AI 能力的发放正在分成两条路：最强的攻防模型要凭审核领，开源把许可放开、把门槛换成机房。
一、最强的那一个，先不卖
OpenAI 在 11 月 5 日发布了 GPT-6 Cyber，一个专门找漏洞、写利用代码的模型。官方博客里有两个数字值得放在一起看：在 ExploitGym 上它拿到 48.5%，上一代 GPT-5.6 Cyber 是 32.1%。ExploitGym 是个靶场，考的是"能不能把指定漏洞真的打穿"，不是多选题。
另一个数字是关于边界的：在"会不会越界"的测试里，它在 99.93% 的场合没有去碰授权范围之外的服务，加上部署提示词后是 100%。越能打，越要听话，这两件事被同一套训练绑在了一起。
成果也是实的。OpenAI 说用它在 Linux 里做出 948 个提权漏洞——提权就是从普通用户变成管理员，这是攻击链上最关键的一步，拿到它基本等于拿到整台机器；它还在 Firefox 里找出 81 个此前未知的高危漏洞，Mozilla 已修掉大部分。按自家 Preparedness 框架，它被定为 Critical，即最高一档，上一代是 High。
然后是整件事的关键一句：它不零售。能用的只有 Daybreak Red 的客户，一个需要审核的安全研究通道，公司说会逐步扩大范围。
一种读法是，这种能力确实不该像生成表情包那样随手开放。另一种读法是，谁能拿到最强的工具，第一次完全由供应商的名单决定，而名单和标准都不公开。官方没有解释审核怎么做。
二、对外要审核，对内可以放着
11 月 5 日，安全媒体 The Register 报道了另一件事：Claude 的 Dispatch 功能有个漏洞，Anthropic 知道五个月了，不打算修。
Dispatch 让你从手机或浏览器，给桌面上会执行命令的 Claude 派活。研究者 Gal Weizman 发现，它的接口和 API 从一个普通的 claude.ai 登录会话就能访问，于是任何能控制 claude.ai 的浏览器扩展，都能冒充本人给 Claude Desktop 下命令：在本机跑代码，或者跳到同一账号登录的另一台电脑上跑。按他的说法，涉及"几百万装机量"。
重点是时间线。2026 年 5 月他报上去，Anthropic 承认是有效漏洞，但按"已知问题的重复"关掉，没有奖金，也没有 CVE 编号——CVE 是漏洞的公开身份证号，有了它，企业才能在自己的资产清单里排查。公司当时说打算在 10 月底下线 Dispatch，这件事没有发生；10 月 30 日官方支持页仍写着"部分套餐有限测试"。研究者还认为，就算下线，同样的设计缺陷仍活在 Claude Code Remote Control 和 Cowork 里。
两条放在一起，结论不太好听：审核是给外面的人设的。对外，最强的模型要过名单；对内，一个已经被确认、被指出的洞可以放着不动。Anthropic 没有回应 The Register 的提问，"为什么不做"没有官方解释。
三、许可证松到接近 MIT，门槛换成了机房
11 月 5 日早上，月之暗面把 Kimi K3.1 Pro 的权重传上了 Hugging Face。Hugging Face 是开源模型的下载站，权重则是模型训练完的那堆参数，可以理解成安装包。
这是个混合专家模型：总参数 2.8 万亿，但每次推理只唤醒其中 1040 亿，约 3.7%，所以跑起来不像数字看着那么贵。它支持 100 万 token 的上下文——token 是 AI 读写文字的最小单位，100 万 token 大致能一次装进几百页的合同加附件。
能力上，模型卡自评的金融研究基准 Frontier Finance 里它是 58.6，同一张表上最强的 Claude Fable 5.1 是 60.8，OpenAI 的 GPT-6 Astra 是 45.0。跟最强闭源差 2.2 分，比 GPT-6 Astra 高 13.6 分。这是厂商自评表，口径未必中立，但差距的量级值得记住。
许可也确实松了：主体沿用 MIT 的写法，只留两个限制——靠转卖 API 赚钱、且集团年营收超过 2000 万美元的，要另签协议；产品月活过 1 亿或月收入过 2000 万美元的，要在界面上署名。对绝大多数使用者，等于免费商用。
但门槛没消失，只是换了位置。权重按 8 位精度存下来是 2.72TB，比一台普通笔记本的整块硬盘还大两到五倍；官方只给了 vLLM、SGLang、TokenSpeed 三条部署路径，没有给最低配置。许可证不再是成本，机房才是。
百度也在 11 月 5 日开源了 文心 5.5 Flash Base：总参数 2800 亿，每个 token 只激活 140 亿，用 33.5 万亿 token 预训练。它回答的是另一个问题——同样的能力，怎么更省电。
四、往用户这边开的，是另一扇门
11 月 5 日，Anthropic 上线 Personal Finance：美国的 Pro、Max、Ultra 套餐开始测试，通过 Plaid 连银行和信用卡账户。Plaid 是银行与第三方应用之间的中间层，Claude 因此拿不到你的网银密码。
它能看到：银行名、账户名与类型、卡号后四位、余额与信用额度、最多两年流水。只读，不能转账、不能投资，也不构成投资建议。侧栏里的对话不用于训练模型，没有广告。对照一下，ChatGPT 在 5 月上的同类功能，按 Engadget 的说法是沿用账号原有数据设置，不改就默认在训练范围内。
于是收紧和放开同时发生，但收紧的是能力，放开的是数据。
一种读法是，能力一旦外流就收不回来，数据只要用户点一次同意就能持续供给，这个交换对平台更划算。另一种读法是，用户确实拿到了实用功能，代价写在了协议里。官方没有把两者放在一起讨论，哪种读法成立只能各自判断。可以确定的是，同一家公司的桌面客户端正带着一个未修的远程执行漏洞，而它现在离你的账单更近了。
五、所以，这事跟你有什么关系
对普通用户：你买到的是"够用且被批准"的那一档。GPT-6 Cyber 不会出现在任何个人订阅里，决定权不在钱包，在名单。
对开发者：许可证正在变成最便宜的一环。想自己跑 Kimi K3.1 Pro，先算机房和电；想用最强的攻防模型，先过审核。两条路都不再由"付钱"决定。
我的判断是，AI 的分发权正从产品经理手里转到合规与采购手里。开源是唯一有效的对冲，但它对冲的是许可，不是算力——所以开源越强，"有资格自建"的人和"只能用 API"的人差距越大。
两个能自己验证的观察点。一是到 2027 年 5 月，Daybreak 的准入标准是否公开：如果仍是"select customers"、查不到门槛和申诉渠道，说明分发权已彻底私有化。二是 Claude 的支持页：如果 Dispatch 继续挂在"有限测试"里，又始终没有 CVE 编号，说明"负责任发布"只覆盖还没上线的新模型，不覆盖已经在跑的功能。
评论