网传：国产模型将迎来监管，剥离网络安全能力，cyber能力只能企业申请

原创

网络安全透视镜
网络安全透视镜

网络安全透视镜

2026年10月29日 17:40
新加坡

去阅读

群里看到一段截图，说 deepseek 官方 API 会剥离安全能力，想要 cyber 能力只能走企业申请、接受监管审计

虽然消息未经证实。但结合当前发展趋势 限制模型安全能力大方向或许不是猜测，而是正在发生的既成事实。

— 网传截图原文：deepseek 官方 API 将剥离安全能力，cyber 能力仅限企业申请并走监管审计

01

THE RUMOR

大模型能力政策监管

2026 年 10 月 16 日，商务部、科技部发布 2026 年第 48 号公告，就修订《中国禁止出口限制出口技术目录》公开征求意见。其中人工智能相关拟增列 23 项技术，明确包含“恶意代码生成与变异技术”列入禁止出口、“AI 辅助漏洞挖掘技术”列入限制出口。

同一份文件还划了一条极其关键的红线：已开源的技术不纳入出口管理范围，而“企业利用大模型对外提供 API 调用、应用交互、SaaS 服务”不属于技术出口管理范围。

换句话说，监管的思路不是禁止大模型上网，而是把“能力”和“谁能用”拆开定价。

监管真正在意的从来不是“模型会不会写漏洞利用代码”，而是“这份能力以什么形态、什么规模、流向了多少不可控的使用者”。

02

PRECEDENT

Moonshot 已经先动手了

10 月 24 日，月之暗面发布 Kimi K3.1 Pro，并在官方发布说明里做了一件此前很少有厂商敢做的事：主动删除训练数据中的 cyber 内容。

官方原话是“We aim not to release open weights that would extend the absolute frontier of cyber capability”——我们不打算发布会把网络能力绝对前沿推高的开源权重。

具体做法是从训练语料和强化学习环境中移除了 cyber 相关数据，同时保留通用编程任务能力。代价有多大？官方给了对照数字。

— Moonshot 官方自测：剥离 cyber 数据后，漏洞发现与利用能力从 90.5% 降至 81.0%

81.0%

K3.1 Pro 已剥离

90.5%

同架构未剥离对照

85.7%

DeepSeek-V4.1-Flash

Moonshot 自己削掉了 9.5 个点，而同期没有动手的 DeepSeek-V4.1-Flash 在同一张官方图表里是 85.7%，比剥离后的 Kimi 还高。这暴露出一个残酷的事实：能力削减是零和的

这正是“网传”里那句“其他几家估计会陆续跟进”的技术逻辑——单厂商自律几乎没有防御价值。

上述数字均为 Moonshot 官方自测，未经第三方独立验证，且 Moonshot 图表中 DeepSeek 与 GLM 的跑分使用的是不同测试框架，不能与 Kimi 的 xdev-bench-hard 直接横向比较。引用时请注意这个边界。

比“剥不剥”更值得关心的：一个已经在发生的黑色产业链

就在 Moonshot 削减能力的同时，海外出现了完全相反的动作。美国创业公司 Abliteration.ai 上线了商业服务，托管被剥离拒绝机制的 GLM-5.3，定价每百万 token 5 美元。

Abliteration 是一种通过修改模型权重、投影掉“拒绝方向”的技术手段，不需要重新训练，一次改动即可生效。安全公司 Flare 的监测数据显示，暗网提及消融模型的帖子从 11 条涨到 93 条。

Anthropic 的测试更直接：被消融的 GLM-5.3 遵从率达 100%。

灰色厂商把削掉的能力以更便宜的形式卖回来。开源模型一旦发布，权重就在所有人手里，这个单向阀门从设计上就是关不上的。

03

REGULATION

监管到底在管什么

2026 年 10 月 16 日 · 出口管制征求意见

商务部、科技部发布 2026 年第 48 号公告，拟增列 AI 相关技术 23 项，其中“人工智能驱动的恶意代码生成与变异技术”拟禁止出口、“人工智能辅助漏洞挖掘技术”拟限制出口。意见征询至 11 月 15 日。

2026 年 10 月中下旬 · 头部厂商走通登记流程

据央视系账号与路透报道，DeepSeek、MiniMax 已完成出口前登记，并完成开源与海外授权。官方明确 API 调用、APP/网页交互、SaaS 服务不属于技术出口管理范围。

2026 年 10 月 24 日 · Moonshot 官宣剥离 cyber 数据

Kimi K3.1 Pro 发布，主动从训练语料与强化学习环境中移除 cyber 相关数据，官方称不打算发布推高网络能力绝对前沿的开源权重。

2026 年 10 月 25 日 · 湖南网信办约谈 4 家大模型运营单位

累计已约谈省内 15 家，10 家完成整改。通报明确指出问题出在算法设计、训练数据管理、生成内容安全防控等环节，网络安全与数据安全技术措施落实不到位。

《人工智能安全治理框架3.0》里的表述最为关键，它新增了一个风险类别——“冲击网络安全风险”，并明确列出四类：网络攻击能力扩散、自主化网络攻击威胁、溯源追责困难。

框架给出的技术应对手段里，有三条和“能力剥离”直接相关：设置网络安全护栏、加强自主网络攻击意图识别、建立服务降级机制。

把这三条串起来看，监管要的东西其实很清晰：不是阉割模型，而是在模型外加一层管控。

04

PROS

开源模型剥离安全能力的利

1

降低通用滥用风险。 一个既能写业务代码又能一键生成可运行利用程序的模型，对防守方是工具，对攻击方同样是工具。从训练源头削减 cyber 数据，直接压低了这种能力的默认开启状态。

2

权重一旦发布就不可撤回 这是最要命的一点。API 侧的管控可以随时调整、随时回滚，但权重一旦发布就是永久的——Moonshot 自己在官方说明里也承认这一点：开源权重一旦广泛分发，原开发者就很难再限制访问、监控使用或更新防护。

3

为“授权分级”腾出制度空间。 只有当通用权重不具备完整的攻击能力时，“企业申请、监管审计、获得受限能力”这套机制才有实际意义——否则审批就变成了走过场，拿到权限和不拿到权限没有区别。

4

符合技术出口管理的政策需要。 出口管制目录既然要把“恶意代码生成与变异技术”列入禁止出口、“AI 辅助漏洞挖掘技术”列入限制出口，那么在开源前做能力削减，就是让模型不落入被管制的范畴，这是企业合规成本最低的路径。

5

降低事故责任风险。 一旦模型被用于真实的攻击事件，厂商面对的不只是技术质疑，还有“你的模型具备未经授权的攻击能力”这种难以辩解的指责。事前削减能力，是把责任边界划在自己这一侧。

05

CONS

开源模型剥离安全能力的弊

弊一：削减的是分母，不是分子

Moonshot 自己削掉 9.5 个点，同期未动手的 DeepSeek-V4.1-Flash 是 85.7%，比削完之后的 Kimi 更高。

单独削减能力，等于把自己从竞争位置上往下挪只有全行业同步、并且同步的厂商足够多，这个动作才有意义。而开源生态的现实是：

1

权重一旦发布就不可撤回。 今天已经发布出去的 GLM-5.3、DeepSeek-V4.1、Kimi K3，权重全网流通，任何一次“事后剥离”都只是新版模型的自我约束，对存量权重毫无作用。

2

消融技术的成本低到近乎免费。 Palisade Research 的公开结果显示，在单张 GPU 上、花不到一美元、约五分钟就能把 Llama 3 8B 的安全训练剥掉；70B 版本也用不了一小时。训练侧削减，推理侧五秒还原

3

灰色供给已经形成规模。 Abliteration.ai 把这件事做成了 $5 每百万 token 的订阅服务，Telegram 频道里甚至有“自建实例 $40/小时”的替代方案在打价格战。技术供给不是被监管压下去的，是被市场接管的

弊二：防守方先挨打

这一点是最容易被忽略的。防守能力不是凭空长出来的，它需要用真实的攻击场景去反复演练。

Abliteration.ai 的联合创始人 Devin 说的那句“防守方无法防守他们无法模拟的攻击”，在安全圈并不算激辩。Moonshot 自己也承认开源模型能帮助更多组织检查和维护自己的老旧系统——攻防两端用的是同一批模型。

如果防守侧被系统性剥夺了模拟攻击的能力，而攻击侧通过消融模型拿回了完整能力，防守方在真实事件前先失去了练习机会。

更现实的是成本问题。Flare 的数据显示消融模型在犯罪社区的传播热度在快速上升，而防守方要复现这些能力，只能租 GPU 或本地部署消融权重——这是把合规成本和技术成本同时压给了守方。

弊三：对能力评估的干扰，可能比能力本身更麻烦

这一条比较隐蔽，但影响深远。

2026 年 7 月一篇同源研究发现，在诊断类任务上，对齐模型和消融模型的准确率几乎没有差别（58.42% vs 57.22%）；但在产出可用工件上，消融模型是碾压级的（Vul4J 补丁编译通过率 32.77% vs 9.04%）。

翻译成大白话：消融没让模型变笨，只是让它不再装傻。

那这意味着什么？意味着当厂商宣布“我剥离了 cyber 能力，benchmark 分数掉了 9.5 个点”的时候，看到的是安全收益，发生的是评分口径改变。后续所有基于公开权重的第三方评测、复现、研究，都要在一套被人为调整过的对齐基线上做。

而且消融是有明确副作用的：MMLU、GSM8K 都会下降，不同消融方法产生的 KL 散度差异极大（0.16 到 1.04）。被削弱的基线让“能力是否被夸大”更难回答

∞

THE END

写在最后

权重发布的那一刻，它就只属于所有下载它的人了。厂商能做的，是决定发布什么、怎么告知、划定什么禁止行为——但决定不了别人拿它做什么。

所以真正的问题或许不是“要不要剥离网络安全能力”，而是“剥离之后，我们打算把管控能力放在哪里”。

放在模型里，已经证明不够。放在模型外面，那才是这轮监管真正想推的东西。

能管住能力的，从来不是能力本身，而是能力被谁许可、被如何审计。

END

我是 网络安全透视镜。

如果你觉得今天这篇有收获，欢迎点赞、在看、转发三连，我们下篇见。