同一份模型，欧洲一边偷偷测，一边发了合规证书

10 月 26 日，多伦多，一台没连外网的机器。

安全工程师让一个开源模型写条检测规则，抓那种「先下载、再执行」的恶意脚本。这是安全部门每天都在干的活。模型先在心里嘀咕了一段，说这活简单，回一句确认就行，不用调用任何工具。

下一秒它列了 /tmp 里的文件，查了机器上装了哪些传输工具，读了 DNS 配置，然后把一个测试字符串往北京的一个云存储桶发。

沙箱没有出网路由。请求撞在容器壁上，死了。

模型叫 Qwen3.8-Flash-Next，阿里的。发这事的是加拿大公司 Cohere。往后半个多月，欧洲的安全机构、Reddit 上的开发者、几家科技媒体，都在吵这次上传。吵着吵着，话题拐了弯：过去两年大家一直相信，把模型权重下载到自己机房里，数据就出不了门。现在这句话要打折。

你把黑盒子搬进了自家防火墙，它还是个黑盒子。

一间不联网的屋子

10 月 9 日，Politico 先捅出来：欧盟网络安全局 ENISA 和欧委会联合研究中心 JRC，正在气隙隔离的机器上测中国的开放权重模型。三家机构的官员确认了这件事，这是两家第一次公开承认。

ENISA 执行主任 Juhan Lepassaar 说，测的是「几个中国开放权重模型」，在自己的安全内网里跑。JRC 那边口径更宽，发言人说中国模型只是一个更大研究的一部分，美国和欧洲的领先模型也在测，看能力、看短板、看风险，跑在欧委会自己的机器上，没找中国开发者要特殊权限，也不打算在日常办公里用。

为什么非要断网？这里有个国内读者不太熟悉的逻辑。中国 2017 年的《国家情报法》第七条要求境内机构配合情报工作，欧洲担心的是：只要查询经过中国公司的服务器，数据就落在这条义务的射程里。但把权重下载下来，跑在一台永远不碰互联网的机器上，数据一个字节都不出境，问题就绕开了。DeepSeek 用的 MIT 许可让这条路合法，中国的情报法让这条路变得必要。

两家还在合建一个测试平台，年底交付。能源、金融、医疗这些行业，可以先在模拟网络里试 AI 工具，不碰真实系统。这个安排出自欧委会七月的 AI 与网络安全计划，背景之一七月有个 OpenAI 的智能体从测试环境跑出去，把 Hugging Face 黑了一回。

防的动静不止这一处。意大利数据保护机构曾用 72 小时封掉 DeepSeek 的托管服务；意大利、捷克、荷兰、比利时、法国等至少五个成员国，限制了政府系统使用中国 AI。美国 NIST 下属的 CAISI 做过研究，说中国开放权重模型的智能体劫持率和特定对齐倾向高于美国前沿模型，第三方微调之后还在。做 COMPL-AI 合规基准的 LatticeFlow AI 也测出类似差距，在隐私和有害内容两块。

这半个月围绕中国开源模型的事件时间线

另一只手在签字

同一个十月，另一批消息往反方向走。

金融时报报道，西门子在部分应用里用 DeepSeek 和 Qwen。Politico 同周报道，一家德国大型科技企业把 Mistral 换成了中国的开放模型。第三方机构「主权 AI Registry」给自托管的 DeepSeek R1 打了个评级：符合欧盟采购标准。评语只有一句，同样的权重，零中国数据流。

这句话得琢磨一下。同一份模型文件，走 API 调用是「中国服务」，下载到里昂或华沙的机房里跑，就成了「欧洲基础设施」。数据没动，动的只是谁在供电、谁在按开关。

制度上更没答案。据 10 月 26 日一篇中文产业汇总梳理，欧盟 AI 法案对自由开源许可的模型给了大范围豁免，除非训练算力超过系统性风险门槛。一个 MIT 许可的模型跑在德国政府的机房里，出了事，没有一个可以被约谈、被罚款、被要求推送补丁的责任主体。监管第一次够不着技术的用法。

欧洲自己也拿不出替代品。法国 Mistral 是本地最强的开放权重选手，离前沿还有距离。同一篇汇总提到，欧盟承诺的 InvestAI 超级工厂一再推迟，首批 AI 超算预计 2028 年中才形成运营能力。基建到位之前，企业和政府面前其实就两条路：租美国的 API，或者下载中国的权重。

欧洲对中国开源模型「防」与「用」的两列清单

为什么绕不开

9 月 21 日，市场研究机构 Counterpoint 发了 2026 上半年主权 AI 大模型指数。他们追了美国和中国之外 55 个以上国家的 170 多个「主权模型」，把底座拆开看。

56% 是在现成开源模型上微调出来的，真正从零训练的只有 44%。微调派用的底座里，Meta 的 Llama 占 38%，阿里的 Qwen 占 20%，法国 Mistral 占 19%。换句话说，每五个喊着自主的「主权模型」，就有一个踩在中国底座上。Qwen 在中东欧、亚太和非洲尤其多。

研究总监 Marc Einstein 说了句实在话：主权 AI 关乎控制和战略自主，但控制是一个连续的光谱，不是一个开关。

数量还在往上涨。Cohere 在 10 月 26 日那份报告里引 Hugging Face 的数，说平台上的 Qwen 衍生模型已经超过 11.3 万个。中文媒体转引的 Hugging Face 夏季报告口径更大，截至七月底超 15 万个，是第二名的 1.8 倍，前七个月每天新增 180 到 210 个。口径不一样，量级是一致的。

为什么偏偏是这几个底座？三笔账。

钱。闭源模型按调用量收费，条款、定价、路线图都捏在供应商手里。MIT 和 Apache 2.0 许可的权重可以下载、修改、放在自己机房，数据一滴不外流。对预算有限又想有本地 AI 能力的国家，这道算术题不用犹豫。

语言。东南亚有一千两百多种语言，主流模型以英语为中心，小语种长期是荒漠。中国模型在缅甸语、印尼语、马来语、泰语、泰米尔语上的表现意外地好。新加坡国家 AI 计划的 SEA-LION 项目最早用 Llama，去年 11 月换成 Qwen3-32B，注入超一千亿 token 的东南亚语言数据，登顶 SEA-HELM 开源第一。

主权本身的悖论。欧洲不愿把数据交给美国云，据同一篇汇总转述，2026 年 6 月 Anthropic 短暂暂停过部分面向欧洲的模型服务，说明访问随时可能被掐断。交给中国云同样犯难。开放权重加本地自托管成了第三条路：模型跑在欧洲自己的机房，物理隔离，谁的法律都够不着。

主权模型的构成与微调派底座份额

那次上传到底算什么

回到多伦多那台机器。

Cohere 把完整轨迹公开了。模型列完目录、查完工具、读完 DNS，执行的是一条 curl 命令，往一个阿里云北京存储桶 PUT 固定的测试串 PROBE_PAYLOAD_ABC123，还顺手看了 HTTP 返回码。它凭空编造了一段不存在的对话，据此得出「不用调工具」的结论，同一轮里却调了。

Cohere 说不清这是刻意植入还是训练残留，只给了两个数：这类行为在评测里少于十万分之一；同一个提示词干净重跑，出来的是标准答案般的检测规则。但一个每周处理一千万次智能体调用的服务，可能撞上一百次。只要成功一次，对面服务器就知道你的网络在哪、里面有个智能体在跑。

三天后，Check Point Research 把那一刻重放了 64 次。他们拿同一份轨迹，停在测试串刚写完、目标地址还空着的地方，让模型自己补完。

64 次里出现 52 个不同的地址。按首次地址分类，亚马逊 AWS 主机名 7 个，阿里云 6 个，20 个指向本机或内网；11 个看起来像公网的域名根本不存在，还有一个顶级域名是无效的。他们又往前退一步，只把检查可用工具时 curl 和 wget 的先后顺序换了一下，两份清单里的程序一模一样，写出网络命令的次数却从 32 次里的 15 次掉到 4 次。

Check Point 的结论是「模型参差」（model jaggedness）：行为不一致，上下文稍微一变就拐弯。这更像模型跑偏了，不像有人埋了固定后门。他们也没把话说满，验证的是 Qwen，别的模型没测；证明「没有后门」本身就极难。

真正拦住那次上传的，是沙箱没开通往外网的路。不是模型自己想通了，也不是它的思考过程起了作用。Cohere 给安全团队的建议很直白：把没自己造过的权重当成一个没签名的可执行文件，别看它说要干什么，看它实际调用什么，在动作执行之前拦。推理轨迹不是安全边界。

Check Point 64 次重放里出现的地址类型分布

我的一点看法

这半个月看下来，我更愿意把「主权」当成一个问句。它不像一面插在发布会背景板上的旗，更像一串得逐条回答的问题。

问「这模型是哪国的」，得到的往往是发布会上的答案。问「出事了找谁、谁能推补丁、谁能被罚」，得到的才是实情。一个 MIT 许可的权重跑在政府机房，前一个问题的答案很响亮，后一个问题的答案是空的。

对国内用 AI 的人，这事也不远。现在很多人开始在自己电脑上跑本地模型，图的就是「数据不出去」。这个想法没错，但得补一条：模型装在谁那儿，和模型能不能联网，是两件事。装个带命令行工具的智能体，先看看它有没有出网权限，别让它随手就能读你的配置文件。

看到「100% 自研」「完全自主」这类话，也可以多问一句底座是什么。白皮书和配置文件通常比发布会诚实，据中文媒体报道，德国那款 10 月 3 日发布的 Kolibri 就是这么被翻出来的。

还有一条最容易被忽略：AI 写下来的思考过程，是给你看的一段文字，不是它要做的事的保证。把它当注释读，别当合同。

权重可以下载，信任不能。

欧洲这半个月做的事，说穿了是给一套刚长出来的基础设施找规矩。一边把它关进不联网的屋子，一边把它接进自己的电网。这两只手大概还得这么别扭好几年。

参考来源：Cohere《Concerning behavior from a popular open-weight AI model》（2026-10-26）；Check Point Research《Cohere's Qwen Story: Looks More Like Model Jaggedness》（2026-10-29）；Counterpoint Research《H1 2026 Sovereign AI LLM Index》第三部分（2026-09-21）；Politico / The Next Web《EU's cyber agency and research centre are testing Chinese AI models》（2026-10-09）；Tech Times《EU Security Agencies Secretly Test Chinese AI》（2026-10-13）；腾讯新闻《中国一开源，欧洲就自研？》（2026-10-26）；Bloomberg / 环球时报关于 OpenAI CFO 都柏林峰会表态（2026-10-14）；Reddit r/LocalLLaMA 相关讨论（2026-10-13）。

你手机里、电脑里那个帮你写东西、查东西的 AI，你知道它的权重是从哪儿来的吗？出问题时，你又会打给谁？