可落地还需要单独设计并验证一套全新的要件：蒸馏交易记录如何留存、授权范围如何界定、模型访问如何审计、由谁抽查、验证哪些环节。这些要件是本文在芯片出口验证框架的启发下进一步提出的设想，尚待单独设计验证，IAPS 那份报告并未证明它们可以直接适用于蒸馏场景。
回到开头的主线：开放权重之争的政策核心，从来不是是否公开参数，而是谁有权把昂贵的前沿能力蒸馏成本国可控资产。全面禁止会巩固少数供应商，全面放开会削弱前沿研发，真正可检验的中间方案，是把蒸馏做成有偿、可审计、附安全责任的准强制许可。这样一来，蒸馏权就成为国家向本土 AI 产业转移能力租金的制度化通道，问题也从"要不要蒸馏"变成了"以什么条件、向谁、被谁审计地蒸馏"。用 KASE 的三项测试收束：这套制度是否提升了自主选择能力、是否降低了锁定、是否没有制造新的脆弱性，正是检验任何主权方案成色的尺子。真正稀缺的不是权重，是把能力租金流动起来的那份权利，以及能让它流动得有账可查的制度。
参考文献
本专题引用的核心资料如下，建议深入学习时阅读原文：
- Sovereignty by Download（CIGI Online，Rafal Rohozinski，2026-06-04） — https://www.cigionline.org/articles/sovereignty-by-download/
- Some Simple Economics of Open versus Closed AI（a16z newsletter，Christian Catalini，2026-08-11） — https://www.a16z.news/p/some-simple-economics-of-open-versus
- Detecting and preventing distillation attacks（Anthropic 官方博客，2026-02-23） — https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks
- Updated Stakes for American-Led, Democratic AI（OpenAI 致美国众议院委员会备忘录，2026-02-12） — https://cdn.openai.com/pdf/045aa967-ee96-4a09-94ee-3098ddf6db2c/OpenAI-US-House-Select-Cmte-Update-%5B021226%5D.pdf
- China-Based AI Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies（NSA/CISA/FBI 联合 advisory AA26-251A，2026-09-08） — https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a
- Garry Tan "American distillation regime" remarks at YC Demo Day（Implicator/CNBC/TechCrunch 报道合集，2026-09-10） — https://www.implicator.ai/yc-garry-tan-rejects-distillation-crackdown/
- Mistral AI Raises €3B as Sovereign AI Becomes Big Business（TechCrunch，2026-09-08） — https://techcrunch.com/2026/09/08/mistral-raises-e3b-as-sovereign-ai-becomes-big-business/
- Operationalizing AI Sovereignty Through Agency, Interoperability, and Openness（Carnegie Endowment，Luca Belli，2026-09-03） — https://carnegieendowment.org/research/2026/09/operationalizing-ai-sovereignty-through-agency-interoperability-and-openness
- Near-Term Verification Methods for AI Chip Exports（arXiv:2609.07637，IAPS，2026-08） — https://arxiv.org/abs/2609.07637