黄仁勋倡议开放权重联名信，Anthropic 为何拒绝签名？

事件概述

NVIDIA CEO 黄仁勋在其个人 X 账号上发布了一封支持开放权重模型（Open-Weight Models）的联名信。该信倡导将训练好的大模型权重文件公开，允许开发者下载到本地运行、微调和定制。联署名单包括 NVIDIA、Google、OpenAI、Meta、Microsoft、Mistral、Hugging Face 等，但 AI 安全公司 Anthropic 未出现在名单中。这一缺席引发了开发者社区的广泛质疑和批评。

Anthropic 的回应与争议

Anthropic 研究员 Julian Schrittwieser 在 X 上回应，声称不反对开放权重，但反问 NVIDIA 为何不开放 CUDA 和 GPU 驱动，Microsoft 为何不开放 Windows 和 Office。网友当即反驳，列出 NVIDIA 已开源 NCCL、CUTLASS、TensorRT-LLM，Microsoft 开源了 .NET、TypeScript、ONNX Runtime、DeepSpeed 等。同时指出 Anthropic 的 MCP 虽为开放协议，但 Claude 模型权重并未公开，Claude Code 代码仓库也未使用常见开源许可证。

Reddit 社区批评更为尖锐，认为 Anthropic 正在消耗开发者信任，从挑战 OpenAI 的“后来者”变成只关心资本和估值的公司。

联名信支持的是什么？

联名信并非要求所有模型都必须开源，而是支持开放权重作为一种正常的模型发布方式。开发者通过 API 使用模型时，只能获取返回结果，无法确认版本、推理参数或安全规则是否变更。开放权重后，开发者可以下载完整的参数文件，部署在自己服务器上，并可进行量化（降低显存需求）、微调（适配特定任务）、蒸馏（将能力转移至小模型）等操作。研究人员可以固定版本反复测试。签署这封信并不等于承诺公开最强模型，而是认可：经过评测且风险可控的模型，可以考虑开放权重。

签署方的主要技术判断

1. 按能力评估而非按“是否开放”一刀切：一个用于文本整理的小模型，与一个能执行复杂网络操作、调用工具的模型风险不同。发布前应针对网络攻击、生物知识、自动执行和绕过安全限制等方面进行测试，再决定是否公开。能力更强、风险难判的模型可保留仅 API 方式。

2. 开放权重有助于更好地研究模型问题：通过 API 测试时，外部无法区分模型表现变化是由于权重更新、系统提示词、分类器还是推理配置变化。拿到权重后，研究人员可固定版本，测试量化、微调或合并后安全行为是否变化。仅靠原厂测试难以覆盖发布后的所有修改方式。

3. 模型权重与安全系统可以分离部署：输入输出检查、工具权限、异常监测可以放在模型外部。权重公开后，部署者仍可增加分类器、限制文件/数据库/工具访问、记录异常调用。这些公司认为可先筛选适合开放的模型，再通过外部评测和部署限制管理风险。

Anthropic 的核心顾虑

Anthropic 未公开解释缺席原因，但从其安全设计可看出核心担忧：模型离开原厂服务器后，原有安全措施能保留多少？

Claude 的安全并非仅依赖模型训练时的拒绝行为，还包括服务器端输入输出检查、异常请求识别、账户调用限制以及持续更新分类器或替换模型版本。这些措施依赖于模型运行在 Anthropic 控制的服务器上。权重公开后，外部部署者可以移除分类器、修改系统提示词、微调模型。Anthropic 无法掌握副本后续处理了哪些请求，也无法要求所有使用者安装安全更新。

大模型安全训练通常只是控制模型在什么情况下拒绝回答，相关知识并未从参数中消失。后续微调可能削弱拒绝行为。模型发布时通过安全测试，不意味着修改后版本同样安全。在线 API 出现问题可统一更新，已公开的权重却难以召回。早期版本、量化版本、微调版本可能长期存在。

这可能是 Anthropic 与多数签署方的技术差异。后者认为可以先通过能力评测筛选适合开放的模型，再由外部部署者配置过滤、权限和监测。Anthropic 则更重视原厂对前沿模型的持续控制。MCP 可开放，因为只规定模型与工具/数据的连接方式，不交出模型能力；公开权重则意味着模型可被独立运行和修改，对安全影响不同。

结论

分歧不在于“开放与封闭”的立场差异，而在于：发布前的评测是否足以支持一份模型权重被长期交给外部使用？多数签署方认为经过能力评测后，部分模型可以作为权重开放；Anthropic 认为对于能力较强的模型，现有测试还不足以判断它在长期传播和后续修改中是否仍然可控。这场争论将问题从“要不要开放”推进到了“开放哪一部分”。