过去一周，两份“开源”公告。
一份是 11 月上旬，法国公司 Mistral 把旗舰模型 Mistral Large 4 的完整权重放上了 Hugging Face。1 万亿总参数、原生多模态、每 token 激活约 500 亿。开发者可以下载、可以微调、可以在自己的机房里部署。Mistral 自己的官方博客标题里，用了“open weights”。
另一份是 11 月 4 日，腾讯发布混元 Hy4 正式版，视觉理解、操作系统、百万上下文，API 上线腾讯云和 OpenRouter，WorkBuddy、CodeBuddy、元宝、ima 同步接入。发布文里也写着“开源”。
但 11 月 5 日，OpenRouter 指向的 Hugging Face 权重页返回 401；11 月 6 日，GitHub 仓库返回 404。
同样是“开源”，一份你今天就能下载，另一份连仓库都还没有。
这不是谁抄错了宣传稿。这是一个行业正在经历的、更值得被认真对待的转变：“开源”这个词，已经从形容词变成了合同条款。
一、先把话说清楚：这个词被拆成了三件事
先解释为什么“开源”现在这么容易吵架。
开源软件基金会（OSI）从 1998 年起维护《开源定义》。2024 年 10 月，OSI 推出《开源 AI 定义》（OSAID）1.0，把经典的四项自由搬到了 AI 上：要能自由使用、研究、修改、分享。
关键在第四条的后半段——“研究”这项自由，要求披露足够详细的训练数据信息，让一个有能力的人能重建出一个实质等价的系统。
这一条把所有的“我开源了”区分成了两个阵营：
|
|
|
|
|
|
|---|---|---|---|---|
|
|
|
|
几乎都不是 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
少数真正满足的 |
对照着看，2026 年你能在新闻里读到的“开源模型”，绝大多数属于第二行。
权重公开 ≠ 权利完整。 这是最关键的一句话。OSI 自己写得很直白：开放权重只暴露了“实现完整问责所需信息的一小部分”。斯坦福 HAI 主任 James Landay 的说法更传神：
“你可以下载模型，在自己的机器上跑，把它留在别人的数据管道之外。但你仍然看不到它是怎么造出来的、拿什么训练的、为什么会这样表现。这不是一个开放模型，这是一次开放分发。”
所以现在真正的局面是：“权重”和“权利”被拆开卖了。厂商愿意给你权重，因为权重本身已经不太稀缺；他们不愿意给你的是训练数据的完整说明和托管变现权。
这不是阴谋，这是必然。权重一旦公开就收不回来，而“谁能靠这个模型收钱”是可以被精确设计的。Mistral 首席科学官 Pierre Stone 说开放权重能保证“访问的连续性”——因为服务商无法撤回已发布的权重。这话说得对，但反过来也成立：权重公开的那一刻，模型作为商品的价值就转移到了别的地方。
二、刀口都落在同一个地方：商业托管
那么各家到底卡在哪儿？
把 2026 年主流的几份协议摊开看，会发现一个极其一致的结构。
Mistral Large 4（“Le Chonk”）：使用自定的“Mistral Ecosystem Open-Weight”协议，本质是修改过的 MIT。自由使用、修改、微调、商用都允许，唯一附加条件是：把该模型做成模型即服务（MaaS）对外提供的平台，必须与 Mistral 另签商业协议。据第三方对协议的解读，内部使用、把模型嵌入自有产品、转发请求给别家托管的模型、以及通过 Mistral 自家产品使用，都属于豁免范围——注意这只是第三方的解读，真要上线还是得自己读协议原文。
Meta Llama 4：三个著名的卡点。一是 7 亿月活门槛——产品或服务（含关联方）月活超过 7 亿的，须向 Meta 另行申请授权，且 Meta 有“自行决定”是否同意的权力；二是品牌义务——必须显著标注“Built with Llama”，且基于 Llama 训练的衍生模型对外分发时名称必须以“Llama”开头；三是地域排除——多模态 Llama 4 的许可权利不授予欧盟境内个人及主营业地在欧盟的公司（纯文本版本仍开放给欧盟开发者）。这个条款被广泛解读为 Meta 在规避欧盟 AI 监管的不确定性，但官方从未确认动机。
智谱 GLM-5.3：8 月 14 日发布时承诺“两周内开源”，8 月 28 日晚如约开放——没多一天，也没少一天。但许可从上一代的 MIT 换成了自定义的 GLM-5.3 License，门槛是：连续 12 个月累计营收超 100 亿美元、且要将模型对外提供 API 推理或微调等 MaaS 服务的机构，必须先通过智谱的安全审查。个人与普通企业不受限制，把模型嵌入自有产品也不受限。
Qwen 主线、Gemma 4：Apache 2.0。无月活门槛、无品牌义务、可自由用于训练其他模型。Gemma 4 在 2026 年 4 月从旧的自定义条款改为 Apache 2.0——旧 Gemma 3 条款允许 Google 单方面修改许可、并要求开发者向下游转授 Google 的禁用政策，被批评为“看着开源其实不是”，这次切换算是对这个问题的一次认错。
看出来了。
几乎每一份“看起来开源”的协议，都精确地把刀口落在了“商业托管”这一环。
自有部署随便你，微调随便你，做产品随便你，把模型嵌进你卖的东西里随便你——但如果你想靠“卖这个模型的算力”赚钱，得回来跟我谈。
这背后的商业逻辑是清楚的。开源模型火起来之后，一个尖锐的现实是：大量云厂商和推理市场在用别人开源的权重做生意，却没有把算力资本回流给模型作者。 Mistral 的 MaaS 限制，本质上就是在回应这件事。
而智谱那条“100 亿美元营收门槛”，被 The New Stack 和 VentureBeat 直接质疑过：这到底是安全考量，还是想在托管业务上给大玩家设卡？ 报道保留了两种解释，VentureBeat 称这个张力“尚未解决”。事实上，Moonshot 和 DeepSeek 同期仍维持更宽松的许可条款。
这个“卡大玩家、放小玩家”的分层设计，2026 年已经成为头部开源模型的主流做法。GLM-5.3 用的是这套，Meta 的 7 亿月活也是这套。区别在于门槛画在哪儿。
三、一个更有意思的问题：模型里的“价值观”，是权重的一部分吗？
上面讲的是钱。这一节讲一个技术问题，但它是这次最值得中国读者看的部分。
11 月 6 日，美国的 Nous Research 发布了一个叫 Arete-27B 的模型。做法极其简单：
拿阿里巴巴的 Qwen3.8-27B 做底座，用纯监督微调（SFT）——不用强化学习、不用偏好优化、不改任何架构——在约 5280 万 token 的数据上训练了 2 个 epoch、1202 步。
5280 万 token是什么概念？Qwen3.8-27B 本身是百亿级模型，预训练数据量在万亿 token 级别。这次后训练的成本，相对预训练可以忽略不计。
然后效果是：
-
在 Nous 自建的 803 题“Propaganda_Eval”上，含中国官方叙事的回答从 22% 降到 0.9% -
事实分（0-5 分）从 2.32 升到 2.98 -
完全答错（0 分）的回答从 359 条降到 216 条 - 变化最大的“言论自由”类
：宣传率从 60% 降到 1%，事实分从 0.89 升到 2.44 -
能力几乎没有损失：Nous 内部通用基准 Hermes Bench 上 65.60%，对比基座 65.77%，差距在噪声内；Terminal-Bench-2.1 上 70%，比基座的 67% 还高 3 个点
Nous 自己下的结论，比任何外部分析都更尖锐：
“我们从这个项目里得到的结论，不是某个 27B 模型现在能回答以前不会回答的问题。而是——中国对齐模型里的偏见层是浅的。它施加得晚，施加得薄，五千万 token 的精心监督就能把它移除，而底下的东西毫发无损。”
“任何开放模型里的价值观，都只差一次微调。”
这句话需要被认真对待。
它意味着：所谓“开源模型的价值观”，在技术上是一个可插拔的插件，不是一块刻在权重里的钢板。 一个 27B 规模的模型，一个小团队，用相当于预训练量万分之几的后训练成本，就能把这一层换掉。
当然，“换掉”的方向有争议。Nous 用 Inkling（Thinking Machines Lab 的开源权重模型）当教师模型，用 Grok 4.7 当裁判，评测集覆盖言论自由、国家意识形态、国家与自由市场、教育、数据隐私与监控、民主、环境政策七类。它做的事情在技术上完全中立——它证明的是“这层可以被剥离”，而不是“应该剥离成什么样”。 事实上，剥成什么样，取决于你的教师模型是谁。
对中国的开源模型生态来说，这有几个具体含义：
第一，“我们开源”不构成一种价值观保护。 如果一个模型的“中国性”只存在于后训练的一层可微调薄层里，那它既不是护城河，也不构成实质差异——它只是一个可被替换的默认值。 反过来也一样：西方模型的价值层同样可以被覆写，成本同样是五千万 token 量级。
第二,真正难被替换的是预训练层。 底座里积累的中文语料能力、代码习惯、行业知识、规范偏好——这些是万亿 token 量级烧出来的，Nous 那个量级的微调动不了分毫。Arete 证明不了什么，但它精确地指出了“什么是可以改的、什么是改不动的”。 这是一条比任何排行榜都更有用的地图。
第三，可复现性成了新的竞争维度。 因为 Nous 把权重、评测集、完整的训练配方（从 AdamW 的 beta 到学习率 warmup 调度，1202 步的训练日志）全部公开了，任何人都能下载下来重跑这 803 道题。这是一种跟发布会不同的可信度主张——不是“相信我的数字”，而是“不信你可以自己算”。
四、顺便说说腾讯 Hy4：为什么“下周开源”变成了一个承诺
把 Hy4 单独拎出来说几句，因为它是这件事最好的中国样本。
11 月 4 日发布，官方明确写“我们计划开源模型权重”，并称已联合 vLLM、SGLang 社区以及 Inferact 提供开源生态支持，“届时”也会发布模型系统卡片。
到 11 月 5 日，OpenRouter 指向的 Hugging Face 页面返回 401；GitHub 仓库返回 404。到 11 月 6 日，仍然如此。
至今唯一能下载的开放权重产物，还是 8 月 27 日发布的 Hy4 Preview——770B 总参数、49B 激活、1M 上下文、Apache 2.0。需要特别强调：这些参数只属于预览版，不能直接套用到正式版上，正式版的参数规模和许可条款至今未公布。
为什么延迟？两个解释都站得住：
一是安全评估确实需要时间。GLM-5.3 就是先例——8 月 14 日发布时承诺“完成必要的安全加固”后开放权重，官方明确说“鉴于该模型在网络安全方面具备先进能力，我们在公开发布模型权重之前，专门追加了两周全面的安全评估”。它的 CyberGym 84.5%、ExploitBench 54.4%（前代 24.4%）说明这模型的攻击面确实值得多花两周。
二是放权重等于让渡定价权。Hy4 的 API 价格是 $0.834 / $2.501 / $0.042 每百万 token，与预览版完全一致，并且腾讯云 TokenHub 给到 2026 年底五折。如果此刻把权重放出去，所有推理托管商都能拿到同样的模型，用同样的价格卖同样的服务——这个“开源”公告本身，在商业上是有代价的。
所以不必急着指控谁。但有一件事必须说清楚：一个连仓库都不存在的“开源”公告，在事实上是一次托管决策，不是开放决策。 官方可以承诺，读者只能等待——而且必须接受，这个等待没有公开的时间表。
更微妙的是第二层：“开源”这个承诺本身已经在被消费了。 当 DeAI 这样的评测平台在 11 月 9 日的日报里把 Hy4 列为“open-weight model”类别，榜单上的其他模型就自动被放在了一个它们实际并不在的位置上。当一个模型尚未开放，它的开放性就已经在被引用、被比较、被计入格局了。
而且这个赛道正在出现一个新的合规灰区。去中心化推理网络 Chutes 在 Hy4 发布当天就把它上架到了 Bittensor——用的是当时还没开放的 Hy4，走的显然是 API 转发。按协议豁免条款的第三方解读，“转发请求给别家托管的模型”属于豁免范围。那么，一个纯转发方，是否需要另行授权？ 协议没有明说。这不是个案疑问，是所有“开放权重 + 分布式推理”组合都会撞上的那道墙。
五、泼几盆冷水
上面的分析如果只有赞美，那是不负责的。这个题材上厂商自吹的部分极多，需要单独清理。
第一，Arete 的数字全是厂商自评。 803 道题的评测集是 Nous 自己建的，判定器是他们选的 Grok 4.7（评分标准是在 25 道人工标注题上调优了三次），“宣传”的定义也是他们定的。更要命的是——模型卡自己印着：Arete 和 Qwen3.8-27B 都用 temperature 0 跑，而其他对比模型用 temperature 0.6。解码设置根本不一致。 Hermes Bench 更是 Nous 的内部基准。
第二,第三方测出来的幻觉率是 89%，官方说的是 5.45%。 这个差距大到不可能同时正确。两边几乎肯定用了不同的评测集，所以谁也不能算权威。唯一负责任的用法是：把它们都当作方向性参考，在自己的数据上重测。
第三，Mistral 自己的参数数字就对不上。 官方文档写 49B 激活参数，Hugging Face 仓库名却叫 Mistral-Large-4-1T-A52B，第三方开发者指南说“不含 embedding 约 490 亿”、Artificial Analysis 列的是 1.05 万亿总参数。Mistral 至今没有澄清。上下文窗口也是——有媒体说 100 万 token，但Mistral 自己的页面从头到尾没写上下文长度。
第四，开放权重阵营内部并没有拉开差距。 Mistral 的 Terminal-Bench 4.0 是 41%，同期的 GLM-5.3 是 40%、DeepSeek V4.1 Flash 31%、Kimi K3 21%——领先，但领先幅度是几个百分点。而 Hy4 的弱项也很清楚：ProgramBench 30.0 对 Claude Opus 5.5 的 56.5，Terminal Bench 4.0 是 44.4 对 Kimi K3.1 Pro 的 66.8，FrontierMath 13.0 对 GPT-6.1 Sol 的 97.5——定量推理是明显短板。
第五，Hy4 的幻觉率降幅本身就有两个版本。 一处说从 15.76% 降到 5.45%，另一处说从 12.95% 降到 7.2%。都是腾讯自家口径，都未经独立复现。
第六，所有“12 项基准全部领先”的表格，都是腾讯自己重跑竞品得到的。 这比直接引用各家营销数字要公平一些，但仍然不是独立榜单。
第七，别忘了基准是刷出来的。 Mistral 官方博客里有一张图，同一款 Terminal-Bench 4.0，DeepSeek V4.1 Flash 在 9 月是 31%、10 月是 41%——模型没变，分数涨了 10 个点。 这不必然是作弊，可能是评测配置变了。但结论是：任何单一基准的分数，都要先问“和上个月同一个人跑的是同一套配置吗”。
第八，“开源 AI”这个说法本身就是有争议的，而且争议不在厂商那边。 OSI 前主席 Bruce Perens 亲自批评 OSAID，说“这不是开源！……Open Source Initiative 自己也卷进了 Openwashing（开源洗白）”。软件自由 Conservancy 的 Bradley Kuhn 和 Red Hat 法务 Richard Fontana 主张废除 OSAID，认为它“过于草率地强加了一个有野心的政策妥协”。Lightning AI 的 CTO Luca Antiga 认为 OSAID 对权重的处理留下了“a gaping hole”。
而中国最高人民法院知识产权法庭的圆桌论坛讨论里，王鑫律师的判断更直接：以 OSI 为代表的严格派坚持“只开权重不开预训练数据和训练代码”不符合开源定义，而产业界基于数据版权、隐私保护和商业秘密的考量提出“开放权重”概念——这种“开源”与“开放权重”的认知差异，使现有法律治理对象难以界定。
这不是谁在洗白谁。这是连定义本身都还没吵完。
六、所以，看到“开源”两个字，现在该问什么
给一个能直接用的清单。这不是学术问题，是选型、采购、合规评审里每天都会遇到的。
第一问：权重今天能下载吗？ 只有一个 API 入口却写着“开源”，那就当闭源对待。这一条能立刻过滤掉 Hy4 这种“仓库还没建”的情况。
第二问：许可是 OSI 认证的吗？ MIT 和 Apache 2.0 之外的自定义协议，意味着有条件、有触发时点、有你不一定看得懂的措辞。注意 Apache 2.0 相比 MIT 多一条专利授权——如果有人就专利侵权起诉你，Apache 2.0 会自动吊销对方的许可。这在企业法务那里是真金白银的差别。
第三问：有门槛吗？ 月活门槛（Llama 的 7 亿）、营收门槛（GLM-5.3 的 100 亿美元）、地域排除（Llama 4 多模态排除欧盟）、品牌义务（“Built with Llama”）——这些条款平时不痛，直到你被收购、进入那个区域，或者用户量涨过线的那一天才发作。 The New Stack 和 VentureBeat 提到的那句“a familiar pattern for large platforms”说的就是这个。
第四问：我想做的是“用”还是“卖推理”？ 这是决定性的一问。自有部署、嵌入自有产品、内部使用——大部分协议都放行。把模型做成 API 卖给别人赚调用费，几乎是所有主流协议唯一设卡的地方。 融资到 D 轮、准备做 MaaS 平台的团队，这一条必须提前问，否则会在产品上线前撞墙。
第五问：我要依赖的是哪一层？ 如果你在意模型的“倾向”（合规、审查口径、代码风格、拒答边界），你要清楚：那一层是可被一次微调覆盖的。 想要稳定的行为，就自己微调、自己托管、自己评测，而不是指望基座带给你。
最后
回到那两个开头的画面。
Mistral 把一万亿参数的权重放在 Hugging Face 上，让你下载、微调、部署；腾讯把一套还在审计中的模型放上 API，说“下周开源”。
从工程角度看，两者交付的东西差距不大——都是一份可以跑的模型。
从合同角度看，两者交付的是完全不同的两种东西：一个是所有权，一个是承诺。
而行业正在做的事，是把“开源”这个词从形容词改造成条款表：权重是货物，训练数据是说明书，托管权是牌照，价值观是可以在交付后被改写的一层薄薄的镀膜。
这个词没有死。它只是终于不再免费了。
现在读一份模型发布公告，第一件该做的事不是看它的分数，是去找那份协议。
分数是别人评的，协议才是你真正签下的东西。