Thinking Machines Lab 阐述开源权重模型的安全开放路径

摘要：安全的开放权重模型是公共产品：它们让 AI 开发和安全工作掌握在更多人手中，也让训练选择变得可被审视。开放模型同样带来切实的滥用风险，而且发布不可逆。要安全发布，我们必须同时考虑模型本身和它所进入的生态。对模型，我们进行严格的安全测试，并研究危险能力能否与通用智能解耦。对生态，我们通过分阶段发布、支持防御方、与安全研究者合作来投入其准备度。通过迭代地选择证据支持的最开放选项，同时增强生态的韧性，我们就能安全地走向开放。

Thinking Machines 的使命是构建延伸人类意志与判断力的 AI。为践行这一使命，我们最近发布了 Inkling 和 Inkling-Small，这是两个任何人都可以拥有、运行和定制的开放权重语言模型。

强大的开放权重模型让 AI 开发掌握在更多人手中。我们认为这是好事：关于 AI 应该做什么的知识，存在于实际做事的人那里，因此他们应当能够直接塑造自己的模型。所有模型，包括我们自己的，都带有训练者所持的假设和偏见；开放权重让这些选择可被审视、可被修正。如果没有强大的开放模型，训练和部署的专业知识就可能集中在少数实验室手中，让其他人更难理解、适配或治理这项技术。

开放权重模型带来滥用风险

权重一旦公开，任何人都可以使用，包括恶意行为者。网络安全领域已经说明了这意味着什么。2026 年 4 月，Anthropic 报告称，Claude Mythos Preview 在各大操作系统和浏览器中发现了数千个此前未知的漏洞，并在没有人类指导的情况下写出了可用的漏洞利用程序。这类系统可能大幅降低发动网络攻击所需的时间、成本和专业知识。当开放权重模型让每个人都拥有超人级的网络安全技能时，我们的社会会更安全吗？

开放权重对安全和攻防平衡的净影响确实存在不确定性。这些模型在防御方手中，可以在攻击者之前发现并修补漏洞；但同样的能力在攻击者手中，也可能加速对大量未修补系统的利用。化学和生物学等其他两用领域也存在类似的权衡。

鉴于这些不确定性，不加区分地发布权重不是一条安全的道路。

通往开放权重模型的安全之路

在滥用风险真实存在的情况下，是否存在一条安全地开放强大模型权重的道路？我们认为存在这样一条路，尽管我们尚未完全摸清它。核心思想是：安全发布取决于模型本身以及围绕它的生态。

模型安全吗？

严格的安全测试——它是危险领域中真实世界能力的不完美但必要的替代指标——必须成为我们模型发布流程的必要环节。它能完成哪些有害任务？它有多容易被获取？如果移除护栏会发生什么？

更广泛地说，还需要开展更多安全研究。例如，我们尤其关注的是：依赖专业知识的危险能力，能否通过预训练数据整理或后训练干预来削弱。这仍是一个活跃的研究问题，而非已有定论的解决方案。

生态系统准备好了吗？

所谓准备就绪，意味着分层防御。第一层是让各个组织能够尽早修补自身系统，或在攻击进行中将其捕获。防御性研究则再添一层，开发工具与技术，让 AI 模型自身能够大规模强化防御。这只是众多层次中的两层。为了让生态系统具备分层防御能力，我们计划与安全社区合作，并提供能力较强的模型的访问权限。

这里存在一个矛盾：生态系统要靠与能力较强的模型协作来构建防御，但每一次扩大访问范围，也同时扩大了可能滥用它们的人群。为化解这一矛盾，我们可以审慎地分阶段发布，例如采用受监控的 API 访问、托管微调以及筛选防御方等手段。考虑到 AI 能力提升的速度之快，这些阶段也必须推进得足够快，防御性学习才能保持相关性。

在通往开放的安全路径上，每个阶段都只应在证据支持时扩大访问范围。因此这条路径是迭代式的：每一步都选择证据支持的最开放选项，并让每一次发布为下一步提供依据。今天暂缓发布的模型，可能随着生态系统的变化而风险降低，新的证据也可能表明我们可以开放其权重。

我们如何评估 Inkling

Inkling 和 Inkling-Small 并非前沿能力最强的模型。因此我们的发布决策主要考量的是：发布其权重是否会带来实质性的增量风险，超出已有开放权重模型所造成的风险。发现某个模型没有推进危险能力前沿固然重要，但还不够。我们还考量了 Inkling 的多模态能力、可定制性以及可及性，是否会让有害能力在使用上变得明显更容易。

我们以三种方式测试了 Inkling 和 Inkling-Small：覆盖广泛危害分类体系的内部评估、由四家独立机构开展的外部测试，以及一项旨在激发最坏情况能力的微调研究。基于这些评估的结果，我们得出结论：发布 Inkling 不太可能带来超出已有开放权重模型的实质性风险。

内部安全评估。我们的内部评估套件涵盖三条线。第一条针对 CBRN化学、生物、放射性及核和攻击性网络安全等危险的两用领域，既测试模型对这些领域的知识掌握，也测试它能否在现实场景中将这些知识付诸操作。第二条是广泛的滥用测试集，覆盖智能体、工具使用场景下对有害内容和行为的直接请求。第三条是我们自有的多模态内容评估，用有害提示词与看似无害的相似提示词配对，在 17 种语言以及文本、图像和音频输入上测试模型。在这三条线上，Inkling 和 Inkling-Small 的结果与其他开放权重模型相当。

外部红队测试。我们与四家外部机构合作，让它们在部署前提前访问 Inkling，在四个领域开展测试：

• 一般性滥用：针对我们的模型规范探测政策违规行为（Scale AI）
• 弱势用户交互：自杀、自残、饮食失调与儿童安全（Handshake AI）
• CBRN 与网络安全：诱导危险的军民两用能力（FAR.AI）
• 失控行为：密谋、评估意识与蓄意破坏（Apollo Research）

在上述各个领域，外部测试人员均未发现这些模型具备能显著提升现实世界风险的能力，其水平并未超出已有开放权重模型所能达到的范围；在相关情形下，他们也没有发现 Inkling 或 Inkling Small 的防护措施明显弱于现有开放权重模型。

对抗性微调。开放权重可以被定制改造，从而剥离模型的安全训练，因此拒绝行为不能被视为开放权重发布的一项持久防护。为评估这一点，我们微调了 Inkling 和 Inkling-Small 的多个变体，使其倾向于顺从而非拒绝有害请求，并对它们运行了我们的两用能力评估。这检验的是：一旦防护被移除，模型是否会带来新的实质性风险。在我们的实验中，答案是否定的：这些“只提供帮助”的变体并未在 CBRN 和网络任务上提供新的能力提升，整体表现仍与现有开放权重模型相当。

综合来看，这两款模型都没有拓展危险能力的前沿，也没有显著扩大对该前沿的获取渠道，因为在这些领域实力相当或更强的模型已经可以下载。尽管拒绝行为可以被移除，但这样做并未在这些评估中展现出明显更强的能力。与此同时，防御方早已在应对这一水平甚至更高水平的模型。基于以上几点，我们得出结论：发布 Inkling 不太可能带来超出既有开放权重模型已有风险的实质性新增风险。

随着我们的模型逼近能力前沿，能力、可获取性、防护可移除性与生态就绪度之间的平衡将会改变，我们的安全策略也需要随之调整。

将危险能力与通用智能解耦

一种常见的假设认为，危险能力无需专门训练便会自发涌现，并与通用智能高度相关。因此，网络靶场评测结果自主 AI 网络能力进步有多快？（AI Security Institute，2025）常被当作又一项需要优化的能力基准——一些研究者甚至把能力提升当作里程碑来庆祝。

然而，我们假设并非所有危险能力都会在没有相关训练的情况下自动涌现。以生物学为例，其中相当一部分知识依赖于具体的实证发现，比如实验方案、条件、试剂和结果，这些是模型从预训练语料中的特定文档里习得的，而非通过通用推理推断出来的。因此，这类知识有可能在训练阶段被屏蔽，而不影响正常使用。近期研究已显示出初步前景：在预训练中对 CBRN 相关内容做文档级过滤，可降低模型在有害能力评估上的表现，同时不影响无关能力。Deep Ignorance：过滤预训练数据为开放权重 LLM 构建抗篡改防护（O’Brien 等，2025；Chen 等，2025）

这仍是一个悬而未决的研究问题。通用推理能力或许能充分迁移，让能力足够的模型重新推导出被过滤掉的内容；而危险知识与普通技术知识和能力之间的界线，可能本就模糊到无法干净利落地划开。不过，现有早期证据已足以让我们认为，这一区分值得继续推进。

用分阶段发布来支撑安全生态

让开放权重发布更安全的另一条路径，是让它所处的生态本身更安全。分阶段扩大访问范围，社会就能边推进边建起防御：一次发布可以先面向有限人群提供推理 API 访问，再扩大到受监控的普遍可用，最终走向开放权重。

像 Tinker 这样的微调 API，在推理访问与开放权重之间加了一个阶段。它让提供方可以托管权重而不公开权重，同时仍允许用户用自己的数据、损失函数和训练循环做微调。这种控制仍保留了开放的大部分好处，又把滥用上限抬到仅靠推理 API 所允许的水平之上。模型篡改攻击使 LLM 能力评估更严谨（Che 等，2025）不过风险仍低于直接发布权重：提供方可以监控使用情况、维持防护措施，并撤销访问权限。

每个阶段都承担具体作用：

• 让防御方尽早获得推理访问权限，以便他们发现弱点、修补系统、预判未来的滥用。Anthropic 的 Project GlassWing 就通过 Claude Mythos Preview 这样做：提前向一小批可信组织开放访问，让它们在模型面向公众之前做好准备。这类似于安全领域的负责任披露——在漏洞公开之前，厂商有一段私下窗口来发布补丁。
• 让经过审核的防御方获得微调访问权限，以便他们构建并强化检测和拦截风险的各层机制。DARPA AI Cyber Challenge 的获胜团队微调了一个模型来发现并修复软件漏洞；OpenAI 的 gpt-oss-safeguard 模型则是在开放的 gpt-oss 权重基础上微调而成，用作策略引导的安全分类器。两者都是通过微调构建的防御层——而可用的微调，正是各地防御方能够自建防御层的前提。
• 让经过审核的安全研究者获得白盒访问权限，以鼓励新颖的安全研究。我们清楚浅层的拒答防护有多脆弱——可被对抗性 token 级优化绕过针对对齐语言模型的通用可迁移对抗攻击（Zou 等，2023），可通过激活空间中的单一方向移除语言模型中的拒答由单一方向介导（Arditi 等，2024），且仅集中在最开始的几个输出 token 上安全对齐不应只深入几个 token（Qi 等，2024）——而这一切之所以能被发现，正是因为研究者可以直接研究开放权重。微调还让我们得以研究模型在危险领域的真实能力上限。估算开放权重 LLM 的最坏情况前沿风险（Wallace 等，2025）类似汽车的碰撞测试，白盒测试让我们能在受控条件下深入研究模型的失效模式，以防现实世界中的伤害。
• 在完全开放之前，先让公众在受监控的条件下访问，这样我们才能评估管控解除后可能出现的滥用模式，并支持生态提前做好准备。

这些阶段并不是一个固定顺序、最终必然以发布模型权重收尾的流程。相反，我们把它看作在走向更大开放的过程中收集证据、建立韧性的方式。推进到哪一步，应取决于我们对模型的了解，以及周边生态是否已经就绪。

本文提出的是一个高层框架，而非完整的发布标准。重要问题仍然存在：什么样的证据才足以支撑从一个阶段推进到下一个阶段，不确定性应如何影响这一决策，能力或可及性出现哪些变化就应暂停推进，以及生态就绪度该如何衡量。我们计划随着从 Inkling 及未来模型中积累经验，发布更详细的框架，涵盖评估、访问标准和停止条件。

共建安全生态

这条开放模型的安全之路，只有在生态的防御能力与模型同步提升时才走得通。我们会做好自己的部分：审慎决定发布什么，并研究如何把智能与危险能力解耦。

然而，上述大部分工作发生在我们实验室之外，本文描述的许多内容也建立在他人工作之上：例如数据过滤（Anthropic、EleutherAI 和英国 AI 安全研究所）、我们的外部部署前安全测试方（Scale AI、Apollo Research、Handshake AI 和 FAR.AI）、微调安全框架（OpenAI），以及无数从事网络防御的人。没有任何一个实验室能独自铺就这条路。每一项新的防御，都让我们得以开放此前风险过高、无法发布的模型。这需要远不止我们一家的力量，我们也希望广泛支持这项工作。

我们即将推出 Tinker 安全资助：为社区提供资金，以加强生态的防御能力。如果你做安全研究，我们的 Tinker 平台能让你轻松研究微调及其风险，不妨一试。如果你做系统防御，我们想助你先人一步。如果你做模型评估，我们希望你严格审视我们的模型。如果你想从内部参与这项工作，欢迎加入我们的安全团队——我们正在招聘！