开源模型版图：开放权重正在改变什么

大多数人对大模型的第一印象是"打开聊天窗口提问"。但当你要把 AI 长期接进一家公司的业务系统时，三个问题立刻浮出来：资料发出去安全吗？服务突然限流怎么办？能不能让模型学会我们公司自己的数据处理方式？

开源模型（更准确说是开放权重模型）给这三个问题提供了另一种解法：在许可证允许的范围内，把模型参数下载下来，部署在自己的环境里，继续微调它，让用户自己决定怎么用。整条「模型工程线」讲的就是这件事——它是 FDE 私有化交付的模型侧基础。

一、先分清三件容易混的事

免费，说的是要不要付钱；开源，说的是你能拿到什么、被允许怎样使用。

• 一个聊天产品可以免费，却不提供模型权重；
• 一个允许免费下载的模型，运行起来仍然要算力和维护成本；
• API 只是访问模型的一种方式：开源模型可以由服务商托管成 API，你自己部署的模型同样可以对内提供 API。

所以"开源还是闭源"和"调 API 还是自己部署"是两个独立的轴，不要搅在一起。客户说"我们要开源方案"，你要追一句确认：他要的是数据不出门，还是不想付订阅费，还是要改模型行为——三个诉求对应的方案完全不同。

还有一层：开放权重 ≠ 开源了全部训练过程。训练数据、训练代码、使用权限要分别查看，别替客户打包票。

二、同样叫开源，开放程度分四档

2026 年 5 月 G7 发布过一份 AI 开放程度参考文件，把模型开放程度从高到低分成四档：

企业客户几乎从不需要重做预训练——能运行现成模型、适配自己的设备、再用业务样本微调，已经能解决绝大多数具体问题。这就是开放权重这一档的实用价值。

三、开源模型现在到底什么水平

"开源比闭源差一截"是老印象，2026 年需要重新看。两个信号：

1. 前沿讨论里开源已经上桌。 2026 年 6 月马斯克判断中国模型达到 Anthropic 前沿水平"可能要到 2027 年 Q1"，智谱联合创始人唐杰回复"won't take that long"——这场互动本身说明开源模型站在了大模型前沿。
2. 安全事件里的真实依赖。 2026 年 7 月 Hugging Face 生产基础设施被入侵，安全团队要用模型分析攻击记录：先试商业 API，结果真实攻击命令和漏洞利用内容触发了服务商的安全拦截；随后团队在自己基础设施上用开放权重模型 GLM-5.2 完成取证分析，重建了约 17,600 次攻击动作，敏感数据全程没出门。

第二个案例值得 FDE 背下来——它一句话讲清了开源模型的不可替代性：数据留在本地、断网可用、任务执行不受第三方策略限制。

四、什么场景该上本地部署：一张判断清单

适合本地部署开源模型的信号：

• 敏感数据：核心文档、客户隐私、内部业务数据，不能发给第三方公有云；
• 离线/内网环境：专线、涉密网络等生产环境根本连不了外网；
• 调用量大且稳定的重复任务：文本分类、意图识别、信息抽取、文档摘要、知识库问答这类输入输出形式明确的任务，自建综合成本常常低于按 Token 付费；
• 垂直领域：企业内部设备名称、业务流程、行业术语，通用模型理解有限，正好用自有数据微调补上。

不适合、该劝客户用 API 的信号：

• 调用次数少、业务变化快、需要持续追新模型能力；
• 还在探索期、没有数据也没有运维团队。

注意：即便本地部署，也不一定需要最大参数的模型。任务复杂度决定模型规模，这是下一章显存账要算的内容。

五、FDE 视角：客户问"开源还是 API"，用四问收口

四问全是"是"的答案落在同一侧时，方案几乎没有悬念；落在两侧时，把两条路的 TCO 各算一版给客户看（这套算法在后续《显存账》一课展开）。

本课自测

1. 客户说"我们要免费的大模型"，你应该澄清哪三个可能完全不同的诉求？
2. Qwen3 属于 G7 四档开放程度中的哪一档？这一档你能拿到什么、拿不到什么？
3. Hugging Face 安全事件里，商业 API 方案是在哪一步失效的？这说明开放权重的什么独特价值？
4. 请说出两个"该劝客户继续用 API"的信号。