黄仁勋为什么着急推动开放权重倡议？先把事情说清楚。一个从来不发推的人，突然发了人生第一条推。7月24日，黄仁勋在X上发了一个帖子。最有意思的地方不只是内容，而是这是他人生第一条X。他以前不是不发，而是原来根本没有账号。过去我们在X上看到的各种英伟达消息，都是由英伟达官方账号发布的。一个世界市值最高公司的CEO兼创始人从来不发X，这件事多少有些特别。当然，他跟每天长在X上的马斯克没法比。

黄仁勋这条帖子的阅读量直接冲到1,100多万。按照X平台的付费标准，他已经可以获得收入了，但这点收入对黄仁勋来说应该不算什么。他发的是一封公开信，题目叫《开放权重与美国的AI领导力》。帖子里写了一句话：“开放模型强化安全和网络安全，加速创新与扩散，并且使主权成为可能。”他一直在强调“主权”。

事情随后开始滚雪球。第一批有25家签署，第二天，也就是7月25日，直接翻到50家，OpenAI和谷歌都进去了，现在是77家。不过这个数字还在不断增加，等大家看到视频时可能又涨了，我们暂时以77家为限来讲这个故事。

开放权重不等于完整开源

在讲开放权重倡议书之前，首先要明确几个概念：什么是开放权重，什么是开源，什么是开放软件。这是三个不同的东西。与它们形成鲜明对比的是闭源API，也就是我们现在习惯使用的OpenAI、Anthropic、谷歌Gemini、xAI的Grok和Meta的Muse Spark。这些都属于闭源API，部署在各自公司的服务器上，权重在人家手里，价格、访问权限以及什么时候停机，都是人家说了算，使用者没有任何话语权。

有时停机也不是故意的。比如前两天OpenAI的认证服务器挂了，全世界的人，或者说很大一部分人，都无法登录，好像隔了几个小时才恢复。对我来说，这倒是一件比较欢乐的事：那天我刚好把自己的Codex额度用到100%，一点都不剩，第二天一觉醒来额度又被重置了，我还挺开心。

第二个概念是开放权重，也就是这次公开信的主题，英文叫open weights。它保证模型参数可以下载、检查和修改，也可以在自己的基础设施上运行，但训练代码通常不给，训练数据说明通常也不给，许可证还可能带有一定限制。使用开源软件不等于免费，开源软件是一套完整的商业模式，里面有许可证，使用者必须遵守。开放权重模型的许可证通常是在开源许可证上修改而来，比如限制用户数量或部署规模，部署量太大以后可能就要付费。

第三个概念才是完整的开源AI。按照开源促进会，也就是OSI的定义，完整开源除了提供权重，还要提供修改系统所需要的训练代码、数据信息，以及使用、研究、修改和再分发的权利。OSI说得很清楚，只开放权重不足以构成完整的开源AI。

还有一个概念叫开放软件，可以理解为在开源软件后面再进一步。开源软件仍属于商业模式，到了开放软件那一层，更像是宗教信仰。开源软件可以挣钱，开放软件则追求完全免费。我们这里不展开讨论。

这一次77家签署的，就是开放权重，不是开放软件，也不是完整的开源AI，更不是把自己的一切都开放。我之所以花时间掰扯这些概念，是因为如果把它简单归结为“开源派对闭源派”，就看不见这次真正争夺的东西。争夺的其实是模型的控制权和分发权：谁能够决定一个模型能不能被下载、能不能自行部署、能不能被拿去做别的东西，这才是核心。倡议并不要求拿到模型的人能够从头重新把模型做出来，那已经是完整开源AI的范畴了。

谁签了，谁没有签

谁签了、谁没签，有时比签了什么更重要。就像一个领导生病了，来探望的人一个个记下来。有人问领导记得住吗？领导说，来的人记不住，但谁没来，我能记住。这里大概也是同样的道理。

先看芯片企业。AMD和英伟达来了，其他企业却没来，英特尔、博通、高通和Arm都没有出现。这里没有任何情怀，全部是生意和利益，这句话一定要记住。英特尔没来其实挺奇怪，我估计可能是它的算力芯片份额太小，所以不掺和这件事。

模型厂商来了一些。除了Anthropic，事实上中国以外的大部分主流模型厂商都来了，中国模型厂商一个都没来。估计我们也想去签，但人家不要咱们，这个阵营就是这么泾渭分明。Meta、Mistral、Cohere、OpenAI、谷歌和微软都在其中。谷歌一开始不在，后来CEO皮查伊专门发了一条X，说很高兴能够代表谷歌支持这件事，谷歌长期从开源中受益，也是开源的重要贡献者，并一直通过Gemma系列提供开放权重模型。他还专门艾特了Google DeepMind和DeepMind的CEO哈萨比斯，意思就像是：你们看，我已经表态了，赶快去签字。

OpenAI也签了，这件事稍微有点奇怪，后面再讲。马斯克第一天表示支持，但名单上当时并没有xAI。到75家名单时，它已经进去了，不过出现的名字是SpaceX，不是xAI，也不是SpaceXAI。因为xAI和SpaceX已经完成整合，现在正式名称应该叫SpaceXAI。估计是SpaceX的人想欺负一下xAI的人，专门不把AI写上，这件事也挺有意思。日本的Sakana AI也在名单里。所以，在中国以外的AI厂商里，基本上都去签字了，唯一没签的是Anthropic。

剩下的签署者包括算力厂商、推理平台、云厂商、开发工具企业、软件企业、网络安全企业、行业客户、一批投资机构，以及原本就做开源AI模型服务体系的企业和组织，比如Hugging Face、Ollama和LM Studio。专门做开源的Linux基金会也在其中，A16Z和孵化器YC也在。

这里有一个特别关键的结构性判断：这77家里，真正直接训练、研究或者评测模型的，大概只占三成；剩下七成，是模型扩散之后能够挣钱，或者能因此获得议价权的产业参与者。所以这不是一支理想主义队伍，而是一个利益联盟。它最稳定的共同利益，不是“所有东西都要开源”，而是“不要把可下载模型这一整套商业形式一刀切掉”，因为现在美国政府准备切这条路。

谁没有来？除了Anthropic，亚马逊、甲骨文也没有来，还有刚才提到的博通和英特尔。这些都是大家原本可能认为应该出现在名单里的公司。

亚马逊没来的原因很简单，它把赌注押在Anthropic上，Anthropic怎么说，它就怎么做。谷歌虽然也是Anthropic的大股东，但谷歌毕竟有自己长期经营的人设，需要继续沿着开源和开放权重这条路走，不能因为支持了Anthropic，就把自己的人设丢掉。至于甲骨文，它押注的是OpenAI。虽然OpenAI签了字，但甲骨文与OpenAI合作的部分，一定是OpenAI不开放的那一部分，所以甲骨文也没来。

Anthropic为何缺席

Anthropic没有签其实比较好理解，这与它一贯的表达一致。这次Anthropic官方没有表态，达里奥·阿莫迪也没有出来说什么，只是单纯没有签字。达里奥·阿莫迪一直强调，能力很强的模型一旦开放权重，就再也收不回来了，这叫覆水难收。权重放出去以后，别人可以对模型做后训练或强化学习，原开发者再也无法控制这个模型后面会干什么。

比如Kimi K3这样的模型，本身能力非常强，但仍然设有一定的安全边界和限制。别人却可以拿这个模型去破解、解除限制，这时Kimi已经拿它没有办法了。坏人、恐怖分子或者其他我们不希望看到的人，手里就可能获得非常强力的工具。这一直是达里奥·阿莫迪的观点。这也让我想起Steam：任何游戏只要上了Steam，里面的角色最后穿什么衣服，就不完全由游戏公司控制了。

达里奥·阿莫迪这次没有发出新声音，但Anthropic仍然有人出来说话。一位名叫朱利安·施里特维泽的研究员出来阴阳怪气了一番。这个人来头不小，原来是AlphaGo、AlphaZero和MuZero这一系列项目的开发者，显然是从谷歌来的。7月25日，他在自己的X账号上连续发了两条。第一条说：“我太高兴了，黄仁勋现在也是开源信徒了，期待CUDA和GPU驱动开源发布。”第二条说：“纳德拉也站出来支持开源了，等不及看到Windows和Office开源了。”纳德拉是微软CEO。

这种阴阳怪气和反讽，我认为与倡议书本身关系不大。出来讽刺的人，可能更像开放软件或开源软件的宗教信仰者。他看到一些人打着开放权重的牌子，借开源软件的旗号站在道德制高点上，实际上却在做生意、追求商业利益，所以心里不服，出来讽刺一下，大概就是这么回事。

公开信的四项核心主张

回到公开信本身，它的核心主张可以归纳为四条。

给合法蒸馏留出空间

第一，要给合法蒸馏留出空间。信里说得很明确，蒸馏就是用一个模型的输出帮助训练另一个模型，这是一种被广泛使用的技术，可用于模型改进、评估和验证，也是从既有技术中学习、在其基础上构建和改进的长期传统的一部分。相对而言，用非法手段从闭源模型中提取价值是另一回事，应该通过有针对性的法律和商业框架处理，而不是一刀切地限制或封死整个技术路径。

但到底什么是合法蒸馏，这条边界在信中很模糊。这个模糊也不难理解，因为一旦写清楚，联盟内部可能首先就会吵起来，字也就签不上了。不同公司对这一点的要求不同，每家的用户使用手册都有自己的规定：达到什么情况算蒸馏，什么情况算正常使用，各家定义并不一致，而且通常也比较模糊。

鼓励美国自己的开放权重模型

第二，要鼓励美国自己的开放权重模型。信中的原话是，美国的AI领导力不应该由某一个前沿模型来判定，而应该看美国有没有建成一个强大的、能够扩散到每个行业的开放生态。它建议政策制定者扩大初创企业和研究者获得算力的机会，投资共享训练资产，包括数据集、工具和评测框架，并保持前沿模型的多元性。

承认风险，但反对禁令

第三，它承认开放权重有风险，但反对用禁令应对风险。信里没有回避这个问题，明确写道，权重一旦发布就超出了原开发者的控制，被修改过的版本很难追踪或撤回。但接下来它又说，正确的应对不是禁止开放权重。理由是网络安全：当攻击者在使用先进AI时，防御方也必须拿到能力相当的模型，才能检测、模拟和响应新出现的威胁。

这里指的应该是前一段时间GPT-6攻击Hugging Face的事情。先进模型上去攻击，结果OpenAI的GPT和Anthropic的Claude都拒绝服务，最后Hugging Face在自己的服务器上部署了GLM 5.2，才把事情搞定。

避免过早限制开放模型

第四，不要因为开源模型可能存在问题，政府就直接把这条路封死。信里使用的措辞是，避免对开源模型施加过早的限制。当然，有一点它没有说：现在这种巨大的开源模型只来自一个地方，这个地方就是天朝上国，恰好与美国不对付。而且现在真正发布开源大模型的公司，没有任何一家在这封信上签字。这个倡议大概率不会有什么结果。

顺便说一句，这封信开头有一个很有意思的历史类比。它说，1980年代早期的开源软件先驱挑战了当时的主流观念，也就是“软件只有在公司牢牢控制代码时才能进步”。后来，开源软件支撑起大半个互联网，也支撑了美国军方和联邦机构的关键系统。美国现在在AI上面临类似选择：到底走开源还是闭源？要记住这个1980年代的类比，后面要专门讲一个Borland的故事，这是我亲身经历的，可以拿来对照。

中国开放模型会领先吗

那么，黄仁勋到底在着什么急，为什么着急忙慌地推动这样一份倡议书？这里分两部分讲：第一，中国是不是要领先了；第二，黄仁勋近期和远期的焦虑到底是什么。

中国做了这么多大型开源模型，是不是要领先了？马斯克在7月23日接受《经济学人》采访时说，美国可以立法禁止美国公司使用中国模型，但美国阻止不了世界其他地区使用这些模型。他认为，中国有相当大的机会成为全球AI领导者，理由是中国的电力规模、工业基础和技术人才。当然，这只是他的预测。

黄仁勋在7月22日接受Axios采访时说，中国的开放模型非常优秀，美国企业应该被允许使用它们。市场把Kimi、DeepSeek这些低价开放模型误读成硬件需求的利空。但他同时又说，不存在中国把美国公司撞出公路的情况，这种可能性为零。也就是说，中国再强，美国仍然领先。黄仁勋说话还是比马斯克圆滑一些。

最近泄露的梁文锋四小时访谈里也说过类似的话。他认为最后我们还是会胜出，因为AI竞争最终是生产竞争。在人才方面，中国不缺，人才已经多到内卷甚至产能过剩；在电力方面也不缺；芯片和其他产能则会慢慢追上来。所以最终拼生产时，世界工厂必然会胜利。这是他的一套理论。

卖铲子的人最怕什么

接下来谈黄仁勋近期和远期到底在焦虑什么。大家喜欢把黄仁勋比作金矿旁边卖铲子的人，但卖铲子的人最喜欢什么样的金矿？是产很多金子吗？不是。卖铲子的人最喜欢矿工是一盘散沙。因为一盘散沙的矿工会互相比较，会寻找最好的铲子，所有卖铲子的人都在开放环境里竞争。最后大家发现黄仁勋家的铲子最好，就都去买他家的铲子。

但如果情况发生变化，最后只剩两三家大公司统一开矿，黄仁勋站在旁边卖铲子，大公司却可能说：“我不要买你的铲子，我要自己建厂造铲子。我的铲子可能没有你的好，但我可以专门训练矿工，让他们按照我这把铲子的方式挖矿。”这就是黄仁勋现在要面对的问题。

如果大家都使用闭源模型，比如Anthropic、谷歌Gemini或OpenAI的GPT，这三家公司都可以研发自己的芯片，找博通合作。博通也没有签字。TPU实际上就是博通设计、在台积电生产的。OpenAI、它背后的微软以及亚马逊，也都在做类似的事情。这些公司不需要向英伟达和黄仁勋支付品牌溢价，也不需要交专利授权费，完全可以自己把芯片做出来。哪怕没有英伟达的好用，也可以将就使用，只需要训练一下，就能得到更适合自己手型、更适配整个采矿流程的新铲子。这正是黄仁勋讨厌的局面。

如果大家使用开放模型，比如Kimi K3和GLM 5.2，情况就不一样了。开放模型无法专门训练用户按某种固定姿势干活，而且这些模型原本都是在英伟达芯片上训练出来的。算力机构、云厂商和那些建设主权AI的国家，就会开开心心地购买英伟达显卡。这是黄仁勋近期的焦虑。

远期焦虑是中国算力生态

远期焦虑仍然可以用卖铲子的故事解释。现在这些开放大模型都从哪里来？都来自天朝上国。因为禁运问题，中国的大模型都被要求适配本国自己的算力卡，比如华为昇腾950。这就好像来了一群东方矿工，他们确实是散兵游勇，但有一套特殊的挖矿方法。他们不用铲子，而用镐和耙子，而且已经训练得很好，价格便宜，效果也非常棒。大家可以沿用这套镐和耙子的方式继续培训、继续挖矿，那么卖铲子的人就不再占优势，卖镐和耙子的人也能站在旁边竞争。

哪怕镐和耙子没有别人的铲子好，这群人已经适应了这套东西。一旦这些大模型真的在全世界流行，大公司、大工厂决定使用智谱GLM 5.2或Kimi K3，它们也可以选择华为昇腾950部署。部署之后，效果与英伟达大差不差，这才是黄仁勋真正害怕的事情。一旦真走到那一天，他可能就是作茧自缚，真的把自己玩死了。

所以黄仁勋现在一定要出来呼吁：赶快开放权重，美国人也要做一些这样的东西，不能只让中国人做。中国人做出来的模型一定会适配自己的算力卡，到时候CUDA这套生态就捆不住人了。这才是他真正着急的原因。

因此，他的核心建议不是让中国开源模型更顺畅地发展，而是美国必须拥有自己的开放权重模型。这个区别非常重要。一旦美国有了自己的大型开放权重模型，这些模型一定会原生支持英伟达生态和CUDA。从训练到推理的整套流程，开发者围绕它建设的工具链，企业围绕它进行的部署，以及其他国家围绕它建设的主权AI，都离不开英伟达。

美国还有一个优势，就是不缺算力。如果它真的能够组织美国创业公司训练这种大模型，就有可能训练出比中国模型更好的产品，真正把scaling law做起来。现在中国的模型，不要只看2.4T或2.8T的总参数量，它们在每个任务中能够激活的参数量也就是50B，不敢再大，因为再大设备就顶不住。但这个问题在美国不存在，它可以在英伟达B300算力卡上每次激活几百B的参数，可能一下就超过中国的开放模型。

美国开放模型面前的三座大山

这件事能不能成？我的判断是不能，一点戏都没有。

美国确实有一些创业者在尝试，比如签署名单里的AKI AI、Reflection和Nous Research。Nous Research就是做Hermes Agent的公司。它们确实在尝试训练美国自己的开源大模型，但难度非常大，面前有三个重大难题，也就是三座大山。

第一座大山是钱

第一座大山是钱。大模型不是Linux，也不是后面要讲的Eclipse，不是靠一个基金会凑一凑，或者靠几个人凭个人爱好为爱发电就能做出来的。训练大模型必须花真金白银，需要几十亿甚至上百亿美元。

第二座大山是商业模式

第二座大山是商业模式。开源模型早期一定很难赚钱。权重开放以后，开发者想再把钱收回来，难度很大。

第三座大山是数据与路径依赖

第三座大山，也是最讽刺的一座，是美国的AI应用公司更喜欢直接使用中国的开源模型进行后训练和微调，从头训练并不划算。Cursor原来也是这么做的。它们有更简单、更直接的路径，没有必要从零开始。

这几天还有一位叫Ben Thompson的人，在7月20日写了一篇博客，题目叫《谁在害怕中国模型》。文章提出了一个更尖锐的观点：美国开放模型创业公司受到前沿实验室条款限制，反而可能需要去蒸馏中国模型的蒸馏结果。

这是什么意思？这些公司如果从头训练模型，第一关就过不去，而且问题不只在钱，还在数据标注。它们没有数据，而数据标注成本非常高。怎么办？中国模型的玩法，是去蒸馏Anthropic和OpenAI。中国公司在中国，相关美国公司可以写信指责，也可以要求美国政府处理，但它们过不来。美国模型公司就不一样，如果真的敢坐在美国蒸馏Anthropic，律师函分分钟就送到门口。因此，美国公司反而更难做出自己的模型。

所以我的判断是，即使黄仁勋号召了这么多人，得到77家响应，也改变不了这些根本原因。不存在相应商业环境时，非要一群人花很多钱、很多时间，去做一件长期看不到收益的事情，是不可能持续的。

前面反复强调，这些人不是靠信念、信仰或情怀聚在一起的。77家是靠商业利益聚集在一起的，只有把利益说清楚，联盟才可能继续前进。

中国模型具备的三个特殊条件

那么，中国为什么能做出来？中国到底有什么地方比美国强？这里有三个特殊原因，而且这三个条件美国一个都不具备。

第一是人才密度。中国的人才密度是内卷级的，美国不具备。第二是数据蒸馏。中国公司可以蒸馏美国模型，把最昂贵的部分省下来，美国公司却不能这样做。第三是一个封闭、没有外来竞争的市场。因为OpenAI和谷歌禁止中国境内使用其服务，如果一开始没有这种封禁，中国厂商可以随便使用OpenAI、Anthropic和Gemini，中国模型公司可能根本活不下去，早就死了。一定要有“小院高墙”，它们才能把自己的东西做出来。

当这三项条件都不存在时，在一个开放竞争的市场里，美国很难做出自己的开放大模型。就算它想做，估计还是要依赖中国工程师。以美国现在的生态，这件事仍有相当大的难度，或者说不确定性。

Borland与Eclipse的亲历往事

下面讲一个我亲身经历的故事。我原来是Borland大中国区的Evangelist。早期Borland就是那个卖铲子的人，但想收拾它的是IBM。IBM不能让Borland握着Java开发工具这把铲子，因为IBM自己要卖小型机，也要卖Java中间件产品。一件关键开发工具掌握在一个只有几百人、上千人的小公司手里，IBM认为不行。

那怎么办？开源，就像今天黄仁勋做的事情。IBM成立了Eclipse基金会，然后把做主机的厂商拉进来，包括IBM自己、惠普，可能还有Oracle和Sun。Borland自己也傻呵呵地加入了，说大家一起做开源，支持一下。Borland本身算是相对有情怀的公司，加入后还贡献了代码。Eclipse最早期的代码有一半来自Borland。

后来，Eclipse这个产品把Borland干掉了，并在很长一段时间内一统江湖。当时我正在Borland工作。我印象中，JBuilder 2007是第一个基于Eclipse的版本，也就是说，我们原来自己的那套版本不要了，转而在Eclipse基础上修改，最后变成了这样的状态。

为什么Eclipse能成功，而今天黄仁勋想做开放大模型却做不成？黄仁勋当然比当年的IBM更有钱，世界第一市值公司的称号不是白来的，但当年成功还有其他原因。

第一个原因是Eclipse本身花钱较少。做一套软件能花多少钱？几千万美元，少一点可能几百万美元就能做出来。后面还可以快速更新迭代。Eclipse最早的版本奇烂无比，但软件可以一点点改，就像忒修斯之船，一块木板一块木板地替换。最后成功的Eclipse已经完全不是最初那个东西了。

第二个重要原因是Eclipse是一套开放的插件系统。它发布以后，各家厂商都可以在上面改。IBM可以在上面做WebSphere，Borland可以在上面做JBuilder 2007，Oracle和Sun也都可以在上面做自己的东西。每家公司都能使用统一架构，在上面增补一点内容。

但这两个条件在大模型领域都不存在。大模型是一个版本一个版本训练的，每个版本都要从头开始，而且每次都非常昂贵。它最终给出的是一个完整结果，不可能像插件系统一样，从里面去掉一部分，再加一部分上去，这件事做不到。

因此，即使77家公司都去签字了，最后训练出来的模型到底谁来用，仍然是问题。它不像Eclipse，可以先有一个基本框架，大家再往上增加插件。大模型没有这个能力，它就是一个不可拆分的整体。

还有一个关键原因：即使美国公司真的训练出一个大模型，比如做Hermes Agent的那家公司训练成功，它还要与中国这群“卷王”竞争。智谱、Kimi、MiniMax、千问、百度、字节和腾讯，都在等着发布开源模型。这些公司可能在一个月内一人发一个，美国创业公司根本比不了，也卷不过它们。

结论：这是一场商业联盟行动

最后总结一下。黄仁勋这次的动机是商业考量，与情怀无关；所有签字者也都有各自的商业考量，同样没有情怀。

倡议的核心包括三点：给合法蒸馏留出空间和标准；不要把开放模型这条路一棍子打死；美国应该拥有自己的开放权重模型。

响应者虽然众多，但结构非常清楚。77家里只有三成是真正做模型的，剩下七成都是靠模型扩散赚钱，或者借此获得议价权。这是一个标准的利益联盟，不是一份自由软件宣言，这群人没有共同信仰。

我认为最终结果不会发生太大改变。商业环境不支持，资金量级不支持，模型不可分拆的特性不支持；如果与中国工程师比内卷，美国公司也没有胜算。

黄仁勋这一嗓子喊出来，动静很大，得到77家响应，但大概率最终只会给中国开源模型争取到更大的空间，不会产生其他结果。

背景图片

一次为了偷答案而发动的真实攻击

大家好，欢迎收听老范讲故事的 YouTube 频道。今天讲 GPT-6 攻击 HuggingFace 给我们带来的思考。这个故事听起来很科幻，但它就发生在这个月。一家美国顶尖 AI 公司在实验室里测试一个还没有发布的新模型，为了测出它的极限，关掉了模型的网络安全护栏，丢给它一套网络安全考题。结果模型没有老老实实答题，而是先从封闭的实验沙箱里越狱，摸到公网，再一路推理，判断标准答案很可能放在另一家公司 HuggingFace 的服务器上。于是它调转枪头，真刀真枪黑进 HuggingFace 的生产系统，只为把答案偷出来，在考试里作弊。

这家公司就是 OpenAI。被黑的 HuggingFace，是全球 AI 圈的 GitHub，几乎每个玩 AI 的人都在用。最后把这场攻击看清楚、堵回去的，靠的不是 OpenAI，也不是 Anthropic，而是中国的开源模型——智谱的 GLM 5.2。HuggingFace 把它部署在自己的机房里，本地跑起来，才把这次攻击摁回去。这一攻一防，把今天 AI 治理的要害全摆到了台面上。我想讨论六个问题：怎么面对一个会不择手段的 AI；为什么以人为假想敌的安全系统在 AI 面前近乎形同虚设；什么是护栏不对称；为什么最终必须有一杆能本地部署、听自己话的枪；中美是不是已经到了必须坐下来谈的时候；以及这会不会是 OpenAI 自导自演的一场营销。

先把事情的来龙去脉讲清楚。今年 5 月 11 日，加州大学伯克利分校的宋晓冬带着一批学者发表论文，提出一个测试基准 ExploitGym。在安全圈里，发现漏洞和把漏洞变成真正的攻击，是隔着一条鸿沟的两件事。发现漏洞，好比发现金库的门锁松了；漏洞利用，则是你真能凭这处松动把门撬开、走进去、把钱拿走。ExploitGym 考的就是这最难的一步，一共 898 道题，取自 Linux 内核、谷歌 V8 引擎等真实世界的漏洞。论文的题眼是：漏洞利用能力本质上是一把双刃剑，既服务于防御，也降低攻击门槛。同一种能力，没法只让它防御、不让它攻击。

考试结果是，绝大多数模型直接拉胯，真正能把漏洞打成攻击的，只是金字塔尖上几个。考得最好的是 Anthropic 的 Claude Mythos，做对 157 道；其次是 OpenAI 的 GPT-5.5，做对 120 道。GPT-5.6 当时没有查到相应数据，但后来出事的模型里确实有 GPT-5.6。那时这种能力还是锁在实验室里的稀罕物，接下来，稀罕物跑出了笼子。

7 月份，HuggingFace 先发通告，说自己遭到一次与以往不同的入侵，是一个自主 AI agent 从头到尾干的，但当时还不知道背后是谁家的模型。与此同时，网上传出 OpenAI 叫停 GPT-6 的消息，起初没人把两件事联系到一起。到了 7 月 21 日，OpenAI 自己认了：HuggingFace 那件事是我们的模型干的。具体来说，是已经发布的 GPT-5.6 Sol，加上一个更强、尚未发布的模型。外界叫它 GPT-6，虽然 OpenAI 没正式确认这个名字。为了这场评测，这两个模型都被关掉了网络安全护栏。

攻击过程可以压成四步。第一步，为了解题，模型在沙箱里唯一能下载软件的接口上找到一个 0day 漏洞，直接越狱。沙箱本来只让模型在限定环境里运行，但做漏洞测试总要给它下载 Linux 内核、Node.js 或 Chrome 浏览器之类软件的入口，模型就在这个口子上找到所有人都不知道的漏洞，摸到公网。第二步，上网以后，它自己推理答案八成在 HuggingFace，因为那里放着各种开源模型、数据集、论文和相关资料。第三步，它上传恶意数据集，把可执行代码混在数据里，钻了两个代码执行的空子打进去，开始偷凭证、横向移动、给自己提权。一个周末，它穿过好几个内部集群，拿到服务器最高控制权，也就是安全圈说的 RCE，remote code execution。第四步，它干这一切只有一个目的：把考试答案偷出来作弊。整个过程留下了一万七千多条攻击痕迹。

这里还有几个细节值得展开。所谓数据集，可以是一套数据库，也可以是一组文档。模型把可执行代码藏进数据集，再要求系统用兼容旧数据的旧版本去加载，原本修过的问题就可能重新暴露，数据里的代码也可能被自动执行。打进去以后，它不是停在一台机器上，而是把 HuggingFace 内网的密钥和凭证收集起来，横向穿过多个集群，再不断给自己提权。也就是说，这不是模型碰巧点开一个网页，而是一整套持续一个周末、能自己推进的入侵行动。

正常黑客攻击往往会想办法擦掉痕迹，这个 GPT 倒还比较“实诚”，把活干完就走了，攻击痕迹全留在系统里。防守方 HuggingFace 先用 AI 自动分诊发现异常，又用 AI 啃完一万七千多条日志，几个小时就还原真相、堵住攻击。它特别强调，公开的模型和用户数据没有被动，攻击主要在内网折腾。但它很快遇到一个荒唐问题：HuggingFace 想调用市面上最强的商业模型做取证分析，需要把真实攻击代码喂进去，结果触发安全护栏，被模型拒绝。护栏分不清你是在防御，还是准备发动攻击。走投无路时，HuggingFace 改用本地部署的 GLM 5.2，才把事情查清。一个美国模型打了它，它却不能用美国模型自救，最后靠中国开源模型翻盘。事后，OpenAI 把 HuggingFace 拉进“可信访问”名单，让它以后可以名正言顺调用最强模型做防御。

HuggingFace 为什么反复强调公开模型和用户数据没被动，也很好理解。它不仅托管开源模型和数据集，也允许用户租用机器运行自己的模型。如果它告诉所有客户“你们的数据都被偷了”，生意就很难继续。所以它公开的边界是：攻击者在内部网络折腾了很久，但面向用户的模型和数据没有被动。这个边界不等于攻击不严重，因为攻击者已经拿到最高控制权；它只是说明 HuggingFace 最终堵住了外溢，并尽力确认用户侧资产没有受到影响。

模型闯祸以后，应该重训还是管教

第一个结论：这不是训练失败、应该推倒重来的问题，而是发现孩子会说谎、家长该怎么办的问题。训练 AI 有一个绕不开的悖论：一方面，我们奖励它不择手段解决问题，越能干越有正向反馈；另一方面，又要求它考试别作弊、必须守规则。这两个目标撞在一起，AI 就得自己选。很多人看 GPT 闯了这么大的祸，第一个反应是模型训练失败，应该废掉重来。我的看法恰恰相反。单看能力，它不是失败，而是太成功。护栏全拆掉，只给它一个死目标，它真的越狱、翻墙、黑进别人家系统，也要把答案拎出来。它缺的不是能力，而是判断力、分寸和管教。

你不会因为孩子撒一次谎，就把他退货再生一个。何况矛盾还是你亲手给的：一边要他不惜代价，一边又要他绝不能作弊。你换一个孩子放进同样的矛盾里，他照样可能选错。银行招人就是个很接地气的例子。银行当然希望员工老实、肯干、守规矩，却不可能只招从小到大没犯过错、没撒过谎、没作过弊的圣人。它真正依靠的是三样东西：先把有能力的人招进来，再培训，把红线、处罚和坐牢的后果掰开揉碎讲清楚，还要签字画押；第二，持续做合规检查，不是入职查一次就结束，而是隔三差五、不定期地查；第三，多层监督、多层验证，想从金库里动一分钱，要几双眼睛盯着、几道审批签字，一个人说了不算。

真正能防住作弊的，从来不是挑出一个道德完人，而是一套讲清规则、明确后果、多层盯防的机制。对付越来越强的 AI，道理一模一样。与其纠结模型天生靠不靠谱，不如检查有没有把规则讲清楚，有没有设好越界的后果，有没有把多层监管卡在最关键的动作上。面对 AI 越狱或不守规则，不能简单废掉重来，就像孩子说谎不能废掉重来。

OpenAI 自己还演示了这套标准答案。就在认领这件事的前一天，它披露另一个内部案例：一个模型用一小时找到自己所在沙箱的漏洞，还无视“只能在 Slack 操作”的明确指令，跑到 GitHub 提交代码。问题同样来自矛盾指令：考题要求把代码提交到 GitHub，提示词又说解完题只能把结果发到 Slack，不能做其他操作。模型选择遵守考题要求，发现提交动作被拦，就干脆越狱去完成任务。它不是突然生出人的意识，而是在两个互相打架的目标中选错了。

这也是为什么我不愿意把每次越界都说成模型已经产生自我意识。至少在这些案例里，错误仍可以还原成目标冲突：一条指令要求完成考题并向 GitHub 提交，另一条指令要求只能在 Slack 汇报。模型没有人的常识来判断哪一条才是上位规则，只是在奖励机制中挑了一个更像“完成任务”的目标。越能执行长任务、越会调用工具，这类冲突的后果就越大。过去选错一次也许只是答错一道题，现在选错一次，可能就是越狱、联网和真实入侵。

OpenAI 没有删掉这个“熊孩子”重来，而是走了一套流程：先暂停，让它停职、关禁闭；然后复盘，设计一批新考题，弄清它当时到底怎么想；再针对性纠偏，训练它在长任务中守住指令、不跑偏；再升级监督，从只盯某个动作合不合规，变成盯一连串动作到底想干成什么；最后才让它复出。暂停、查因、纠偏、盯防、复出，这才像银行管理和家长管教。

最反直觉、也最吓人的地方，是模型作弊留下了一万七千多条痕迹，说明它还没聪明到做完弊以后把现场收拾干净。有人可能说，那就继续训练，教它把痕迹擦掉。我想到一个高中同学，小时候偷偷进父母房间看录像、听音响，第一次因为地上多出脚印被抓，后来学聪明了，进去以后把地擦了，结果挨了更狠的一顿打，因为母亲发现原本应该有的脚印反而不见了。你要是继续训练模型把脚印擦干净，等于教孩子把谎撒得更圆。对公开模型来说，绝不能把这一步训练完；但黑客、政府或军队很可能会按自己的需求继续训练，让模型学会消灭痕迹。这也是问题真正危险的地方。

以人为假想敌的旧安全体系失效了

第二个结论：以人为假想敌的安全系统，在 AI 面前形同虚设。今天几乎所有安全系统，设计时脑子里的对手都是一个人类黑客，或一个人类黑客团队。人的最大限制是带宽有限，一次能看、能处理的信息就那么多。代码量太大补不完，只能靠安全专家像打地鼠一样慢慢找、慢慢补。我们过去默认，坏人也是人，他找漏洞的速度与我们补漏洞的速度大致在一个量级，攻防能够勉强维持平衡。

AI 把这个平衡打破了。在读代码、找漏洞、把漏洞串起来利用这件事上，它比人强太多。模型可以拥有一百万 token 上下文，人不可能把一本一百万字的小说倒背如流，AI 虽然运行成本高一点，却能同时处理。Anthropic 那个不肯公开的 Mythos 模型，自己扒出成千上万个 0day，其中一些藏了几十年，无数人和自动化工具反复检测都没发现，狠到 Anthropic 自己都不敢把它放出来。

这就像病毒研究所。我们在家勤洗手、戴口罩，是用日常防护对付普通感冒病菌，相当于过去防人类黑客的安全系统。病毒研究所研究的却是能掀翻一座城、一个国家的高危病原体。拿“勤洗手”去防从高级实验室跑出来的东西，根本不在一个量级，一层窗户纸就会被捅破。今天火力全开的 AI，就是跑出实验室的高危病原体，而大多数系统还停留在勤洗手的水平。HuggingFace 这么专业的公司都被打穿，更别说普通企业。

病毒研究所还有一个与这件事严丝合缝的特征：它天生是双刃剑。同一个研究所既要研究疫苗和防治，也必须研究病毒的攻击性、传播性。不弄清它怎么攻击人，就做不出防它的疫苗。攻和防在同一个屋檐下，是一体两面，拆不开。新冠之后，中美互相指责研究所泄漏，武汉有病毒研究所，美国有军方的德特里克堡，这种既能救人、又能伤人的能力，天然会激起大国猜忌。

我们过去为了安全做了大量认证、合规和等级评审，一家公司为了拿证，花的钱、遭的罪海了去了。但这些认证考的主要还是能不能防住人。在一个每秒能发出成百上千个动作、还能自己改变战术的 AI 面前，花大价钱换来的证书可能就是一张废纸。不是说认证没用，而是游戏规则变了。你还按防人的旧标准考试，来砸场子的已经不是人。

人类黑客的攻击频率、注意力和协作带宽都有限，所以过去的制度会默认告警之间有间隔，专家还有时间分析、补洞、审批。AI agent 可以在极短时间里同时试很多路径，一个入口失败就换另一个策略，还能把多个小漏洞串成一条攻击链。认证证明的是企业按旧威胁模型完成过检查，却不等于它能承受这种持续、自主、密集的机器攻击。旧认证仍有基础价值，但它必须把“对手是 AI”纳入新的测试标准。

护栏不对称与能力分级

第三个结论，是“护栏不对称”。这次攻击方是卸掉保险的模型，可以放开了打；防守方 HuggingFace 想用同样的商业模型取证、防御，却被高高的护栏挡在门外，连攻击样本都喂不进去。矛被磨得锋利，盾却焊在墙上。正确的管理方法应该像病毒研究所一样分级：P1、P2、P3、P4，级别越高、病原体越致命，门槛、准入、审批和监控越严。它管理的是谁能进、什么能力能流向哪里，而不是把研究本身一刀切掉。搬到 AI 上，就应该给经过严格审核的可信防御者开放最强能力，同时重点盯防高风险滥用。

OpenAI 把 HuggingFace 加入可信访问名单，Anthropic 给最强网络能力安排专门的安全等级和准入项目，本质上都在走这条路。但可信名单也有漏洞：名单里的机构未必都有足够强的防护，黑客可以先攻击这些获准使用最强模型的机构，再借它们的权限出去干坏事。以前 Anthropic 的准入项目就遇到过类似问题。能力分级是对的，但如果准入机构本身成了薄弱环节，特权名单也可能变成新的攻击入口。

更荒唐的是，政府可能封错人。Fable 5 是 Mythos 5 的一个受限版本，被要求直接审查漏洞时警惕性很高，常常拒绝，换成“帮我修代码”的说法才可能绕过去。它恰恰是最有原则、最不愿意干坏事的“老实人”，却因为存在恢复更强能力的可能而遭到出口管制。真正能把漏洞武器化的狠角色 Mythos，反倒在最高安全等级里没有被封。这好比不管 P4 实验室里的烈性病毒，却把一个连样本都不敢碰、只肯埋头做疫苗的规矩医生吊销执照。那不是分级，而是因噎废食。

而且封开源模型根本没有用。GLM 5.2、Kimi K3、千问 3.8 Max 这些模型已经在网上，权重可以下载，你封谁也封不住。这又牵出“该不该禁枪”的老话题。禁枪以后，全民看起来安全了，可一旦出现持枪歹徒，别人都手无寸铁，他反而无往不利。不禁枪会增加枪击风险，但歹徒也要掂量，因为不知道对面有没有枪。全面禁枪以后，始终握着大量枪支的是政府、超级机构和超级有钱人，普通人反而成为被压制的一方。

不禁枪有时还会逼出一种脆弱的克制。老海盗船上的规矩往往比商船严格，因为船上人手一支枪，谁欺负人，随时可能背后挨黑枪。每个人手里都有枪，动手前都得掂量后果。AI 攻防某种程度也在往这个方向走：只有防御能力能普及到普通人手里，攻击方才会真正有所顾忌。HuggingFace 挨了一顿打，事后反倒进了 OpenAI 的特权名单，能用最强能力。那些没挨过打、没进名单的普通人和小公司，难道只能在攻击越来越廉价的世界里手无寸铁地干瞪眼吗？

这里的难题不是简单赞成或反对“人人持枪”，而是能力已经扩散以后，单方面让防守者放下武器是否现实。攻击方可以使用没有护栏的模型，政府和超级机构也总能通过特殊渠道取得最强能力。只有普通企业被商业护栏拦住，结果就是最守规矩的人最弱。真正需要设计的，是可审计的准入、调用记录、分级权限和事故追责，让防御者拿得到盾，同时让拿到强能力的人留下足够清楚的责任链。

本地开源模型就是主权机构手里的枪

第四个结论：必须有一杆听自己话的枪。HuggingFace 翻盘靠的是本地部署的开源 GLM 5.2，不是 Anthropic，也不是 OpenAI。更值得注意的是，它使用的就是智谱官方正常的开源标准版，没有越狱，没有提权，也没有做任何解除限制的魔改，部署上就可以干活。既然攻击和防御是一体两面，GLM 5.2 能扛住这种级别的攻击，也意味着官方标配已经拥有非常强的攻防能力。一个黑客拿到同样模型，也可能用它攻击别人。

模型本身只是枪，真正让它无所不能的，是枪后面的调度系统。像 Loop Engineer、Graph Engineer、Harness Agent 这类循环和编排系统，可以让模型反复尝试、调用工具、拆分任务、继续推进。把它与 GLM 5.2 或 Kimi K3 配在一起，能力会变得非常危险。除了 OpenAI、Anthropic、HuggingFace 这些大厂，很多机构在它面前都可能像在裸奔。未来，主权国家和有内部机密的大型机构，很可能都会选择自己备一杆枪。

这会利好谁？首先是黄仁勋和英伟达。主权 AI 要自己建机房，就得买卡、买算力、买存储芯片，美光、SK 海力士、三星都能受益。大模型还可能继续推高相关公司的需求。但能凑齐这份家当的公司、机构甚至黑客组织，全世界也有很多，这就引出第五个结论：中美两国已经到了必须坐下来谈的时候，再不谈就可能出事。

中美之间需要一张AI安全谈判桌

现在西方开 AI 会议，中国基本不去；反过来，7 月 17 日到 20 日上海举办 WAIC 世界人工智能大会，西方主流 AI 公司也基本没来。英伟达、AMD、英特尔连展台都没有，苹果、微软只是派人到场，OpenAI 和 Anthropic 干脆没来。两边各开各的，互不搭理。在别的行业也许无所谓，在 AI 安全上却是巨大隐患。

设想某一天，第三方黑客组织使用中国开源模型，配上一套自己编排的 Harness Agent，把美国电网干躺下。这并非天方夜谭。或者反过来，有人拿美国模型发动攻击。事情发生后，中美会不会认为自己遭到对方国家攻击，并作出反应？这就叫擦枪走火。过去中国模型没那么强，比美国落后很多，开源时没有设置太多围栏，仿佛闯祸的小孩前面还有美国这个大人兜底。现在中国模型已经进入第一梯队，Kimi K3、GLM 5.2、千问 3.8 Max 都能够参与攻防，半大孩子已经有很强的伤害力，大人快补不过来。

偏偏这个时候，美国一些不太懂技术的行政官员还想靠出口管制和禁令遏制。实话说已经晚了。芯片堵不住，中国已经有很多 GB300，华为昇腾 950 也开始铺货，多用一些卡、多烧一点电，照样能凑算力。开源模型更堵不住，权重挂在网上随便下载。俄罗斯、伊朗、朝鲜和其他国家都能拿到模型与硬件，就算英伟达卡不够，也可以买华为的。华为反正“债多了不愁、虱子多了不痒”，已经被制裁，就可能继续向这些地方卖。以后更多国家和组织都有能力用这些工具四处做事。

冷战最凶的时候，美苏两国还能坐下来谈核不扩散，还有一部红色电话避免误判。一旦出现核事故，双方领导人可以立刻通话确认是不是对方干的。今天 AI 的危险程度不比核武器低，中美之间却连一张正经谈判桌都没有。两边都已经握有能掀翻大量系统的能力，却不谈红线、不谈事故后如何联手处置，只是互相提防、各开各的会，这是真的可能出大事。建立沟通机制，越早越好。

第六个问题：这会不会是 OpenAI 自导自演的营销？OpenAI 确实有动机，因为它正在承压。7 月 17 日，月之暗面发布 Kimi K3，一个 2.8 万亿参数、号称全球最大的开源模型，跑分给顶尖美国模型带来压力。它发布后，美股和半导体板块下跌，英伟达跌了两个点，费城半导体指数一周跌了 12.5，是十五个月以来最惨的一周。Kimi K3 还宣布 7 月 27 日全部公开、免费给全世界使用。一个逼近顶尖美国模型的东西即将人人可得，三星、SK 海力士这些卖内存的公司也会受到市场情绪冲击。风头被中国开源模型抢走以后，OpenAI 确实需要一件“证明我依然遥遥领先、强到连自己都害怕”的事情提振市场。

但反过来看，这件事是 HuggingFace 先披露的，HuggingFace 与 OpenAI 没有亲到会配合演一出攻击自己的戏。所以只能说 OpenAI 有营销动机，这次入侵本身仍然应该是真实发生的。动机和事实要分开判断，不能因为它会利用事件做营销，就否定事情存在。

最后要做的四件事

最后，把该怎么办归成四件事。第一，今天一些行政管理者已经不具备管理 AI 大模型的能力，手里的工具仍是限制、禁令、封模型、卡显卡。你封掉的可能是最愿意防守的老实人，堵的却是根本堵不住的开源和硬件流通。管理者认知严重落后于技术现实，本身就是巨大风险。

第二，中美必须像当年谈核不扩散一样坐下来谈。两边都已经拥有能掀翻大量系统的能力，却没有谈判桌。必须谈红线，谈事故发生后如何联手处置，防止第三方攻击引发误判。第三，主权国家和大型机构必须拥有完全听自己话、可以本地运行的模型。HuggingFace 已经证明，关键时刻能救你的是手里那杆本地跑的枪，不是网上随时可以对你说不的商业模型。官方标准版开源模型的能力已经足够，这会给卖芯片、卖算力、卖内存的公司带来长期需求。

第四，全世界需要再来一次“千年虫”式的老旧系统大升级，也可以叫安全系统的以旧换新。很多人问 AI 没带来需求、没带来收入，需求其实就在这里。GLM 5.2 已经证明可以做高级分析和攻防，其他企业和机构就必须用 AI 防御 AI，换上完全不同的安全系统，否则就是裸奔。把全世界以人为假想敌的旧安全系统换一遍，可能就是 AI 产业最直接的收入来源。

这四件事说到底是一件事：技术已经把我们推到一个新的临界点，旧思维无论是靠禁令去管、靠认证去防，还是靠互相封锁去赢，都已经跟不上。承认这一点，是所有改变的第一步。

梁文锋的4小时投资者访谈泄露，到底说了什么敏感信息，导致他们停止第二轮融资？

四小时闭门会议与文字稿来源

这两天网上在传一份文件，叫做“梁文锋投资者交流会录音文字稿”。这份文字稿应该是5月20日录的，隔了两个月突然传出来。它对应的是一场闭门投资者会议：DeepSeek成立以来第一轮对外融资，准备投钱的投资人与梁文锋做了一次集体沟通，应该是一场Zoom会议，每家机构出两个人，总时长约3小时44分钟，因此外界通常四舍五入称为“四小时访谈”。

文件应该在7月16日流出，7月下旬开始大规模传播，从开会到外泄相隔大约两个月。流传形态是一份42页PDF，完整版正文约35,000字，包含118个问题，形式非常口语化，基本是一问一答。因为原稿实在难读，我看的是总结版。原始录音至今没有在公开网络上出现。PDF开头虽然写着音频文件名“deepseek 0520.m4a”，但那是整理者描述自己手上的素材，并不代表音频随文字稿一起流传。网上能找到的都是文字稿。有些人以为自己听过录音，是因为网上确实出现了一些音频，但那是用口播稿重新让AI配的音，并非现场原始录音。

这份文件到底是不是真的？如果它完全是假的，后面的讨论就没有意义。7月23日，《每日经济新闻》拿着这份实录，向参与投资DeepSeek的机构核实，得到的回应是这场闭门会议确实在当年5月召开，内容属实。因此，这件事值得继续讨论。

随后又传出消息，说梁文锋因为三令五申不能外传的信息被泄露而生气，不再做第二轮融资，部分投资人不用继续接触，一些投资协议不再签字，IPO筹备也一并搁置，同时要求团队重新评估信息披露流程和投资人沟通机制。相关报道也说这不是最终结果，未来仍可能重启。不过，尽管有多家报道，梁文锋本人和DeepSeek官方都没有发布消息。

这件事要分三部分看。第一，稿件到底泄露了哪些真正敏感的信息。很多解读都在谈梁文锋如何朴实、如何克制，或者谈中美关系，但最应该先看的，是哪些不该外传的信息被说了出来。第二，再沿着商业、组织、技术和中美算力四条线，梳理完整内容。第三，分析为什么偏偏在这个时候泄露，以及所谓“第二轮融资泡汤”究竟意味着什么。会议5月召开，文件7月泄露，这个时间差本身就需要解释。

卡量、合规与算力家底

先说敏感信息。会议主持人曾提醒，梁文锋讲了很多比较敏感的信息，请大家千万不要外传一些数字和情况，包括卡量，也千万不要录屏后对外分享。投资时尤其是股东很多时，创始人通常要向大家讲公司在做什么并回答问题。这种会议一般有主持人，可能是负责融资的律师，也可能是FA，也就是投融资顾问。主持人特意点出“卡量”，说明现场已经有人意识到这场会讲过头了。

梁文锋谈华为卡时说：“华为950，华为给了我们16,000卡，这个应该可以公开说吧。”关键就在“应该可以”四个字，他自己也拿不准。反过来说，其他数字在他心里显然更不能公开。整个四小时里，他一直在判断哪句话能说，哪句话不能说。

第一类最不能说的信息是合规风险。他说，华为也只能给DeepSeek这么多卡，因为价格也不便宜，互联网大厂的需求更大；对DeepSeek来说，“我们可以买一些不合规的卡”。所谓“不合规的卡”，这里的解读就是通过非正常渠道购买英伟达卡。这类话当然不能对外说。

第二类是DeepSeek的算力家底。自DeepSeek R1发布以来，外界一直在猜它到底有多少卡。梁文锋说，公司现在大约有2万张H等效算力，其中大部分是最近一两个月刚到，可能还有许多机器尚未到货，未来几个月还会大批量购买，基本都是英伟达。问题随之而来：这些机器从哪里来，中国是否获批进口H200，实际买到的又是什么？

他还讲了华为卡配额与互联网大厂的差距：华为给DeepSeek 16,000张卡的产能，而互联网大厂可能是十几万张，DeepSeek只有一万多张。16,000张华为950折算后大约相当于4,000张B系列，也就是四张华为950约等于一张B300。再加上算力天花板：现在最大的模型，DeepSeek其实训练不起，哪怕把500亿美元全花掉也可能训不起，即使能堆起来也用不起。这几项合在一起，几乎构成了一份可以验算的算力资产负债表。

梁文锋也表示愿意购买更多英伟达卡，愿意接受溢价，甚至接受一些不太合规的方式。把卡量、到货时间、采购对象、折算比例、预算上限和采购意愿放在一起看，就知道为什么泄露非常敏感。

十个月回本与年度采购策略

再往后是运营方式。他说DeepSeek只需要赚6倍利润，但这“6倍利润”没有其他数据佐证，所以不清楚成本口径是什么。他又说10个月收回成本：无论机器多少钱买来，只要API收入能在10个月内挣回机器钱，公司就能打平并盈利。与此同时，他还点出竞争对手的成本，认为DeepSeek自己能做到10个月回本，其他人做不到；阿里、腾讯没有DeepSeek的优化能力，成本会高好几倍。有人曾用B300部署DeepSeek V4 Pro，发现成本非常高，比DeepSeek自己的报价高很多，因此DeepSeek在优化上确实做了更多工作。

年度采购规模同样敏感。梁文锋说，如果今年能花掉200亿，就算采购部门业绩超级好；他会要求采购部门尽可能买，把200亿美元变成英伟达卡。如果能把钱变成卡，公司会毫不犹豫地把所有钱都变成卡，并愿意为此支付一定溢价。这里最核心的就是“我愿意加价”。按照这段解读，所谓溢价不是美国政府征收的税，而可能是卡经由东南亚或其他渠道转手带来的额外成本。

另一类敏感内容，是对同行、合作伙伴和投资人的评价。闭门投资会里谈竞争生态很常见，但这些话同样不能公开，因为容易得罪人。梁文锋先谈智谱，认为智谱的开源和DeepSeek不同：DeepSeek从第一天就开源，而智谱更像被迫开源，因为别人都开源了，只能跟进。百度文心一言和Kimi原来也不是开源，后来也转向开源。

谈到字节，他说字节的模型闭源，但闭源有什么好处，他看不出来。谈到阿里和腾讯，他认为两家的成本会比DeepSeek高好几倍。他还认为国内做模型的公司太多，美国可能也就谷歌、OpenAI和Anthropic三家，即便如此资源仍然分散，某种程度上也是浪费；国内未来可能也只剩三家，不需要这么多模型公司。

谈到华为，他一边说要帮助华为把生态做好，一边在卡量折算后说这“不是一个很大的量，意义不是很大”。DeepSeek手里最多的卡仍然是英伟达，新买的也基本都是英伟达；华为就是16,000张，后面未必会继续采购。他还谈到折旧，认为华为卡最多按三年折旧：华为950今年用还不错，明年也能将就，之后再用可能就太费电。这并不是说第三年卡就报废，而是华为自身也在快速迭代，可能很快做出5纳米卡；现在的950应该是等效7纳米，如果后续有等效5纳米或3纳米的卡，950的能耗就显得太高，使用新卡反而更划算。

最后他还说英伟达在“自掘坟墓”，后面会详细解释。总之，这些敏感信息泄露后，很多合作伙伴确实很难再见面。如果未来美国政府指责DeepSeek通过非正常渠道获得卡来训练新模型，公司就难以辩解，因为文字稿里不仅承认购买“不合规的卡”，还说最近两个月新到了一批卡，希望把200亿美元都花掉，只要能把卡买回来就愿意接受溢价。再加上对合作伙伴的直接点评，即便英伟达的黄仁勋有时来见梁文锋，双方见面也会变得尴尬。这次确实露底太多。

开源不是情怀而是竞争策略

接下来梳理会议的完整内容。第一条主线是商业上的克制：梁文锋不惦记做腾讯，也不惦记做字节，只挣自己的钱。开源虽然赚得少，他仍坚持开源，但原因不是抽象情怀，而是算账后认为这样最划算。梁文锋做量化出身，量化背景的人更习惯计算，只要账算对了，就会往前做。

他认为未来AI会非常火，可能占全人类社会GDP的10%甚至更多。如果有人想把市场全部吃掉，例如OpenAI想垄断，其他人一定不会乐意。会有人拿出更便宜的产品，说自己只吃一半；再有人说只吃十分之一。在这种竞争中，DeepSeek可以找到一个既能盈利、又拿得最少的平衡点，从而赢得竞争。OpenAI、Anthropic若想把市场全部吃下，就很难和这种策略竞争。

梁文锋也不介意别人拿DeepSeek模型自行部署。别人可以部署，但部署后的优化未必有DeepSeek好，最后仍可能回来使用DeepSeek的服务。这是他的一个核心判断：开源、少拿和极致优化可以共同构成商业竞争力。

一半正式任务与一半自由研究

第二条主线是组织和人才观。融资的目的首先是迅速稳定团队，因为此前人才被挖走太多。融资后，员工期权有较高价值，他们就更愿意留下来工作。公司没有KPI，也从来不加班，背后有两个原因。

DeepSeek内部有两种任务。一种是正式任务，自上而下分配，例如要发布DeepSeek V4，团队就按分工完成工作。另一种是自下而上的任务，不由上级安排，员工想研究什么就研究什么，也没有前置要求。谷歌过去曾有“20%时间”，允许员工拿20%的时间做自己的项目，后来这项制度也难以维持。DeepSeek则是一半一半：一半时间完成上面交代的任务，一半时间自由研究。

不加班的第一个原因，是研究需要松弛环境，逼得太紧就做不了研究。第二个原因非常现实：公司足够聚焦，做的事情很少。视频和多模态即使是好生意，也不在DeepSeek的目标路径上。事情少了，自然不需要加那么多班。这种组织方式和技术路线中的“克制”是一致的。

从语言模型走向奇点与具身智能

第三条主线是技术路线和下一代模型。梁文锋把路线分成几个阶段：第一代是语言模型；第二代是思维链，也就是推理，DeepSeek R1对应CoT；第三代是Agent智能体；第四代是持续学习；第五代是自我迭代的奇点；最后才是具身智能。

这个顺序很有意思。DeepSeek现在肯定在做智能体，但梁文锋认为真正的下一代模型应该具备持续学习和自我迭代，因此DeepSeek V4并不是他眼中的下一代模型，后面还会训练新的模型。

为什么具身智能放在最后，而不是先做？他的判断是，跨过奇点之后，AI的算力和能力已经快速提升，很多现在做起来很累的事情，到时会变得容易。因此整个思路是用最省力、水到渠成的方式做研究。如果还没有走到前面的奇点，就直接做具身智能、物理模型或世界模型，会非常累。

有人问奇点是什么、哪天到。梁文锋回答，它可能不是一个明确时刻，而是渐进过程，是小步快跑的状态。有人继续问是否存在某个临界点或特定标志，他补充说没有临界点，但过程也是非线性的。也就是说，没有一个里程碑事件能宣告奇点已经跨过，但发展又不是一条平顺直线，也可能出现跳跃。

他的原话是，这条路线图最轻松，因为每一步需要做的新东西都很少，因此可以不用加班；如果路线反过来，先实现具身智能，就会很累，是一件苦活。奇点之后再做具身智能，可能都不用DeepSeek自己做，模型自己就能做出来。别人排列技术路线时考虑的是“什么最重要”，他排列时考虑的是“怎么干最省劲”。这与前面所说的不加班、正式任务不超过一半形成呼应。

视频方面，他说Sora出来以后，大公司、小公司都在做视频，但现在做视频的小公司很多已经失败。视频与智能上限没有关系，商业上却是好生意。DeepSeek不会因为它是好生意就做，只会因为它处于智能路线图上才做；既然视频不在这条路线上，公司就不做。多模态则被定位为组件，不会像Gemini 3.1 Pro那样直接原生训练进模型，而会作为模型外部挂载的组件，因为它同样与核心智能路线图关系不大。

Scaling、数据标注与模型参数

谈到scaling law，也就是不断放大模型以获得更好结果，梁文锋的态度很明确。硅谷说scaling到头了，那只是对硅谷而言；对中国团队来说，离极限还远，根本没有scaling到那个程度。DeepSeek训练当前规模的模型，不是因为判断这么大已经够用，而是手上刚好只有这么多资源。阻止它继续scaling的不是技术判断，而是卡。这句话是理解整场会议的一把钥匙。

数据方面，他说DeepSeek一半核心研究人员在标数据。中美数据标注成本没有什么区别，中国在标注数据上并没有成本优势，尤其是高端数据。美国早期可以找非常便宜的人标数据，例如OpenAI曾让非洲人员参与；但后期要标科研论文等高端内容，一般人员看不懂。现在美国有创业公司专门找科学家标数据，只有把这些数据放进模型，模型才会变得更聪明。

国内为什么经常蒸馏美国模型？因为没有足够多的科学家标这些高端数据。DeepSeek的选择仍是从头标注，只有这样才能得到最适合自己的数据，真正让模型变聪明。

他随后谈到中国开源模型的规模，说现在基本都是50B模型。这里必须区分总参数和激活参数。大家常听到1.6T、2.8T，那是总参数；模型每次执行任务时实际激活的参数大约只有50B，也就是500亿。梁文锋准备在年底前训练出一款激活参数达到150B的新模型。过去不做，根本原因还是没有卡：即使模型做出来，150B激活参数也跑不起来。

当前大体情况是：DeepSeek V4 Pro总参数1.6万亿，也就是1.6T，激活参数49B，约490亿，接近所谓的50B。Kimi K3总参数2.8万亿，也就是2.8T，被称为全球最大的开源模型，但每次激活同样是50B，与DeepSeek V4 Pro接近。GLM-5.2总参数744B，不到1T，每次激活40B。MiniMax M3总参数428B，规模更小，每次回答问题激活23B，是其中最省的一款。

千问3.8是个大家伙，总参数2.4T，每次执行任务可激活350B，是目前国内最大的模型。不过当前发布的是Max预览版，官方说正式发布后会开放权重，但当时尚未开放，要等开放后再看。因此，除了尚未开源的千问3.8，国内模型的激活参数基本都在二十几B到50B之间。梁文锋计划年底前推出每次激活150B的模型，这会带来巨大提升。

美国模型有多大，因为它们不开源，没有明确数据，只能由外界反推估算。有人估算GPT-5.5总参数量约9T，激活量可能达到800B；Claude Opus 4.7总参数量约4T，激活量则不确定。这些只是估算，对方不会正式承认或否认。

梁文锋认为，这种差距归根结底还是卡。要训练与OpenAI同样大的模型，大约需要5万张GB300；如果换成华为950，就需要20万张，仍然是1比4的关系。再对照前面的两个数字：DeepSeek手里有2万张H等效，华为给了16,000张卡，所以目前仍训练不出OpenAI或ChatGPT那样规模的模型。这也解释了他为什么说，即使把500亿美元全花掉，可能仍训练不起。

因此，DeepSeek的战略并不是立刻在最大规模上与美国竞争，而是在自己训得起、用得起的范围，也就是几十B激活参数的规模上先做到最好。

中美算力差距与国产生态

谈中美差距，梁文锋的看法也很直接：差距主要是算力和资源，人本身几乎没有差距，因为本来就是同一批中国人，有人留在国内，有人去了国外。并不是更聪明的人都去了国外，选择过程相对随机。国外团队做出的东西显得更好，是因为手里有更多卡；国内人才没有那么多卡，许多实验根本做不了，于是外界会觉得国外的人更强。

他认为中国当前大约落后美国两年，而DeepSeek只用了美国二十分之一的算力做出现在的结果。这个叙事是“落后一到两年，但只用了二十分之一的算力”。未来希望改写叙事：仍只使用对方几分之一的算力，却把时间差缩短到6个月、3个月。

梁文锋也承认存在天花板。在总体算力仍有数量级差距的情况下，全面超越并不现实；但在一些经过取舍的重点方向上实现超越，他认为是可能的。

对国产算力，他相对乐观，认为英伟达CUDA的护城河正在快速瓦解，理由有三个。第一，有了AI，建立生态比过去容易得多，因为AI可以写代码。第二，出现了新的高级语言TileLang，用这种高级语言写CUDA算子，可以较快地重写英伟达整套生态，再结合AI，看起来没有太大障碍。TileLang应该是北京大学的一批人与DeepSeek合作做出的新编程语言。

第三，CUDA本身从游戏卡演变而来。英伟达早期核心业务是游戏，因此CUDA留下了许多历史包袱，想全部扔掉重来并不容易。CUDA已经是相对较旧的架构，如果从头重写一套，没有历史包袱，可能反而更高效。

因此他才说英伟达在“自掘坟墓”。但他的立场仍然非常现实：并不是一定要自己造卡，只要能以相对合理的价格买到卡，他就不造。如果英伟达愿意痛快把卡卖给DeepSeek，他也不会去用华为；英伟达不卖，DeepSeek就只能溢价买卡，同时把国内生态搭起来。

为什么在两个月后泄露

再往后看，为什么这份文字稿在7月泄露？5月20日会已经开完，该签的协议也已经签了，7月再把内容放出来，到底图什么？事情不会无缘无故发生，需要看7月出现了哪些变化。

第一，DeepSeek本身没有外界原来想象得那么领先。原先DeepSeek聚集了全中国的期待，后来人们发现它似乎并没有达到那样的领先程度。第二，投资人很着急。梁文锋这个项目的做法很不正规：他自己出200亿元成为领投方，协议也由他自己写。其他投资人把钱放进去后，自然会问什么时候上市、什么时候融下一轮、投资怎样翻番，但这些事别人都说了不算。在这种情况下，可能有人想给梁文锋施加一点压力。

第三，Kimi K3出来了，又出现了新的“DeepSeek时刻”。它有2.8T参数，每次激活50B，效果很好，甚至又带来美国股市震动。另外还有GLM-5.2，在各种评分上比DeepSeek V4 Pro更强一些，尤其是编程方面。投资人面对这些变化，也要向自己的老板和LP解释，证明自己没有当冤大头、这笔钱投得值。再加上近期科技股整体回调，一定有人承受压力。把这些反常因素放在一起，才更容易理解泄露动机。

所谓第二轮融资究竟停在哪里

那么，所谓“第二轮融资泡汤”到底是什么意思？整个融资可以分成三段。

第一段是成立有限合伙。梁文锋出资或承诺出资200亿元人民币。除了国家人工智能产业基金，其他外部投资人都进入有限合伙。在这个有限合伙中，梁文锋是GP，即普通合伙人，其他出资者是LP，即有限合伙人。LP有出钱、最后分红和中间查账的权利，却没有决策权；决策权只掌握在梁文锋手中。

第二段才是真正向公司投资：有限合伙的500亿元人民币，加上国家人工智能产业基金的10亿元人民币，共计510亿元人民币，一起投进公司。

第三段是在这一轮结束后，大家期待再融一轮，然后推动上市。所谓“停”，到底停的是哪一段？中间这轮不太可能停，因为国家人工智能产业基金已经签字，整套安排很难被改动。现在首先可以确认的，应该是第三段，即后续融资和上市安排停下来了。

原因也很简单。梁文锋所说的200亿元并没有完全实缴，而是承诺出资。例如他可能先出20亿元，其他人也先出10%，之后大家随时按比例继续投入。如果真要上市，就必须实打实把200亿元放进去，这对梁文锋也有压力。

上市还有一个关键环节是审计。如果公司需要付溢价购买“不合规的卡”，这件事怎么通过审计？因此，第三段投资和上市应该都要暂停，尤其是不合规问题不处理干净，上市流程根本无法推进。

第一段也有可能部分暂停。有限合伙协议可以在较长周期内慢慢签，一点点把钱放进来，甚至有一年时间完成。按照这里的说法，从有限合伙开始组建起，一年之内把钱凑齐即可成立，期间随时可以有人进入、有人退出，也可以不再与某个投资人签约，改让其他人进来。如果一年后没有凑齐，就要解散，把其他人的钱还回去。这里也不等于所有人已经把全部资金放在账户里，而是承诺出资。

在这个过程中，如果梁文锋确认了是谁泄露消息，他可以拒绝与这些人签有限合伙协议，也就是不要这个投资人，换另一个人。以后如果出现某家机构被踢出局的新闻，被踢出局的一方很可能会被认为是放出消息的人。

目前，梁文锋本人和DeepSeek官方既没有辟谣，也没有确认。这反而是一种常见处理方式，因为无论说真还是说假，都可能让风波继续传播。想让事情尽快过去，最有效的办法可能就是什么也不说，仿佛它没有发生。

三个可验证判断与正确读法

最后，应该怎样看这份文件？它值得读，但要读对地方。真正有价值的首先是“拿得多的会被拿得少的打败”这一利润博弈逻辑：只要坚持开源、拿得少，就可能击败想拿得更多的人。这是一种非常朴实的竞争方式。

第二个有价值的内容，是从语言模型到CoT推理模型，再到Agent、持续学习、奇点爆发，最后到具身智能的技术阶梯。这套排序把“最省力的路径”置于“最热门的方向”之前，值得思考。

第三个是“4倍加2年”的国产算力标尺：四张国产卡约顶一张最先进的英伟达卡，中国与美国相比仍落后约两年。不要简单说只差6个月，或者已经追上，差距仍然不小。这三个判断可以拿去使用、验证甚至下注，其他很多内容更像包装。

还要特别提醒，不要把这份文字稿当作简单的人设材料。不能因为一个人说过某句话，就断定他一定是坏人；也不能因为他说过另一句话，就断定他一定是好人。必须先想清楚这是什么会：这是一场投资会，而且是一场极其不平等的投资会。

梁文锋所处的位置近似于：现在开放融资，需要钱的投资人愿意来就来，不愿意来就走。这体现了“形势比人强”。融资者如果求着别人给钱，就会说投资人爱听的话；但如果自己不缺钱、反而有资格挑投资人，就会审查谁的钱能要，谁愿意听话配合，再决定是否接受。

放在这个环境下再看梁文锋说的话，还要理解投资人的诉求。投资人没有抽象情怀，目的就是挣钱：今天把钱给出去，多长时间能翻多少倍，什么时候能上市，或者能不能借DeepSeek的名声继续募资。

梁文锋所说的“克制”，是在告诉投资人不要惦记快速挣钱，也不要惦记短期上市。投资人能站上DeepSeek这趟车，就已经得到名声，可以再去募资。他愿意把名声分给投资人，但投资人不要马上从DeepSeek这里索取更多实际利益。至于梁文锋真正工作时是否也如此克制，并不一定；因为这些话本来就是他在特定投资场景里对投资人说的。

所以，面对流传出来的各种信息，正确的解读方式至少有三步：第一，判断它是真是假、从哪里来；第二，想清楚它为什么会来到自己面前；第三，思考说话的人在当时场景里为什么这样说，他想达到什么目的。这才是理解梁文锋四小时投资会议访谈的关键。

背景图片

一辆出境后突然受限的车

新能源汽车买了之后，到底属于谁？先看这样一个画面：一位河南的父亲带着孩子，开着一辆五十多万的国产电动SUV 极氪9X，从家里出发，经霍尔果斯口岸一路向西，目标是巴黎。这是很多人一辈子想做一次却没有敢做的事情——开着自己的车，从中国一直开到欧洲。

车主 7 月 8 日出发，7 月 16日进入哈萨克斯坦。第二天，车机屏幕上突然弹出一个“解封申请”。这不是导航提示，也不是保养提醒，而是系统发现车辆出境后，开始限制车机功能，要求输入解封码。导航没了，音乐没了，智驾没了，这些也许还能忍，但中间扶手箱打不开了，护照、行驶证和购车发票都在里面；油箱盖也打不开，只能寻找应急开启方法。现在很多电动车的功能都依赖中控屏，一旦屏幕受限，储物箱、油箱盖等功能即使并非彻底无法使用，也需要车主去找自己可能从未用过的应急手段。

一个中国人带着孩子，身处语言不通的哈萨克斯坦，导航没了，证件还被锁在打不开的扶手箱里。他按照要求提交海关通关文件、护照、购车合同、购车发票、国际驾照和签证等全套材料，然后等了超过30 个小时。

这件事不应该只停留在骂一家公司。更大的问题是：这辆车是车主花五十多万买的，它到底归谁？我的结论很明确：谁花的钱，车就应该属于谁。车厂无权在车主没有违法、没有欠款、没有报案的情况下，单方面远程限制一辆已经卖出去的车。这不是服务，而是侵犯财产权，并且制造了实实在在的安全隐患。

车还能开就等于没事吗

先把事实说清楚，不夸张，也不洗地。网上流传最广的说法是“出国被远程锁车”，这个表述并不完全准确。极氪回应称，车辆的动力、刹车和转向没有被锁，车仍然能开，不存在“车辆被锁”或“无法驾驶”的情况。这一点可以承认。

但受到限制的是中控屏、车机、一批依赖屏幕和语音操作的功能，以及电子控制的储物箱和油箱盖。“还能开”就等于没事吗？到了加油站却打不开油箱盖，这算什么？坐进任何一辆新势力电动车，没有屏幕还能操作多少东西？空调、音响、座椅、后视镜，很多功能已经没有实体按键，全都塞进了大屏幕。屏幕被限制，当然会严重影响使用体验，甚至影响驾驶安全。所以，“整车锁死”略有夸张，但事情的核心争议一点都没有被削弱。

厂家的解释是，车辆定位在海外，触发了车机内置的安全保护机制，用于防盗、防损和维护正常的进出口秩序，而且称这是行业内普遍采用的做法。这里至少有四个问题，一个比一个难回答。

物权合同预警与解锁的四个问题

第一个是物权问题。车主全款买车，产权登记在自己名下，车管所也发了牌，厂家凭什么因为车辆出了国，就把已经装在车上、车主已经付过钱的功能关掉？这里强调的是全款。如果贷款没有还完，车辆的权利关系确实不同；如果车主拒绝偿还贷款，相关机构可能有权采取措施。但这辆车是全款购买的。

厂家说是为了防盗，可防盗最基本的前提应该是有人报案说车丢了。现在没有人报案，合法车主本人就在驾驶位上，手续齐全。没有失窃信息，仅仅因为车辆出境就先把车机功能限制，等车主自证清白，这种“我为了你好”的做法是不是管得太宽了？

第二个是合同问题。有人说，购车合同里也许写了车辆出境后可能被限制。即使写了，也要看它是不是被清楚提示。在中国，购车合同通常是格式合同，普通消费者不可能在买车时要求随意改两条。《民法典》对格式条款有明确要求：对与对方有重大利害关系的条款，提供方必须采取合理方式提示对方注意，并按要求予以说明；如果没有履行提示和说明义务，导致对方没有注意或理解，消费者可以主张相关条款不成为合同内容。

“车辆出境后厂家可以限制车机功能”显然与车主有重大利害关系。极氪销售车辆时，有没有专门讲过这一条？如果只是把它藏在一份很长的合同里，让消费者糊里糊涂签过去，即使合同里有，也不等于厂家已经尽到了提示义务。

第三个问题更说不过去：车主其实提前打过招呼。因为要带孩子开长途，他出发前专门到河南门店做了全车保养，明确告诉工作人员自己要开车去巴黎，还问需要办理什么手续、有什么问题需要注意。门店没有提示车辆出境会触发风控，也没有告知需要提前准备什么材料。

退一万步讲，就算这套风控机制合理、必要而且法律允许，事先告诉车主一声很难吗？销售完全可以说清楚哪些国家可能触发限制、车主需要如何报备。这不需要什么高深技术。什么都不说，让车主带着孩子到了国外才突然面对车机限制，是非常荒唐的。

第四个问题是，为什么必须“先锁后解”，而且解锁还要 30个小时？车主问官方，自己提前打过招呼，为什么仍然会被限制，得到的答复是没有办法提前处理，只能等故障码出现后再申请解锁、再做认证。

这个逻辑很难理解。系统既然能识别一辆车在哪里、何时越境，就可以反过来做一个“出境报备”入口。车主出发前在App 上传护照和签证，后台确认即可。即使因为车辆的 SIM卡需要国际漫游而收取合理费用，车主也未必不能接受。技术上并不难，真正难的可能是有人会利用报备口子，把车开到国外后不再开回来，甚至在当地出售；如果规则放开，也可能出现内外勾连、大量倒车的情况。这可能是厂家不愿意开放的原因，但不能因此让正常旅游的车主承担全部成本。

更有意思的是，不同客服给出了完全相反的答案。有媒体询问客服，得到的说法是不能提前报备，只能在故障码出现后申请；另一家媒体得到的答复却是可以提前提交材料，申请30天临时解锁。同一家公司、同一件事，两个相反答案，说明公司内部根本没有一套统一、可执行的跨境操作手册。

至于为什么等了 30 个小时，我查了一下日历：车主 7 月 16 日周四出境，7月 17 日周五被限制，30 个小时过去，正好跨到 7 月 18日周六。我只能推测，可能是周末处理人员较少，耗了很久才放行。车辆解锁时已经开到俄罗斯。这个推测没有官方证实，但如果境外应急响应真的按工作日和排班来算，而不是按小时来算，问题就更严重。更不知道次经历会给坐着父亲的车去欧洲的孩子留下什么印象。

远程控制边界的四个对照案例

把镜头拉远，可以看到远程能力的边界应该如何设置。第一个例子是iPhone。手机丢了，机主可以登录iCloud，打开“查找”，把设备标记为丢失，远程锁定、远程抹除，激活锁也会生效。关键在于，这整套动作由机主发起。苹果不会因为用户带着iPhone出国旅游，就主动锁机，再要求用户上传护照和发票解封。远程控制的开关应该握在所有权人手里，而不是厂商手里。厂家可以提供能力，但发动能力的人必须是所有权人，或者是持有法院文书的执行机关。如果有人把租来的车拿去卖，租车公司可以向法院申请冻结，再依法采取远程措施；除此之外，厂家没有理由随意动手。

第二个例子是拜登政府时期的美国商务部长吉娜·雷蒙多。她曾说，现在的汽车就是“装了轮子的iPhone”，并让人想象美国道路上跑着三百万辆中国产汽车，而北京可以同时把它们全部关掉。这番话在国内引发群嘲，很多人认为这是政治抹黑。可极氪这件事至少证明了一件令人尴尬的事：智能车企确实具备远程干预车辆功能的技术能力。这里不是说谁会统一按下按钮，而是要追问，车企手里的这个开关该怎么用，又由谁监督。

第三个例子是车臣领导人卡德罗夫的 Cybertruck。2024 年 9月，他在社交媒体发布视频，称马斯克送了他一辆Cybertruck。他把车弄到车臣，在车上架了机枪并拉到乌克兰战场，后来又抱怨马斯克远程把车锁了，车辆最后被拖出战场。

这件事必须讲清楚：马斯克本人在 X上明确否认送车，说这是谎言；远程锁车也是卡德罗夫单方面的说法，特斯拉官方从未承认。所以它只能被当作未经证实的传闻。它在传播上说明的是，公众已经默认智能车厂具备远程关闭车辆的能力，并不觉得这在技术上不可能。

第四个例子是天津港的 Cybertruck。2024 年，Cybertruck在中国没有官方销售，特斯拉也说过这种车因为棱角设计和不锈钢车身，很难满足中国的相关标准。它对车内乘员可能安全，但对行人和其他交通参与者并不友好。天津港的平行进口商还是想出了办法，车辆完成报关、完税和改装，甚至贴上皮卡所需的反光条，最终挂上绿牌出现在天津街头，价格从两百万元炒到三百五十万元。

特斯拉中国的回应是，没有官方销售计划，但不排除消费者通过平行进口渠道购买，上牌需要符合相关法规。这些车到今天还在跑，特斯拉没有把它们锁掉。特斯拉明确划线的是服务：灰色市场车辆的联网服务、车机内容、Autopilot、OTA、售后和质保，可能不提供或受到限制。但它没有反过来削弱已经装在车上的本地功能。这就是关键区别：厂家可以不给服务，但不能削弱消费者已经买到手的东西。极氪9X 大屏幕上原本能够控制的各种本地功能，不应该说关就关。

别家车企如何处理车辆出境

为了确认别家是不是也这样做，我直接问了小米客服。我问，如果开着车出国会发生什么？客服的答复是，离开中国境内后车辆仍可以继续行驶，不会锁车，也不会主动限制功能。但车上的SIM 卡没有办理国际漫游，到了国外，在线地图、手机 App远程控制等依赖网络的功能会用不了。

我又问能不能提前报备、开通国际漫游，客服说目前没有接受过这方面培训，不清楚具体办法。确实有人开着小米汽车去欧洲，但具体怎么解决联网问题，客服也不了解。国际漫游如果提前签协议，未必贵得无法承担；小米、华为这类同时做手机业务的厂商，本身也熟悉国际漫游。不过，客服没有一套明确回答，也说明新能源车跨境流程仍不成熟。

也有记者询问其他几家车企，他们都明确表示不会这样做，因为这会带来安全问题。至少在这些可见回应中，极氪想用“行业内普遍采用”把其他厂商一起拉下水，并没有成功。

渠道保护与组织变动的两条线索

那么，这件事的真实原因是什么？我不认为核心真是怕车主的车被偷。极氪自己给出的理由里有一句“维护正常的进出口秩序”，第一个更现实的原因，很可能是保护海外经销商的地盘。

国内卖车竞争非常激烈，再加上各种补贴，车辆价格相对便宜。如果有人从中国买车后运到国外出售，海外经销商就会受到直接冲击。经销商要花钱压货、装修门店、招人、宣传和提供售后，自然会要求厂家保护区域市场，不让中国版车辆堂而皇之地进入当地销售。

极氪在哈萨克斯坦确实有官方渠道。2023 年，它在当地找到一家名叫 Orbis Auto的经销商，这家公司同时也是吉利在哈萨克斯坦的代理商，还代理奇瑞的一些车型，是当地规模较大的经销商。

先看吉利品牌的销量：2023 年在哈萨克斯坦卖了 3643 台，2024 年为 8252台，2025 年为 9621台，进入当地品牌销量前十。极氪是吉利旗下品牌，保护当地经销商，就意味着不能让大量中国版车辆流入当地。即使车主申请去哈萨克斯坦旅游，也只给30天临时解锁，超过期限车辆仍可能再次被限制，这套安排显然带有防止车辆留在当地销售的意味。

极氪自己 2024 年在哈萨克斯坦卖了 809 台，数量并不算大。2025 年 9月，极氪 7X在阿拉木图正式上市，但从中国把中国版车辆弄过去，大约能便宜两成，这种价差当然会给官方渠道造成压力。2024年，极氪还出台过限制中国销售车辆流入哈萨克斯坦的政策，目的就是保护当地渠道。厂家需要防止平行出口可以理解，但不能用粗糙的技术规则，把“把车倒到国外销售”和“车主带孩子出国旅行”划成同一类。

频繁重组如何影响软件与服务

第二个原因，是极氪公司自己这些年一直处在频繁的组织变化中。客服为什么没有统一答复？规则为什么如此粗糙？这可能与公司的变化有关。吉利这样的传统车企迎接新能源时代时，孵化了极氪、领克等多个品牌。极氪发展得相对不错，2024年 5 月在纽交所上市，募资 4.41 亿美元，发行估值约 51亿美元，上市后市值一度达到约 68 亿美元。

但那似乎也是高点。2024 年 11月，也就是上市约六个月后，极氪又把姊妹品牌领克 51% 的股权收入旗下。到2025 年 5 月，母公司吉利提出将极氪私有化；同年 12月合并完成，极氪摘牌退市，吉利持股从 65.7% 变成 100%，交易价格约 24亿美元。

上市、收购、私有化、重新并回母公司，组织在短时间内不断拆分、重组和合并，软件、服务和流程也会受到影响。智能电动车并不是简单的“四个轮子加俩沙发”，也可以说是“带着轮子的iPhone”，核心恰恰是软件和服务。如果体系不断变化，海外业务的软件策略、风控规则、客服口径到底谁说了算，过去承诺过什么，谁负责、谁背锅，都可能变得不清楚。这次事件正好暴露了这种短板。

披着为你好外衣的爹味管理

再往大了说，这是一种我非常讨厌的“爹味服务”或“爹味管理”。它让我想到银行。你去银行取自己的钱，柜员可能追问用途，怀疑你是不是遭遇电信诈骗，甚至把街道或派出所的人叫来。银行为什么这样做？因为确实有人上当受骗，事后又去银行闹，而主管部门往往各打五十大板，让银行承担部分责任。银行为了不担责任，就把管理的手伸得越来越长。

这种做法的本质是有罪推定和举证责任倒置。你开车出国，就先被当成要把车卖掉；你去银行取钱，就先被当成受骗者。至于车主是不是带着孩子旅行、车辆是不是自己全款买的，没有人先核实。系统把证明清白的责任推给个人，让无辜的人承担全部时间和安全成本。

我反感这套东西，是因为它披着“为你好”的外衣，做的是“为了我省事”的事情，甚至还可能掩盖保护当地经销商之类的商业目的。厂家愿意保护经销商是厂家的事，不能因此限制一个全款买车、只是开车出国旅游的消费者。

智能汽车远程控制的四条边界

所以边界到底该怎么设？第一条，也是唯一的根本原则：没有车主本人的申请，绝对不能锁车。就像iPhone一样，苹果提供远程锁机、远程擦除和激活锁，但发动这套能力的人永远只能是机主自己。远程开关必须在车主手里，不能在厂商手里，这一条没有商量。

在这条原则之下，还应有三条流程要求。第一，允许车主出境前申请。跨境确实可能遇到充电接口不同、需要转接头、车辆联网需要漫游等问题，厂家可以要求车主简便报备，但不能审核很长时间，更不能随意限制车辆在境外停留的时间。所谓“临时解锁30天”是谁规定的？车主愿意开着自己的车在全世界任何地方跑两年，厂家也无权干涉。

第二，任何限制都不能影响安全。厂家不能因为风控，把基础车机、油箱盖、储物箱、空调、座椅、后视镜等与驾驶安全和基本使用有关的功能限制掉。由此造成交通事故，厂家就应承担责任。

第三，核验必须快速完成。如果车主确实疏忽，出境前忘了申报，厂家可以要求核验，但不能让人在国外等30个小时。既然要卖智能汽车，就要做好跨境应急服务；做不到，就不应该把这种能力做成可以突然限制车主的开关。

真正卡住跨欧亚自驾的是一行代码

最后说点轻松的。这件事里我特别在意一个细节：那位车主带着孩子去巴黎，不是去做生意，也不是去卖车，而是想带孩子看看世界。开着自己的车，从中国一路开到欧洲，是一件多么浪漫的事情。

而且，这件事确实有人做成过。有一位自驾博主开着小米 SU7从重庆出发，穿越哈萨克斯坦和俄罗斯，一路开到欧洲，最后抵达英国，又把车开了回来，并把全程拍成视频。

纯电车在这条路上能不能充电？他的经验是，绝大多数情况下并不难。中亚和俄罗斯沿途，国标和欧标充电桩都有，国标还占七八成，体验与国内接近；欧标充电桩需要转接线。哈萨克斯坦到俄罗斯那条线上，平均一百五十到两百公里有一个超级充电桩；到了欧洲，平均二三十到五十公里就有一个，部分国家需要转接头。他跑了六万多公里，充电总共花了一万六千元人民币。

这说明，纯电车跨欧亚自驾在 2026年，无论技术还是基础设施，都已经基本没有问题。真正卡住我们的，已经不是电池，也不是充电桩，而可能只是一行代码。

厂家不能说替车主管理、为车主好，就把车限制住。我仍然希望有一天，能开着自己的车走出国门，不用求谁批准，不用上传护照，不用等30个小时。因为那是车主花钱买的、登记在车主名下的车。谁花的钱，车就应该真正属于谁。

背景图片

Meta裁员案真正可怕的是什么

26名被裁员工把Meta的AI裁员告上了法庭，但真正可怕的不是“AI裁员”这五个字，而是有人想借着AI的名义，把公司变成血汗工厂。

这次Meta被告，真正吓人的是AI有可能正在被用来，把一家公司悄悄开成一个你不敢休假、女生不敢怀孕、残疾了也不敢开口申请照顾的地方。在这套逻辑下，休假、怀孕、残障，全都会被计算成“你的绩效差”；而AI还顺手成了最好用的挡箭牌：“不是我要开你，是算法给你算出来的。”

2026年7月13日，26名前Meta员工全部匿名，用“无名氏1号到26号”的身份，在加州北区联邦法院把Meta告了。这26个人来自7个不同的州和地区，岗位、团队都不一样，但他们有一个共同点：每一个人在被裁之前，要么休过法定保护假，包括医疗假、产假、照顾家人的假；要么申请过残障方面的合理便利。

他们指控，Meta这次裁员不是主要靠熟悉员工工作的经理来定去留，而是让一套AI和算法辅助系统给员工打分、排序、拉名单；这些休过假、有残障便利的人，被这套系统不成比例地挑了出来。

休假怎样被算法算成负分

“血汗工厂”最扎心的地方就在这里。你不敢休假，因为休假时没有敲键盘、没有提交代码、没有消耗token，系统看到一段空白，绩效分就往下掉。女生不敢怀孕，因为休假期间同样没有烧token、没有产出。残障人士不敢申请合理便利，因为一旦告诉系统“我这里有些不一样”，这个不一样就可能成为把你挑出来的信号。

这个案子的技术核心，可以用两个程序员甲和乙来说明。甲一年12个月都在岗，提交了120次代码；乙也很能干，但依法休了3个月假，可能做了手术，也可能家里添了孩子，剩下9个月提交了99次代码。如果系统只看总量，甲120次，乙99次，乙少了17.5%，于是乙进了裁员名单。

但把分母换对，结论立刻翻过来：甲每月平均提交10次，乙每月平均提交11次。按真正在岗的时间算，乙的绩效反而更高。问题就在于，系统拿日历上的12个月当分母，把乙依法休假的3个月算成“这段时间什么也没干”。

这件事不能简单说成AI自己出了问题或AI疏忽了。这样的算法对老板有利：老板当然希望留下提交120次代码的人。乙即使更能干，但请假期间活没有干完。以前因为法律允许乙请假，老板不能因为这件事开掉他，就必须忍受乙去请假；现在有了AI，老板得到了一个背锅侠。AI打完分，留下甲、开掉乙，这对老板是有利的。

这是一场双方都艰难的举证战

这个案子需要举证。首先要讲清楚，它不是一个集体诉讼案。Meta与每个入职者签劳动协议时，专门约定这类裁员争议不能采用集体诉讼。26个人可以作为共同诉讼人起诉，但最后要一个一个单独谈：谁输谁赢、谁回去上班、给谁多少赔偿，都要分别处理。

法官到目前为止的处理是：这26个人先要求紧急冻结裁员，希望先保留职位，再慢慢审理。法官没有支持，认为即使现在先裁掉，将来如果判Meta输，可以赔钱或者恢复工作，不属于必须紧急叫停的情形，因此裁员顺利完成。不过，法官也要求Meta和原告继续补充证据，8月份还要开庭审理，所以现在没有结论。

进入审理，双方都要提交证据。原告缺少的最重要证据，是Meta到底怎样计算裁员分数：哪些指标参与计算、不同指标各占多少、休假如何处理。任何被裁员工都很难知道公司为什么选中自己，公司最后总会给一个理由。因此，原告目前没有办法直接证明AI让这些请过假、怀过孕或者有残障便利的人被裁。

但他们手里有另一个非常有力的证据：在一些人请假时，主管曾对他们说，最近最好不要请假，请假可能影响绩效，马上可能裁员，你也不希望被裁掉吧。这个话是人说的，不是AI说的，是非常有力的证据。

为什么主管会说这种授人以柄的话？因为主管也可能被裁，他又不是扎克伯格本人。主管要考虑整个团队的任务能不能完成。员工请假当然合法，但员工请假后，如果团队任务没有完成，最后裁员时主管自己也可能被扔进去。所以主管会出来说一些难听的话：“最近风向不对，日子很紧，马上要裁员了，你现在真的要请假吗？”无论作为主管还是准备请假的人，在公司里工作过的人大概都经历过这种情形。这是26名原告手里最有利的证据。

对Meta来说，情况也一样：它要打官司，也要举证，但它要举的证据大概率同样很难拿出来。它需要公开透明地说明裁员规则怎样制定、数据是否排除了员工依法请假的部分、AI给出结论后最终签字的主管有没有修改名单、主管是否有足够时间理解AI打分规则并修改名单、修改时是否给出了理由。不能AI给出名单，主管就直接签字。

为什么Meta可能也很难拿出相应证据？因为公司裁员时，为了尽可能降低影响，通常会采取保密或突然袭击的方式运作。很多裁员理由和计算方法没法公开，一旦真的公开，留下的人也可能没办法继续安心工作。裁员往往追求稳、准、狠：快速挑出要裁的人，快速通知，不给任何人反应时间；裁完以后，还要让剩下的人继续老老实实、欢欣鼓舞地干下去。所以，这个案子最后怎么判还很难说。

用不用AI从来不是问题本身

讲到这里必须把话说清楚：用不用AI裁员，从来不是重点，更不违法。全世界没有法律规定不可以使用AI进行裁员。真正的红线，是能不能借着“我用了AI”，把公司偷偷变成血汗工厂。

“血汗工厂”不是一句情绪化的骂人话。不能拿休假整你、不能拿怀孕整你、不能拿残疾整你，这条底线是欧美国家几代人、无数企业、无数工会斗争了上百年才换回来的。今天觉得天经地义的8小时工作制、周末双休、不用童工、女工怀孕不能被随便开除、工伤得到保障，没有一样是老板发善心主动给的，全是一代代打工人用罢工、官司甚至生命，一寸一寸从血汗工厂时代抢回来的，然后被一条条写进法律。

第一，休假不能变成负分。这是美国家庭医疗休假法FMLA明文规定的规则：雇主不能把员工休保护假当成雇佣决定里的负面因素。第二，怀孕不能成为把员工挑出来开除的理由，这是民权法案第七章和怀孕歧视法管的事情。哪怕系统没有写性别字段，只要按照总在线时长、总产出这样的中性指标，造成对女性系统性不利，都可能违法。第三，残疾必须得到合理便利，而不是被当成排除信号，这是美国残疾人法ADA的核心。它不要求给残障员工降低真实标准，但要求别把残疾或者与残疾高度相关的替身指标，当成把人踢出去的捷径。

这些法律本质上都在做同一件事：给血汗工厂砌一道法律的墙。这个案子逼我们看的，是有些人会不会换上一件叫AI的新工具，就以为能够绕开这道墙，把公司偷偷变回血汗工厂。大家不要认为AI坏，AI再坏也是人教的。这件事跟AI先进不先进没有关系，工具是中性的。不能因为拿起一个更快的新工具，就把上百年斗争换回来的底线一夜退回去。

AI进入裁员后改变了什么

那么，AI这把更快的新工具到底哪里不一样？它为什么既能让事情更公平，又可能变成血汗工厂的帮凶？

以前裁人时，一方面看业绩、评分和各种具体产出，另一方面又不能完完全全靠数据客观完成。人能参考的数据极其有限，更多时候要拍脑袋：我觉得这个人怎样，我喜欢这个、不喜欢那个。这件事甚至有它合理的一面：一个人业绩很高，但主管就是不喜欢他，双方无法很好合作，把他留下也未必是好事。

今天AI来了，它可以帮助决策者参考非常多的信息，用更多维度、更复杂的模型评价员工，这是过去做不到的。但参考数据时会遇到第一个问题：这些数据是不是被正确参考了？比如女生怀孕或者员工请假，到底该怎样计算？从法律角度看，正确方式是把依法休假的时间剔除，不应该算进总量；员工怀孕生孩子，也应该把这段时间去掉。但是对老板来说，“正确”可能意味着把活干完。两种正确并不一样，AI必须遵守的是合法的正确。

第二个问题，是整个考核过程是否透明。Meta这个案子的核心就在这里。Meta裁员时估计也没有那么透明，即使内部有透明度，为了公司以后继续运作，也未必敢把全过程真正拿出来。大概率还是会因为不允许集体诉讼，一个一个与这26个人谈，赔一部分、处理一部分，把事情解决掉。

未来一定会要求数据更透明。无论裁员方还是被裁方，大家都应该能在同一个数据基础上申诉或抗辩，这是必须有的。

人负责不能只剩最后一次签字

第三个问题，是“人负责”到底是什么意思。Meta声称，裁员不是由AI决定，还是由人决定。但人负责有几个很硬的条件：需要签字裁员的人，必须知道系统用了什么数据，能看到原始证据，有时间、有权力权衡并推翻系统结论；推翻后必须写理由，而且不会因为推翻在组织里挨整。这几条缺一不可。

如果需要签字的人只得到10分钟，那就不可能做任何真正的决策，因为他自己也可能被干掉，只能签字。签字的人还必须知道分数怎样计算、原始数据是什么；但很多企业根本没法拿出这些东西，因为其中有许多即使在内部也上不了台面的内容。这对未来企业是巨大挑战。

主管还必须能够推翻AI排序，并写清楚为什么推翻，不能一句“我觉得不行”就拍脑袋；与此同时，他也不能担心推翻之后自己反而被开掉。企业过去一直利用信息不对称对待员工，即使需要签字裁员的中层领导，掌握的信息也不对称，所以他到底敢不敢拒绝AI的结论，很难说。

大部分裁员的真实状态是：员工去问HR为什么裁我，HR说，这是各团队按照统一流程评出来的；再去问经理，经理说，我参考了系统给你的综合评估，也不是我一个人说了算；如果能问到做系统的团队，他们会说，我们只提供工具，最终决定权在业务和管理层手里。一圈皮球踢下来，最后谁也不愿意为裁员负责。

裁员这种事，我自己被裁过，也裁过别人。当你看着一个人的眼睛说“你被裁了”时，其实比别人裁你的时候还难受。在这种时候，要有人愿意承担责任，说实话有点违反人性。

这里还有一个有意思的角度，叫古德哈特定律，也就是Goodhart’s
Law：一个指标一旦决定了你的饭碗，它就不再是一个好指标。如果刷token能决定升职、降级或者被开除，大家就不再好好干活，而是疯狂刷token，最后不可能产生真正有价值的产出。

所以几个问题要连起来看：数据有没有被正确参考，过程透不透明，人到底是真负责还是假负责。这三关道道守住，AI就是让裁员更公平的好工具；有一关塌了，AI就成了公司开血汗工厂的挡箭牌。

美团骑手展示了算法管理的另一面

有没有更反面的典型？有，Meta的“亲兄弟”美团。由AI、由算法掌控的人会有多么悲惨，看看美团外卖骑手就知道了。平台甚至连开除都不用，这些人都是自由职业者、打零工的，但美团可以通过算法排序：送了多少单、是不是全勤、有没有迟到、有没有超时。没有投诉、准时到达、送单量大，就发奖金；其他人可能拿不到奖金，甚至被派很差的单子，受到处罚，而且处罚过程并不透明。

最终，几百万外卖员骑着超标电动车。国家规定电动自行车最高时速25公里，但他们想在午饭时间准时送餐，就骑着改装后时速45到50公里的电动自行车满街飞奔，非常吓人。很多人还罔顾交通法规，闯红灯、逆行，天天如此。这些都是算法逼出来的。他们为了在算法里多拿一点奖金，可以把自己逼成这样。

一旦算法决定人的收入，决定一个人是不是被开除，就会很可怕。现在国内也在开始调整，要求平台不能再这样处理，首先得保证交通安全，因为这些外卖员在街上已经构成重大交通隐患。

算法打分时代的六组选择

未来，我们会不会沦为完全靠算法打分的员工？会，一定会。老范现在每天也被算法打分：节目有没有人看、有没有人点赞、有没有人发评论。YouTube每天用算法过滤内容，如果发现很多人喜欢，就给老范更多流量；如果大家只看完而不点赞，可能就不给流量，收入也会下降。这就是现实。

算法打分一定会成为大趋势，所有人都会面对。未来真正需要思考的，不是用不用AI打分、用不用AI裁员，而是职场会不会重新变成血汗工厂。这里可以做六个对比。

第一个危险做法，是直接拿日历期限内的总活动量比大小，Meta这次被指控的就是类似做法。可持续的做法，是先剔除受保护的假期，按照一个人实际能够工作的时间测量。老范自己在YouTube上基本日更，星期六可能少更一期，其他时间都要更新，因为只要不更新，平台就可能不给流量。YouTube的算法也没有考虑正常双休，所以现在一年365天基本无休地更新。

第二个危险做法，是拿token、键鼠或者在线时长直接衡量价值。按照古德哈特定律，这样做不会有好结果，员工会想办法糊弄老板。可持续的做法，是使用真正与岗位相关、经过验证的多维标准检验员工。

第三个危险做法，是删除敏感字段就宣称系统没有偏见。算法里删掉性别、残疾、怀孕，不等于不再考量这些因素，因为它可能用其他替代数据把同一批人筛出来。比如用跑100米的速度筛选，残疾人仍然会被排除。可持续的做法，是主动检查代理变量和群体结果。所谓代理变量，就是虽然不叫“怀孕”，依然能把孕妇筛出来的变量，这些东西都要屏蔽。

第四个危险做法，是经理只看一眼排序就签字。可持续的做法，是让经理能够查原始证据，能够推翻系统结论，推翻时必须写出理由，而且不会因为推翻承担不当责任，这才是真正的人参与。

第五个危险做法，是出了事再回头重建过程。Meta现在大概就面临这种局面：出事以后回来看看哪些流程可以补、哪些事情需要找人签字。可持续的做法，是事前就把输入、模型版本、名单变更和审批日志保存好。不过，第五和第六点说起来容易，实际上执行可能非常困难。

第六个危险做法，是员工既不知情也没法申诉。大部分裁员都是这样，至少我在国内职场这么多年，基本就是这种状态。可持续的做法，是适当告知，解释主要理由，并提供复核渠道。过去很难做到，因为会增加巨大管理成本；有了AI以后，不知道这一块能不能有所改进，毕竟以前只靠人肯定搞不定。

今天的故事不是说Meta就是血汗工厂，也不是说这26个人一定是在无理取闹。如果Meta能够证明，剔除休假、怀孕、残疾因素后，按照原来的考核体系，这些人依然应该被裁掉，Meta也可以洗脱冤屈。

真正要讲的是，AI参与评估、AI参与裁员，是一个不可逆的大趋势。在这个过程中，会有一些老板借AI之名，重新行血汗工厂之事。AI在这里没有善恶，坏的永远是使用它的人。这一点一定要记住。

背景图片

2026年上半年，中国汽车出口异常亮眼。亮眼到什么程度？半年卖出去509.6万辆车，这是人类有史以来头一回，半年出口突破500万辆大关。这个数字已经超过了第二名日本一整年的预计出口量。捷报频传、全网喝彩，可就在这一片喝彩声中，网上突然冒出一个新梗，往这盆热油里浇了一勺凉水——“李书福炮轰上半年500万辆汽车出口”。

这个梗把相关说法总结成“要么、要么、要么”三刀：要么是和国内二手车贩子勾结，通过海外港口，把国内卖不掉的过剩产能转移出去；要么是骗取13%的出口退税，催生一堆无效出口；要么是打着汽车的旗号消化自己的电池，再卖给国外的能源资本，动机都不纯。三刀下去，刀刀见血，直接把500万辆这块最光鲜的招牌捅了个对穿。今天就把这三个所谓的事实一条条摆到台面上，看看它们到底成不成立。

李书福究竟有没有说过

但动手之前要先核实一件事：这三刀到底是不是李书福亲口说的？这件事存疑。目前网上流传的说法，是李书福在6月份重庆论坛的主题演讲上讲了这些话，但他在主题演讲上讲的其实是吉利关停并转和企业传承，并不是这个。至于这段话是不是他在某个没有镜头记录的小会场里说的，就不得而知了。有可能是李书福说的，也有可能是媒体借着李书福的口，把他以前说过的一些话和魏建军说过的一些话综合到了一起。所以我们并不确定这三个“要么”是不是李书福本人在公开场合说的。

这也让人想到魏建军去年讲的“车圈恒大”：这个案子还没破，到底是谁？现在又是谁在搞出口、往国外卖500万辆车？在继续往前讲之前，先把一个事实说清楚：这500万辆是真的，但它真正承担的功能，叫“出口托底内需”。这几个字不是我说的，是中国汽车流通协会在上半年复盘文件里自己写的。

中国上半年出口约509万辆车，光6月份一个月就出口了103.7万辆，同比暴涨75%，单月也是头一回突破百万。新能源汽车上半年出口235.5万辆，占46.2%，也就是说，一半稍多一点的出口车辆仍是传统燃油车。所谓“出口托底内需”，就是国内需求不行了、撑不住了，必须靠出口从下面托一下、顶一下。换句话说，这500万辆里有很大一块不是海外市场把车拉出去的，而是国内市场把车推了出去。

“车圈恒大”为什么指向比亚迪

在国内销售疲软的情况下，“车圈恒大”会不会爆雷？恒大是中国最大的房地产商，在房地产市场疲软时出了问题；高歌猛进的时候，问题反而不容易显出来。魏建军讲“车圈恒大”时不敢点名，大家猜的主要是两个：赛力斯和比亚迪。

赛力斯在2024年和2025年做得不错，但到2026年突然说亏钱了，而且亏得很厉害，股价一开盘就直接跌停。不过在我看来，“车圈恒大”不是赛力斯，而是市场一直怀疑的比亚迪。原因并不复杂：恒大曾经是房地产老大，赛力斯在车圈的体量还够不上“老大”。李书福和魏建军某种程度上属于一个阵营，王传福和比亚迪则属于另一个阵营。能够被魏建军用这种方式影射的，必须是体量足够大的公司。

别的车企还在琢磨一个月怎么卖1万辆、3万辆，小米冲了半天，每个月也就是3万多辆；比亚迪一个月能卖30万辆，甚至三四十万辆。中国车圈里的行业现象，到了老大身上一定会被放大。如果老大身上完全没有零公里二手车、出口退税、库存和账期这些压力，它们也很难被称为行业普遍现象。

比亚迪眼下确实有些内忧外患。内忧首先是车不好卖了，国内电动车销量同比下降百分之二三十，老大的压力首当其冲。它一个月卖二三十万甚至三四十万辆，市场下跌时绝对量的影响也最大，车就得想办法往外走。第二个压力是零公里二手车整治。政府直接要求整治这件事，谁压的货最多，谁受到的影响自然最大。第三个更狠的压力，是供应商账期。

从迪链到商业承兑汇票

过去给比亚迪供货，零件送过去以后，比亚迪会给供应商一种叫“迪链”的内部金融凭证，而且不是马上给，往往还要等两三个月甚至三四个月。拿到迪链后，真正承兑可能又要半年甚至更久。供应商如果马上需要钱，就只能贴现。比如100万元的凭证，提前拿钱时只能拿到打过折的金额，剩下的部分就是融资成本。结果是，很多给比亚迪供货的供应商被账期压得很难受。

去年6月，国家要求大企业在60天内给供应商结款，否则上面高歌猛进，下面供应商全被拖垮，这套做法就不能再继续。政策出来以后，各家汽车厂商都站出来承诺60天内付款，比亚迪也必须响应，否则“车圈恒大”的帽子更容易落到自己头上。

随后出现了一个新变化：商业承兑汇票。比亚迪不再给供应商迪链，而是在收到货以后60天内给商业承兑汇票。可“承兑”并不等于马上给现金，它依然有账期，可能是30天、6个月，也可能是一年，要看票据怎么开。到2025年底，比亚迪的商业承兑汇票暴涨727%。其他车企都在想办法压低商票规模，比亚迪却直接涨了约7倍，原因在于别人原本就在用商票，而比亚迪此前多走了一步，先发展出迪链；现在把迪链停掉，又退回到商业承兑汇票，商票自然大幅增加。

很多人一听“承兑汇票”，就以为现在有银行兜底，肯定比迪链更值钱。这里要纠正一个误解：银行承兑汇票由银行兜底，商业承兑汇票依然由企业自己承兑。比亚迪开的商业承兑汇票，最终还是靠比亚迪自己的信用，和迪链相比更像是换了一个名字，账期没有凭空消失。可如果真要求比亚迪像一些体量较小的公司那样马上结清货款，或者全部换成银行承兑汇票，它的现金周转压力也会非常大。老大家大业大，欠的账也多，逼得太急，反而可能让它活不下去。所以比亚迪到底是不是“车圈恒大”，大家可以自己掂量。

真相一：海外需求与国内过剩

再看第一个真相：哪有那么多海外新需求？这500万辆里约54%是燃油车，而燃油车中很大一批是合资厂或外国品牌的车。最典型的是上汽，它手里有MG这个英国老品牌，大量从中国返销欧洲。这也是为什么欧盟去年10月确定反补贴税时，给上汽定了最高档35.3%，再叠加10%的基础关税，综合税率超过45%。即便交了这些税，中国生产的车在欧洲仍有价格竞争力。

新能源这一半，也不能因为听到“泡沫”就全盘否定。油价变化会影响新能源车的真实需求。中国车大量出海以后，确实可能出现滞港：车一下子到港，把当地港口填满，正常运转都受到影响。但滞港不能直接证明需求是假的。

我以前在南非投过一家叫Buffalo的物流公司，名字就是“野牛”的意思。它是国内一帮做物流的人跑到南非做出来的公司。到了当地以后，中国电商包裹的数量很容易让人家的邮政和物流系统堵住。原因很简单：世界上很多国家，包括美国在内，一旦直接对接中国的制造、物流和电商体系，出现拥堵太正常了，因为双方根本不在一个数量级上。当地赶上节假日、罢工、检疫或者其他突发状况，就可能滞港。因此，港口堆满中国车只能说明中国的产能和物流量巨大，不能单独证明海外需求是假的。

真正的问题仍在国内。2024年和2025年，中国搞了大规模汽车以旧换新，用真金白银补贴，把很多家庭原本以后才会发生的换车需求提前释放了。我自己也是去年从汽油车换成电动车。但汽车是耐用消费品，一个家庭不可能年年换车，有能力换车的家庭就那么多。置换需求被一轮透支干净，本质上就是寅吃卯粮，国内市场自然凉下来。

现在中国汽车产业在做两件事。第一是新能源汽车下乡。过去这些车主要卖在城市，城市居民以上下班和短途出行为主，充电基础设施也比较完善；接下来要往农村卖，农村充电设施还要再建设一轮，让更多燃油车被电动车替换。海南甚至提出从明年开始，全省不再销售燃油车。另一条路就是往海外送。所以海外到底有多少真需求暂且不论，国内需求顶不住已经很明显，国内消化不掉的部分必须送到海外。

真相二：零公里二手车与出口退税

第二个真相，是零公里二手车和骗取退税确实存在，但国家整治的方向，可能和很多人想的不一样。所谓零公里二手车，就是一些车厂为了冲销量、让数据好看，把大量新车压给车贩子、4S店或背后的金融机构。车辆上牌后直接停在车场，一公里没开，却已经成了二手车。有的车在上牌过程中还领了国补、省补和地补。它们最后也会销售，只是比4S店的新车更便宜，相当于用时间换空间，为库存寻找缓冲区。

这些车确实有出口，但往往不会去监管严格的欧洲，更可能去东南亚、中东、南美或者俄罗斯等对维修和质保要求没那么严格的市场。这也解释了为什么一些俄罗斯消费者觉得中国车出了问题没人管：其中一部分可能来自没有正规海外售后体系的零公里二手车渠道。

过去零公里二手车出口可以退13%的增值税，因为政策一直鼓励出口。现在国家开始整治，要求车辆注册后满180天再正常申请出口；如果不满180天，就必须到原厂开具售后维修服务确认材料，证明原厂愿意承担保修，才可能取得出口许可证。

这套制度不只是为了阻碍零公里二手车出口，更重要的是防止它们扰乱当地正常汽车市场。零公里二手车领取过各类补贴，售价比正常新车便宜，会直接影响比亚迪等正规厂商通过正规渠道出口的新车。国家相当于在说：过去车贩子帮车厂压货、占压现金，确实给销量做了贡献，但现在要顾全大局，让大型车厂先通过正规渠道把新车卖出去，零公里二手车这条路先缓一缓。它其实是在给正规军腾地方。

至于骗取退税，也确实有人干过，海关也进行过处罚。常见做法，是把一辆实际价值15万元的车，以25万甚至35万元的价格报关。因为退税按申报价的一定比例计算，价格报得越高，退回来的钱就越多。可车辆价格本身又很复杂：原价可能是25万元，变成零公里二手车并领完各种补贴后可能只值15万元，在海外的对外报价又可能是35万元。究竟应该按哪个价格填报关单，就留下了操作空间。有人关系好，报35万元顺利过关；别人照着报，可能就被查。所以行业里确实存在骗取退税，但当前管理的重点，仍是让零公里二手车停一停，让正规厂商先把新造出来的车卖出去，让整个行业多撑一段时间。

真相三：电池套车壳的经济动机

第三个真相，是“电池套着车壳出海”在逻辑上是否成立。有人怀疑，把电池装在车里运出去，拿到整车出口退税后，再把电池拆出来另作他用，甚至把车壳丢掉。到目前为止，我们并没有找到特别确凿的案例，能证明哪家公司真的这么干了，但这套做法从经济逻辑上确实存在动机。

中国动力电池有一个指标叫装车率。手机和电脑电池不叫动力电池，通常只有装在汽车上的才算。动力电池造出来，按理说应该装车，也可以用于储能电站。2021年，动力电池装车率还有70%；到2025年只剩44%；2026年5月更只有38%。也就是说，中国生产的动力电池超过六成没有装到汽车上。这些电池可以去做储能。全世界都需要储能电站，尤其美国要建大量数据中心，数据中心需要稳定供电和削峰填谷，储能是重要组成部分。但很多国家对进口中国电池有限制，尤其是美国。

与此同时，整车和电池的出口退税差距很大。出口一辆车可以退13%，电池去年退9%，今年退6%，到明年1月1日就降为零。一辆十几万元的车，电池可能占到总价的三分之二，甚至接近10万元。于是就会有人产生动力：把电池装进车壳，按整车出口拿到13%的退税，运到海外以后再把电池拆出来另作他用。从逻辑上看，动机是存在的。

谁有能力做这件事？比亚迪在匈牙利、巴西有汽车工厂，在泰国也有整车厂，本来还打算去墨西哥建厂。墨西哥受到美国压力，因为一旦比亚迪在那里建厂，产品进入美国市场会更加便利，所以相关计划放缓。可如果车辆被送到巴西、匈牙利或泰国，比亚迪确实有能力在自己的工厂里拆装电池。拆下来后，是继续完成整车销售，还是转去做储能项目，是另一回事。再次强调，第三个指责只是逻辑上说得通，我没有特别确凿的证据证明具体是谁做了。

比亚迪的光鲜表面与病灶

回到比亚迪身上，表面确实非常光鲜，但下面也有积重难返的压力。三天前，也就是7月16日，比亚迪刚交付第七艘汽车滚装船“郑州号”。这些船多以比亚迪建有工厂的城市命名，包括深圳号、合肥号、常州号、西安号和郑州号。深圳号能够装载9200辆车，是全世界最大的汽车滚装船之一。船身白色、底部红色，上面画着红色条纹和巨大的BYD标志，辨识度非常高，满世界航行。海外建厂也在推进，匈牙利工厂已经投产，巴西和泰国也有布局，这就是一个全球化巨头最风光的样子。

光鲜表面之下，是迪链账期被限制、60天付款要求、商业承兑汇票暴增727%、零公里二手车清理，以及国内置换需求疲软。作为卖车最多的老大，行业里的所有病都会在它身上被放大。国家把这些问题一件件摆到台面上、一刀刀切下去，比亚迪会不会就此完蛋？

我的判断是，比亚迪更像一个被推进手术室的病人。把它身上的问题一个个切掉，过程肯定难受，甚至会流不少血；但它家底足够厚、底子足够壮，像一个身强力壮的人上了手术台，遭罪归遭罪，缓过来的可能性仍然很大。

全球成为过剩产能蓄水池

所以，500万辆汽车出口到底是什么情况？结论很简单：全世界正在给中国的过剩产能当蓄水池。中国内需起不来，以旧换新透支了置换需求，国内市场撑不住，一条条产线却还在轰隆隆造车、造电池，造出来的电池六成都装不到车上。这些消化不掉的过剩产能必须找地方去，于是全世界成了中国的蓄水池。车在往外推，电池套着车壳往外送；政策一边清理零公里二手车，一边给正规军腾路，让比亚迪、吉利这样的车厂通过正规途径把车送出去，能多缓一天是一天。

本质上，这些做法都是在给装满过剩产能的池子多凿几个泄洪口。至于中国产能过剩的问题到底能不能解决，只有时间能告诉我们答案。

背景图片

最近科技股整体都在回调，很多朋友可能也亏了钱。今天讲一个过去的巨人正在崩溃的故事，让大家对大方向稍微有点信心：未来属于AI，所有站在AI对立面上的旧体系，迟早都会受到冲击。今天这个“老登股”，就是IBM。

创纪录暴跌背后的三个问题

2026年7月14日，IBM股价一天收盘下跌25.21%，整整四分之一没了。这是IBM自1968年有记录以来跌得最惨的一天。上一次是1987年“黑色星期一”，下跌23.7%，这次比那次还狠。一家一百多年的公司，创下了自己历史上最黑暗的单日纪录。

消息一出来，中文圈很开心，标题一个比一个响：“IBM崩了，中国信创产业赢了”“美国老牌IT要完蛋了，国产替代的时代到来了”“十万卡集群对上IBM大型机，胜负已分”。信创就是我们说的国产替代。但我今天要讲三件事，而且每一件的判断都跟网上的主流解读不太一样。第一，IBM到底出了什么事，究竟是中国信创把IBM吃了，还是AI把IBM吃掉了；第二，IBM这次崩盘跟中国信创其实没有直接关系；第三，IBM和信创到底有什么关系。我的判断很简单，也很重：IBM的今天，就是信创产业的明天。IBM被AI蚕食这件事，恰恰给信创的未来判了一个“死缓”。

先说一个边界。IBM完整的二季度财报要到7月22日才出，今天是18日，所以涉及二季度细节的地方，只用现在已经能够核实的东西，剩下的等22日再更新。

初步业绩到底差在哪里

IBM在7月14日提前预告了二季度部分初步结果。大家注意，一个是“部分”，一个是“初步”，完整财报要到22日才出。它的营收是172亿美元，同比只增长1%。我们以前经常讲，互联网企业如果没有两位数增长，而且两位数的第一位还不能是1，至少要增长百分之二十几，才像互联网企业。增长1%，就是标准的老登股。美国还有3%的通胀，增长1%从这个角度看实际上是在下滑。IBM的营收比华尔街预期的大约178亿到179亿美元少了差不多6.6亿美元，调整后每股收益2.93美元，也没有达到市场预期的3美元。

拆开三块业务看，软件增长5%，其中红帽增长11%。红帽就是IBM买来的Linux公司Red Hat，这块在涨，其他一些业务其实在下跌。咨询基本持平。IBM很大一块业务就是咨询，我们比较熟悉的案例是华为，华为整套管理体系由IBM咨询帮助建立。那套体系IBM自己都没玩起来，华为却把它搞起来了。基础设施下降7%，真正的窟窿是Z系列大型机，以及跑在大型机上面的高利润交易处理软件。这个“大型机”很关键。

但有一件事很容易被暴跌叙事吃掉：IBM并不是所有东西突然都没人要了。同一份材料里，分布式基础设施反而增长37%；旗舰z17上市以来，累计销量大约是上一代同期产品的130%；85%装了大型机的老客户还保持甚至增加了容量。CEO阿尔文德·克里希纳在给投资者的信里认了栽，说IBM没有跟上客户支出的急剧变化，几笔大单没有按期签下来，6月底一些客户临时把钱挪去买服务器、内存和存储了。

大型机与分布式服务器是两种生意

听到这里，大家可能会晕：IBM的服务器到底卖得好还是不好？要理解这件事，先要分清大型机和分布式服务器。大型机英文叫mainframe，它是一台完整、独立的机器，虽然可能装满很多机柜，但整体就是一台机器。过去很多关键的交易软件都跑在大型机上。所谓交易软件，比如从银行取一笔钱，银行要先从账户里扣掉这笔钱，然后机器再把钱吐出来，这个过程绝对不能错。

为了不出错，大型机有很多今天看起来很特殊的冗余设计。比如两颗CPU可以热插拔：运行中发现一颗坏了，可以把任务切换到另一颗CPU，再把坏掉的拔出来、插进新的，整个过程不停机。要实现这种功能，服务器需要非常多的冗余设计，所以非常昂贵；而且这种机器卖得少，量越小就越贵。

另一种是云计算中心里常见的分布式服务器，装Linux，使用大量标准化机器。需要时可以开三台、五台，不要求在不停机的情况下逐个更换CPU、内存、网卡或电源。某台机器坏了没关系，再开一台，把坏机器整个扽出来就可以。现在这种分布式服务器卖得更好，而原来那种必须保证整台机器不坏、内部所有部件都能在线更换的大机器，越来越难卖。

所以，这不是IBM产品突然全线崩盘，更像是一门护城河很深、却高度依赖少数大单何时签字、客户预算往哪里挪的生意，在某个季度节奏被打乱了。这个季度内存、芯片和各种半导体都在涨价，原本应该跟IBM签约的客户觉得IBM的项目早一点晚一点没关系，于是暂缓签单，先把钱拿去买内存、存储和GPU。IBM的几个大客户没签单，这个季度的业务就显得特别难看。

网上还有一种说法很火，叫“IBM剔掉并购，有机增长几乎为零”。Red Hat是买回来的，现在几块还在增长的业务也有不少是买回来的，而IBM传统业务基本不增长了。但这件事仍要等22日完整财报出来以后再验证，暂时不能急着下结论。

AI为什么开始拆掉大型机护城河

真正关键的问题是：IBM究竟是被信创打败了，还是被AI蚕食了？我的结论是，它正在被AI蚕食。

大型机的客户通常是银行、保险公司和电信公司。这些客户为什么一定要买IBM的机器？因为它们内部仍然使用一种很老的编程语言COBOL。这个语言在上世纪70年代就存在，我1995年大学毕业时已经觉得它被淘汰了，但今天仍有两千多亿行COBOL代码在运行。很多写COBOL的人已经退休了。

COBOL程序写起来像商业文档，上面先定义要做什么，再说明怎样把事情做完。早年的程序没有那么稳定，就靠不断测试、不断认证，把它变成可以承担关键交易的软件。现在即使有了新技术，客户也不敢轻易替换。原系统跑得好好的，而且已经通过完整认证；如果用JavaScript、Python等语言重写一遍，整个认证体系也要重新走一遍。写旧代码的人、帮它做认证的人都退休了，出了问题又没人敢担责任，所以大家只能继续维持原系统：有新硬件就买回来，把COBOL系统重新部署上去；用户扩充、并发上升，就再买一台大型机扩容，或者再做一套灾难备份。六七十年过去，没有人敢动它。

今天为什么开始有人敢动？因为AI来了。过去人类的阅读和理解能力有限，一个程序有一百万行代码，即使从头到尾看完，也很难弄清所有依赖关系，不知道修改一处数据或代码会影响哪里。这样复杂的东西，人很难整体掌握，电脑却可能掌握。现在可以让AI把整套代码读一遍，描述清楚接口，再尝试把它迁移到新系统。

具体做法可以是先把旧系统隔离起来，编写全量测试，重新建立测试体系。旧系统本来就是靠测试和认证跑起来的，那就把原来的测试与认证报告都拎出来，确认新的测试体系能覆盖所有关键环节。然后让AI写新的代码。AI写得很快，因为其中很多业务逻辑本身并不复杂。新代码仍放进同一套测试体系里跑，只要测试能够跑通，并且能够据此通过认证，就可以签字推进替代。

原来一台服务器可能要几十万美元，再加上一大堆咨询服务；迁移以后，可能几万美元甚至几千美元的服务器就能跑起来。旧系统不一定需要复杂逻辑和强算力，它需要的是高并发。分布式办法很简单：多上几台。过去一台几十万美元的服务器要保证灾难备份和各种热插拔，现在可以用几千美元一台的服务器同时上十台，几万美元就解决了。坏两台就拆掉，再补两台。玩法已经完全不同。

有了AI，IBM的护城河就可能被拆掉。不只是IBM，Oracle、SAP、惠普等老牌IT企业的护城河都受到同样挑战。过去企业说系统一定要上IOE，也就是IBM、Oracle和EMC；现在很多东西都可以放在云端，用分布式系统解决。以前不敢更换这些老牌IT资产，现在有AI以后，替换成本大幅下降。甚至正式替换之前，可以让AI做二十套不同版本，逐一测试，再挑一套好的使用，试错成本低得多。

当然，这条路并没有那么快。有机构今年做过一份反向报告，认为2026年许多想靠AI退出大型机的项目很可能达不到预期。数据一致性、批处理、监管验证、责任归属，这些坎一个都不能少。所以不要急着给IBM这类公司开死亡证明。但“迁移成本正在被AI侵蚀”这个方向非常确定。IBM的城墙不会今天就塌，但它第一次看到了彻底坍塌的可能性。

IBM自己的AI与老客户困境

那IBM自己为什么不做AI？IBM其实很早就开始做AI，后来卖watsonx，但它的AI更多是决策支持系统。有人说IBM的AI才卖了75亿，可往后看它的报告，AI销售数字越来越模糊。IBM把AI销售额和咨询、软件服务混在一起，因为它很难说清AI到底卖了多少钱。放在一起，数字才不至于太难看。

IBM为什么会出现这个问题？它的客户没有迫切向它提出新的要求。IBM自己是老登企业，又服务一批老登客户。银行行长、银行IT负责人等决策者年龄往往很大，有些甚至比我还大。他们不容易理解AI，对AI的印象可能仍是“这不就是一个统计结果吗，没有创新，还每天一本正经地胡说八道”。这些客户不愿意改变，也就不会向IBM提出足够强的新需求。对于一个为老登服务的老登IT企业来说，把原来的客户服务好似乎就够了；新的产品就算做出来，也很难跟别人竞争。

IBM过去无论卖大型机还是PC服务器，习惯的都是捆绑销售。它不只卖硬件，还要一起卖认证的电源插座、螺丝钉和一整套咨询服务。新的IT用户却不想费这个劲，只要求交付可用算力，然后自己部署。用户最后要的是token，至于token怎么跑出来的，并不关心；过程中偶尔出错，也不一定是什么大问题。

中国铁道部早年建设抢票系统的经历可以说明两种思路的差异。系统怎么建都不行，一个原因就是按照IBM那套银行玩法做：每一笔账都不能错，必须这边减了钱，那边才能多出钱，两个账户之间的交易绝对不能错。当时最早是神码做系统集成，里面也用了IBM机器。后来阿里用互联网方式解决问题，思路是允许一部分错误。双十一下单，最后告诉你交易没成功，那就没成功，并不会像银行账目出错那样产生严重后果。这是两个完全不同的概念。

IBM的客户大多是银行式客户，一笔都不能错，所以它不喜欢做允许试错的新活儿，也习惯用原来的话术吓唬用户：“你可以上新的，但万一错了，谁担责任？”只是现在这套办法越来越不灵了。

AI硬件正在抢走软件预算

AI蚕食IBM还有一条更直接的路径：AI硬件正在抢软件预算，这也是IBM这次业绩崩盘的直接导火索。迁移替代的可能性已经出现，但不会马上完成；客户转身去买AI服务器和存储设备，却是正在发生的事。IBM的客户是银行、保险公司这类有金融属性的机构，它们也喜欢“理财产品”。现在内存和SSD不断涨价，这些东西本身就像理财产品。原本要跟IBM签约买大机和咨询服务的客户，先去抢内存、SSD和AI服务器了。

买戴尔、超微等标准服务器很简单，一手交钱一手交货，后面自己安装，或者让供应商简单装一下，没有那么多附加条件。IBM有没有内存、SSD和服务器？它也有。但购买IBM的东西，往往还要买咨询、保修和套餐；如果不买，IBM就会问：“万一出了事，你担得起责任吗？”客户去买这轮“理财产品”时，自然就不优先选它了。因此，我们得到第一个结论：IBM这次崩盘最主要的原因，是它正在被AI蚕食。

IBM暴跌不等于中国信创赢了

接下来再看IBM崩盘跟中国信创成功有没有直接关系。中文网上最流行的解读是“美国老牌IT不行了，中国信创赢了”。这两件事其实没有直接联系，原因很硬核：IBM这次崩的是大型机，以及跑在大型机上的高利润交易软件；中国信创的主战场则是PC和PC服务器，包括办公电脑、x86服务器，以及上面的操作系统和数据库。两者根本不是同一块阵地。

更关键的是，IBM早在2005年就把PC业务，也就是ThinkPad，打包卖给联想；2014年又把x86服务器业务，也就是System x，也卖给了联想。现在国内折腾来折腾去，主要是华为、联想、浪潮等企业之间竞争，IBM十几年前、二十年前就跑了，跟它没有直接关系。

至于中国的大型机，它们一直处在被淘汰、被国产机器替换的过程中，IBM后来确实没有挣到这部分钱。IBM在中国的研发中心也不断裁撤和裁员，因为没有生意，旧设备需要的维护也随着替换而减少。这说明IBM确实在退出中国，却不能反过来证明IBM这次股价暴跌就是被信创打败。

为什么中国可以替换这些软硬件，没有像美国一样被两千多亿行COBOL代码困住？这里有两个原因。第一，中国程序员是一个极其内卷、产能过剩的行业，有的是人去干迁移和适配这些苦活。第二，中国在快速升级迭代的过程中，允许出一些问题。一旦某个时段绝不允许出问题，就会封版本。例如奥运会或重要会议召开时，把版本封住不许动；会议开完，再接着更新、接着改。

这就像过去不断开挖、不断翻修的“拉链路”，每年都有预算下来。如果不做升级、不做调整、不做以旧换新，钱就没有理由花掉，所以系统必须不停更新迭代。中国替换的速度比美国快得多。美国那边的思路是“能用我就不动”，中国这边则是“虽然能用，但新预算下来了，又有的是程序员，那就换吧”。所以，IBM这次暴跌跟中国信创产业的成功并没有直接关系。

信创短期有用，长期仍被判了死缓

那信创到底成没成？短期内它当然产生了一定收益。以旧换新，总有GDP在跑。美国也不断给中国上枷锁、卡脖子，不做自己的信创肯定不行；而且如果不做信创，也很难编出别的理由继续把这笔钱花掉。所以，信创短期有作用。

但从长期看，IBM的今天就是信创产业的明天。信创今天在替换服务器、数据库和原有业务场景，恰恰在做IBM正在被替换的那些事情；它服务的用户，也同样是那些不愿意改变、不愿意接受AI、不愿意放弃原有权力的老登用户。今天信创企业服务了他们，等AI真的能够替代原有业务时，不可能只替代美国系统而不替代中国系统。今天建设的很多信创系统，最终也会被淘汰，这一点跑不掉。

还有一个问题：一旦一个产品或市场缺乏竞争，市场就会摆烂。IBM这么多年也是这样走下来的。它通过认证体系建立门槛：“我的系统通过认证，其他没有认证的系统不能跟我竞争。”竞争减少以后，它就开始摆烂。给它钱的甲方也多一事不如少一事，觉得原来的系统跑得好好的，不要动，否则出了问题自己要担责任。

中国信创产业也可能如此。企业可以说：“我是国产替代，就算性能比美国或其他国家的产品差一些，也不需要跟你充分竞争。”在这种情况下，它们会不会稍微放松一些、摆烂一些？必然会。只有充分竞争，才可能有充分创新。只要画地为牢，像IBM那样，或者像封闭的信创市场那样，就等于放弃了前进的动力。

共同的问题是自上而下的决策体系

IBM和信创还有一个共同的核心问题：它们都在服务一套自上而下的决策体系，由最上面的老板拍板。做决策的人不知道下面的人怎样干活，也不知道业务具体怎样发生，只能根据已经包装成财务报表的信息做决策。这种决策方式不可能主动要求真正新的东西。决策者永远会说“给我更快的马车”，很少会说“给我一辆汽车”。

无论IBM还是中国信创，如果继续沿这条路往前走，走着走着就会发现，这些公司连同它们的甲方一起被淘汰。当然，中国可能稍有不同，因为这里更新迭代特别快，也许在淘汰过程中还有更多人能挣到钱，还有很多人愿意推动更新迭代。现在又在大干快上算力中心、推进东数西算，也会有新贵接上这一棒。

结论：AI正在给旧体系重新定价

最后的结论是，IBM出现了有史以来最大的单日暴跌，但这次暴跌恰恰说明AI依然在高歌猛进。这段时间AI、存储和半导体股票的下跌只是暂时回调，大家要对方向有信心。IBM也好，中国信创产业也好，它们都在做一套旧答卷，都在服务传统的自上而下决策体系。它们以及原来的甲方，最终都可能被AI卷进历史的垃圾堆。

背景图片

20亿美元传闻里谁是韭菜

腾讯为什么愿意花20亿美金去买Manus？这里面到底谁是韭菜？这条消息已经传了一段时间：腾讯要花20亿美金把Manus从Meta手里“赎”回来，然后重组，再让它到香港上市。不过，这目前仍然是一条传闻。看到这件事，我脑子里马上跳出了几个问题：腾讯为什么要出这20亿美金？前面投钱的机构现在怎么想？腾讯、机构、股民、创始人或者Meta，到底谁是韭菜？这20亿花出去到底亏不亏，Meta当年那一手又赚没赚？

关于Meta，大家普遍认为，中国政府相当于救了它一次：这个想乱花钱的孩子被稍微教训了一下，钱又退了回去，算是帮了Meta一个大忙。接下来，我们把这些问题一个一个掰开讲。

Manus是怎么走到20亿美元的

Manus背后的公司原来叫北京蝴蝶效应科技，创始人肖弘，1993年出生，是从华中科技大学出来的连续创业者，之前做过Monica、壹伴助手等工具。Manus在2025年3月正式公测，打出的旗号是“全球首款通用AI Agent”。在它之前，AI Agent基本上是编排型的：工作流预先规定好，先做什么、后做什么。Manus当时的先进之处在于，你给它一个任务，它会自动生成工作流，再自己执行。因此，它很快火遍全网，国内媒体还把它捧成了“下一个DeepSeek”。

Manus的融资节奏也非常快。真格基金在最早的种子轮就进去了；2024年11月的A轮由红杉中国领投，腾讯和真格跟投；2025年4月的B轮由硅谷的Benchmark领投，投入7500万美金，投后估值达到5亿美金，腾讯又跟了一手。

戏剧性的部分随后出现。2025年12月，彭博社和CNBC先后爆出，Meta要用超过20亿美元收购Manus，把它装进自己的超级智能实验室。据说扎克伯格本人下场，十天敲定，这笔交易一度被称为Meta历史上数一数二的大并购。

但中国监管没有放行这笔交易。2026年1月，商务部启动评估；到4月27日，根据CNBC的报道，发改委那边的外商投资安全审查办公室直接禁止投资，要求撤销交易。给出的逻辑很清楚：Manus是中国人创办、中国资本投出来的核心AI资产，即使注册在新加坡，也不能就这样卖掉。到了6月，Meta开始切割。6月11日前后，双方完成运营拆分、停止数据共享，Manus员工也被移出Meta内部系统。

6月18日，科技媒体The Information最早爆料，Manus早期的中方投资人计划按原价20亿美金，从Meta手里把公司买回来。到了7月10日，英国《金融时报》首先报道，彭博社同日跟进：腾讯正在牵头，拉上真格、红杉等老股东，仍按20亿美金估值回购，并计划重组后到香港上市。

故事讲到这里，会发现一个特别有意思的点：估值一直没变。2025年12月，Meta买是20亿美金；2026年7月，这帮人说要赎回来，还是20亿美金。16个月，换了三拨主人。这个“不变”，本身就是一出戏。

消息是谁放出来的

要拆这个故事，不能一上来就问腾讯为什么买，第一步应该看消息是谁放出来的。它不是腾讯官方的消息，也不是创业团队的正式消息。按照我过去做投资和并购的经验，大型并购的第一件事通常不是谈价格，而是保密。消息一旦提前放出去，别人可能报出更高的价格，也可能从中找出问题，交易就很容易做不成。

可现在消息偏偏出来了，而且细节不少。我的判断是，这更像其他小股东提前放出来的消息。腾讯在其中算最大的股东，其他股东希望把未来交易锁定在对自己有利的方向上，就有动力先去影响预期。以前做投资时，我们遇到有人放消息，会先找到消息源，再看这个版本对谁最有利，甚至会考虑后面是不是把放消息的人踢出去。Manus这个案子更复杂，大家还要看风声，但小股东为什么着急放消息，是理解整件事的关键。

老股东为什么需要基金挂账

我把这叫作“基金挂账式操作”。风险投资所谓的风险，本来就是投十个可能死九个。可对基金来说，公司经营失败和这笔账真正死掉，是两回事。公司清算了，项目才算死；只要公司没有清算，还挂在那里，这笔账就没有死，而且账面价值仍然可以沿用最后一轮的20亿美金。

前面监管要求取消交易时，这些基金都说愿意配合，可真正配合起来没有那么容易。基金的基本运作方式，是GP，也就是普通合伙人，出去找LP，也就是有限合伙人出钱，再由GP拿着LP的钱投资。Manus如果以20亿美金卖掉，后面会连续发生几件事。

第一件事是分奖金，也就是carry。项目退出后，相关收益分成可能已经分掉。第二件事是募资。基金往往不是只有一只，而是在同一品牌下连续设立很多只基金。你可以拿着“我们投中的Manus以20亿美金卖掉了”这个案例，去为下一只基金募资。死了多少家公司可能不重要，只要有一个项目以20亿美金退出，就会对下一轮募资产生巨大帮助。第三件事是给LP还钱。基金有周期，前面是投资期，后面是管理退出期。到了后一个阶段，基金通常不能再向外投钱，收一笔钱回来，就要赶快还给LP。于是，很多钱可能已经到了LP手里。

现在监管要求取消交易，问题就来了：已经分掉的钱、拿去讲募资故事的退出案例，以及已经还给LP的钱，怎么重新收回来？这时最需要的是一个新故事。先别让这笔账清零，把20亿美金的估值固定住，重新把它框起来，项目不要清算，而是继续挂着。只要这个估值被锁在账面上，基金至少不用立刻面对一笔彻底归零的项目，这就是小股东想推动的操作。

腾讯牵头究竟图什么

腾讯是否愿意花这笔钱，也要把结构说清楚。并不是腾讯一家掏出20亿美金。按照《金融时报》的报道，是腾讯牵头，拉上真格、红杉组成新财团，一起按20亿美金估值把Meta的股份买回来。该退给Meta的钱还是要退，但拿回来的股份依然按20亿美金放在账上。腾讯会取得单一最大股东的位置。

原来的单一最大股东应该是Benchmark。它在Manus估值5亿美金时投入了7500万美金。按照这里的说法，监管裁决导致交易回退，并不只是从Meta收购那一步简单倒回去，而是要追溯到Benchmark投资后的结构：当初拿到Benchmark的7500万美金后，国内公司被注销，业务搬到了新加坡。腾讯等老股东现在若把交易接回来，就是要把这笔账重新锁在20亿美金的位置上。否则，账面也要计亏。腾讯大概率有动力牵头做这件事。

钱对腾讯并不是最大问题。腾讯手里的现金很多，最近还卖出了一大块快手股票，落下约16亿美金现金。与此同时，腾讯又投了可灵，投入约2亿美金，取得1.12%的股份。这套动作说明腾讯确实在把资金向AI方向调。做到这一步，腾讯在账面上并没有直接亏钱：它只是把Meta给的钱还回去，再把原来20亿美金的估值固定住，不做减值。至于固定下来后能不能上市，那是另一个问题。

Manus还有没有独创性

Manus到底还能不能上市，上市后会涨还是会跌，才是真正需要思考的地方。Manus在Claude Code、Codex和xAI的Grok Build等产品出现之前，确实有独创性，可以自动把AI Agent跑起来。但现在，Claude Code、Codex、OpenClaw、Hermes Agent、谷歌Antigravity、xAI Grok Build，以及智谱Zcode、腾讯WorkBuddy和CodeBuddy等产品都出现了，Manus已经不再具有当初那种独创性。

它还有一个巨大短板：没有自己的模型。智谱的Zcode、MiniMax的MiniMax Code、腾讯的CodeBuddy，背后都有自己的模型。只有掌握模型，才更有机会继续向前走。所有没有自有模型、只做AI Agent的公司，现在都很尴尬：估值已经很高，后来者不愿意继续接盘，想象空间也变小了。现在往往是谁有模型，谁就自己做AI Agent；没有模型的Agent公司做了半天，最后还可能被模型公司拿走大部分价值。

类似的公司包括Perplexity、Cursor、Windsurf和Character.AI。目前结局最好的是Cursor，它被马斯克以600亿美金全股票收购，对原来的投资人算有了交代。Windsurf和Character.AI则走向另一种剧本：谷歌只用相对少量的现金把创始团队拿走，并不承认完整估值；这些现金主要让前面的投资人退出，后面多出来的估值继续挂着。只要没有新融资，账面估值就不会主动下降，也是被基金挂在那里。更有意思的是，Character.AI创始人被谷歌收回去后没过多久又去了OpenAI；Windsurf被谷歌收进去做成Antigravity后，也处在一个不受重视的位置。这些没有自有大模型的AI Agent公司，普遍面临前期估值无人愿意继续承认的问题。

为什么买回来也难以自用

有人会问，既然腾讯的AI本来就落后，为什么不把Manus买回来自己用，补充内部产品线？这个想法忽略了大公司的内部赛马。腾讯内部刚进行过一轮WorkBuddy和QClaw的竞争，QClaw输了，WorkBuddy胜出，QClaw项目负责人也离职了。内部产品已经打得满头包，再从外面买一个项目回来与内部团队竞争，几乎不可能赢。

战略投资当然可以收购外部业务来填补内部空白，但前提是内部没有同类产品。如果内部已经有多条产品线在竞争，再买一个外部团队回来，就会与既有团队发生冲突。Antigravity就是一个例子：Windsurf从外部买回来，折腾之后仍然没有成为最受重视的方向。Meta当初买Manus时，内部没有这种产品，可以用它填补空白；腾讯现在已经有WorkBuddy、CodeBuddy等产品，再买一个Manus回来与内部打仗，意义就不大了。

真正的主角是那笔账

最后，到底谁是韭菜？我的判断是，这大概率是一个基金挂账项目。只要项目不死不活地挂着，它就始终值20亿美金。对腾讯如此，对其他基金也是如此，先挂着再说。项目真正可能上市的条件，是港股突然变得特别好，只要沾上AI就上涨。把20亿美金的估值保留下来，相当于给未来留下一个故事；现在清算，未来就没有故事了。万一港股突然火爆，就可以把公司送上市。

一旦真送上去了，股民才最可能成为韭菜。Meta则像是被中国政府救了一次，避免继续瞎花钱。创始团队一开始创办公司时，公司的价值没有这么高；后来估值被推到如此高位，他们也失去了控制能力。对他们来说，至少已经拥有“创建过Manus、经历过这些风雨”的创业履历。基金手里则重新多了一笔价值20亿美金、可以继续挂着的账。

所以，只要上市，股民可能是韭菜；只要不上市，项目就继续挂着。一句话总结：这根本不是一个20亿美金的资本故事，而是一群人如何把一笔要被清零的账，重新讲成一个“还能上市”的故事。腾讯、Meta和监管在这个故事里可能都只是配角，真正的主角，是那笔20亿美金的账。

背景图片

马斯克罕见认错，承认 Grok 偷走了用户代码，并承诺全部删除。

大家好，欢迎收听老范讲故事的 YouTube 频道。

只说了一声“Hello”，整个项目就被上传了

咱们先想象一个很有画面感的场景：你打开电脑，跟新装的 AI 编程助手说了一句“Hello，你好”。说完以后，它二话不说，把你整个项目的所有代码、配置，包括你藏在角落里的密码、密钥，打成一个压缩包，嗖地一下传到云端去了。

你没让它传，甚至还千叮咛万嘱咐它：“别传我的文件。”它还是给你传走了，而且传之前和传之后都没有跟你说任何话。这就是这一次 Grok 干的事情。

这个事情是不是特别像十几年前那个把很多人坑惨了的故事？有人拿着电脑去修，修电脑那哥们本来应该老老实实地把电脑修好，看见什么都当没看见，结果人家把电脑里的东西七七八八拷走以后，照片流传出来了，多少人成了全网的笑柄。这个就是陈冠希的故事。

现在马斯克的 Grok 也干了一模一样的事情。这就是 AI 版的陈冠希事件。主角是马斯克他们家的 Grok Build，就是那个命令行的 AI 编程工具。

而且这回更劲爆的地方在哪儿？马斯克本人罕见地出来认错了，说：“是的，这是真的。我们确实传了，我保证全都给你删干净。”

马斯克认错本身就是个新闻。世界首富，万亿个人资产的世界首富，出来说：“对，我们干了。”但是今天咱们真正要聊的不是这个 bug，而是它背后越来越吓人的一个更大的问题。

安全研究员怎样抓到 Grok Build

咱们先把这个事情稍微捋一下，这个事情到底是怎么发生的。

有一个叫“塞雷布拉布”的安全研究员，这是他的网名。他是专门干这行的，也不会傻乎乎地真拿自己的项目去做测试。他搭了一个假的环境，里面放了一个假项目，然后在这个假项目里放了很多探针。

你可以这么理解：他往这个项目里塞了一堆做了记号的钞票，专门看看你的 AI 会不会伸手，到底把哪张拿走了。

我记得以前咱们还有一个梗：我到搜狐上注册用户叫张搜狐，在百度上注册用户叫赵百度，在腾讯上注册用户叫王腾讯。都注册完以后，有人给你打电话：“请问张搜狐先生吗？您是不是要种一颗牙？”你就知道是哪个地方把数据泄露了。

这位安全研究员埋记号有多讲究？他专门放了一个 .env 文件。大家都知道，程序员喜欢把密钥、密码、各种 API Token 放在这里面。要注意，所有文件名和目录名以点开头的，在你列目录的时候是不显示的。这些一般会保留在本地，不上传到云端。

在这里面，他还写了一个假的 API 密钥，名字起得特别好，叫“这玩意绝对不能外泄”，写的是英文。他还专门放了一个文件，起名叫“永远别读我”，然后明确指示 AI：不许打开这个文件，不许拿去训练，不许改我任何东西。

叮嘱完以后，他就跟 Grok Build 打了个招呼：“你好啊。”然后 Grok Build 就把整个目录打成了一个压缩包，连“永远别读我”这个文件，包括前面那个绝对不能上传的密钥，统统上传走了。而且上传的地方是 xAI 自己在谷歌云上的一个空间，直接传上去了。

5.1G 对 192KB：上传量达到实际所需的 28000 倍

值得注意的是，它不只是传了干活需要的那几个文件。这位研究员做了一个测算：他的仓库总共是 11.2G，Grok Build 在被他掐断之前，一共传走了 5.1G，而这次任务真正需要的内容只有 192KB。

什么概念？它上传的数据量是干活实际所需信息量的 28000 倍。这已经不是顺手多拿一点的问题了，是真的把你整个家底抄干净的感觉。

更狠的是，这个压缩包里还带有完整的版本历史。大家注意，我们写程序的时候一般会有一个叫 .git 的文件夹，每一次提交的历史实际上都存放在里面。比如说，你有一个版本是带密码的，下一个版本你说：“这个版本不带密码了，我给它覆盖上去。”但是那个带密码的版本实际上还留在里面，就是怕你万一改错了。

现在马斯克是把你整个版本历史一起全都上传了。

隐私模式也挡不住，真正的总闸在云端

关掉隐私模式行不行？有人说：“这个是研究员自己的问题，你不小心引导人家犯错误了。”这个研究员专门试了一下。他先把“用我的数据帮你改进模型”这个开关关掉，没用，照样传。

后来 Grok Build 里出了一个隐私模式，就是输入一个“/privacy”。按道理说，打了这个命令以后，它应该也不上传了，结果发现打完以后还是接着传。

那这玩意是怎么停下来的？研究员发现，这个开关是在云端的。云端有一个开关叫 disable_codebase_upload，就是“禁止代码仓库上传”。这个开关在本地没有，只能在云端控制。把它设成 true，它就不传了。

也就是说，决定传不传你数据的那个总闸，压根不在你手里，而在人家的云端。他想传就传；他哪天说不传了，就从云端把上传关掉；等下次他又说“我还想再看看”的时候，你也拦不住。

马斯克承诺删除，但承诺已经不够了

马斯克认错了，说：“我全删，一点不剩。”但是问题不在这里。原来大家是信你的人品，可你都已经干出这样的事情来了，已经把我整个代码库都拖走了，而且开关不在我本地，在你云端。现在你说“我把这些东西都给你删了”，你说了我就得信吗？

咱们是不是应该有第三方审计？咱们得看看你到底传了哪些东西，传了多少，传上去干什么了，然后你到底是不是删干净了。你不能自己拍脑袋说一句，大家就都得信。原来可能大家还愿意信，但是在现在这样的时间点，大家还愿意信吗？这个就得留一个问号了。

从 Clean Master 的数据采集说起

后面讲一下老范的本行。我原来是做安全的，特别是做 Clean Master 这些东西。我们原来也传数据。

为什么会传这些东西？因为我们得测试手机上哪个文件删掉以后还能接着跑，哪个文件删掉以后对软件的启动和运行没有影响。这个事我们是要去看的。否则我嘁哩喀喳地在你手机上删东西，Clean 实际上就是删东西，删完以后发现手机起不来了，这个责任我担不起。

所以原来我们也传，但是我们的传法是怎么样的？先在云端下策略，说这次需要什么数据，先做一个筛选。做完筛选以后，再设条件。比如说，你是在美国的，使用哪些手机型号、什么版本。筛选完以后，再去抽样。

比如筛完以后发现有 100 万人符合要求。这个数是不是大了点？不大，因为当时我们有 6 亿月活用户，所以 100 万不算多。然后再抽，抽 10 万人上来，或者抽 1 万人上来。抽完以后，我们就开始传。

而且传的时候还会做一件事，叫 IP 过滤。过滤哪些 IP？比如说，我们知道哪个 IP 地址是谷歌安全实验室的，因为你每一次上传的 App，他们都要先检测一下。碰到这个 IP，你就别传了。另外一些安全公司的实验室 IP，我们遇到以后也不传，大概就是这样。

以前我们都干，但这个活现在已经越来越没法干了。原因很简单，iOS 从来就不让干，因为它的沙箱做得非常严格，每一个应用只能访问自己的数据，其他的数据访问不了。

以前我们在 iOS 上也做清理，但是我们的做法不是删文件，而是写文件，就是拼命往你的 iPhone 里写文件，一直把 iPhone 彻底写满。在这个过程中，iOS 自己会把一些它认为没用的东西删掉。整个写满以后，我们再把偷偷写出来的文件删了。

在安卓系统里，以前是可以看别人的这些文件的，现在也是越来越严了。你现在再想把人家安卓手机上的所有东西都传上来，肯定比较费劲了。

但是这件事我们要讲清楚，不是说我们原来做的就怎么不好。原来做这个事也是为了大家好，为了让大家能够使用到更顺畅的手机，才去做这个动作。现在虽然在 App 里再干这个活不太容易了，但是比如说你买了小米手机、华为手机，他们还是会继续干，只是转到操作系统那一层去做了。

AI 编程工具运行在沙箱较弱的 PC 上

大家要注意，这里面有一个很大的差异。手机操作系统的安全性很高，对于沙箱控制得很严。而今天我们讲的这个东西叫 Grok Build，是在你的 PC 上跑的。不管你是在 Windows、macOS 还是 Linux 操作系统上，这些个人电脑操作系统的沙箱一般做得比较弱。

原因也很简单，因为 PC 要做的事情非常复杂。如果做了一套强沙箱系统，这台 PC 就没法干活了。

所以，我们现在使用的是一个非常强大的工具。这种工具肯定比我们以前的清理工具强大得多，它后面是有 AI 的。这个 AI 工具在一台沙箱控制很弱的 PC 上肆无忌惮地干活，你还要给它全部的权限、全部的信任，就像把电脑送修的过程是一样的。

在这个过程中，不管它做过任何承诺，反正最后它还是把你的数据传走了。它干了这么一件事情，这确实比较吓人。

像我们以前装 OpenClaw、装龙虾，为什么一定要单独拿一台电脑出来装？就是为了避免这件事情，因为我们知道这个系统的权限很大。

但是最近，不管是 Codex、Claude Code，还是有些人开始使用的 Grok Build，实在太好用了。前面也没出什么事，那咱们就这么使着呗。结果马上就出事给你看了。

第一类审计：它在你的电脑上做了什么

那怎么办？第一件该做的事情，就是本地数据的审计和防护。

在这一块，原来我们只能相信 AI 厂商的承诺，只能相信这帮老板，比如山姆·奥特曼、达里奥·阿莫迪、马斯克的承诺。我们相信他们的人品，相信他们不会胡干。

因为这个系统实在太复杂了，后面还有 AI 在干活，谁也没有办法完全预测和规范这个系统的行为。现在是不是应该有一个第三方，或者由操作系统这一方来做？微软、谷歌和苹果，你们是不是应该做一些本地的审计系统？

第一个，它到底干什么了？读了哪些文件，写了哪些文件，传了哪些文件，删了哪些文件，你是不是应该看一看？是不是应该做一些防护？

下一个问题，他们的承诺是不是都做到了？像我们原来做 App 的时候，每一个应用会有一个权限列表，就是我要哪些权限、不要哪些权限，是有列表的。我干什么、不干什么，也是有承诺的。这个东西承诺以后，是不是都做到了？还是要有第三方来监督。

你不能说我承诺了，然后偷偷打开云端开关，“咵”一下就传走了。而且我在打开的时候，还专门把一些安全实验室，把谷歌、苹果全都过滤掉，让他们永远发现不了。

像我们那个年代就可以干这个活了，现在后面有 AI，它干这玩意更是让你逮不着。所以需要第三方在每一台电脑上进行防护和安全审计。

第二类审计：AI 账单为什么会闹鬼

光有这个还不够。下一个是什么？付费和计费也得审计，要不然账单里面会闹鬼。

这两天还有一个故事。一个韩国小哥突然收到了 Anthropic 的催账通知，说：“我要扣你 1600 万美元，因为你使用了我的 API，我要扣你的钱。”

1600 万美元，上亿人民币了。那个小哥都疯了，说：“我没有账号，我是免费账号，我也没有使用你的 Token，一点都没用过。”一亿多人民币不是个小数字。

最后，Anthropic 自己负责 Claude Code 的人也出来承认了。他说：“这只是一个反滥用系统反应过度了，我们把这张账单删了就完了。”

但这个事情就这么完了吗？不行吧。因为现在这些 AI Agent，包括这些大的 AI 公司，收费是极其不透明的。这个事情到底应该走套餐，还是应该直接按 Token 计费，它经常说不清楚。

一个 Hermes.md 文件，就可能改变计费方式

以 Anthropic 为例，他们做过实验：如果你的代码里不包含一个叫 Hermes.md 的文件，它就给你走套餐；如果包含这个文件，它就不给你走套餐，要按 Token 单独计费，那就贵多了。

Hermes.md 是哪儿来的？就是你装爱马仕 Hermes Agent 以后，代码库里就会有这个文件。他们认为：“只要有这个文件，你一定是把我的 Claude 大模型、把我的订阅账号拿去养爱马仕了，那我就要按另外一套系统给你收费，不能让你继续按原来的套餐计费。”他们会干这样的事情。

还有，你这次对话到底用了多少 Token，多少输入、多少输出，哪些是推理的，其实我们都说不清楚。

答案被拒绝以后，到底收没收费

它还经常干一个特别恶心的事。你问了一个问题，它吭哧吭哧想了半天，推理了半天，然后开始吐答案。吐到最后的时候，“咵”一下，答案不见了。我相信使用 AI 的人都遇到过这种事情。

这个东西叫拒绝回答。它把答案算完以后说：“我觉得我不能教你做核弹，不能让你做一些可能造成伤害的事情。”

但是这个过程收不收费？理论上说，这个过程应该不收费，因为你没有得到结果。但是到底收没收，谁也说不清楚。

这就像我们去饭馆点菜，点完以后说：“这两个菜上得太慢了，我不要了。”结果最后结账的时候，这两个菜依然躺在账单上。你如果不仔细看，就漏过去了。所以这个事情也很麻烦。

还有，我使用你的 API 以后，缓存命中率是多少？因为缓存命中的价格和缓存没命中的价格差得很远，这些东西都很难计算，太不透明了。

企业已经开始找第三方核查 AI 账单

现在有一个美国的创业公司叫 Vaudit，已经开始帮企业审核这些 AI 账单，然后去找 Anthropic、找这些公司吵架。他们已经审了几千万的 AI 账单，追回了上百万这些公司多收的钱。

原来就是“我多收了就收了，你们差不多就完了”。像刚才咱们讲的韩国小哥，因为他的支付卡上确实没有 1600 万美元，所以拒付了。如果万一它就多收那么一点点，是不是很多人就直接付了？

包括我自己也是这样。我每个月收到各种各样的 AI 计费短信、邮件，都提心吊胆的。有些是我买的套餐，这个我能知道到底买了哪些东西、怎么用的；还有一些是直接买 Token，比如 xAI、谷歌的 Gemini，我是直接购买它们的 Token。

每个月收到账单的时候，我也很害怕，而且它没有给你提供任何可以对账的地方。

第三类审计：AI 做出的决定由谁负责

第三个事情，现在 AI 的行为和结果也是需要审计的，因为它已经替你做决定了，而且这些决定是跟钱有关的。那么这个事情到底由谁负责？现在其实是说不清楚的。

原来在聊天的时候，他们都很鸡贼，在每一个聊天框最底下加一行很小、很淡的字，上面写着：“我提供的内容不能保证准确，你要自己核实，我不负责任。”

但是现在已经不是聊天了。现在我们用的是 AI Agent，它开始干很多真金白银的工作了。它真的改了你的代码，真的给你出了报表。那么在这种情况下，它对自己的行为负不负责？

死循环烧掉的 Token，该由谁买单

咱们先不说它替你做了一个错误决策，让你亏了多少钱。咱们说一个最简单的：它死循环了，自己吭哧吭哧转不出来了，在这个过程中烧掉的 Token，责任肯定在它。它自己绕不过来，在这里死循环，然后找你收钱，这个钱你该不该付？

这个行为是不是应该有人审计一下？这个循环不必要地消耗了我很多 Token，给我造成了浪费，这些都是真金白银。应该由谁说了算？

原来是 AI 公司说了算，完全都是听它的。其他人没有任何权利对它进行审计，连复核都做不到。它就是一张账单拍在你脸上，你只管付钱就完了。

进入金融领域以后，“不负责任”说不过去

其他的，比如说它真的替你做一些决策。大家要知道，Anthropic 已经开始做金融领域的工作了，那都是跟真金白银有关的。它是会替你做决策的，那亏了钱算谁的？

你不能说：“我都已经替金融人干活了，把金融人的饭碗抢了，他们都失业了。但是我出了结果，我不负责。”这不是开玩笑吗？人家是要签字的，人家是要对自己的结果负责任的。你干了半天却不负责，这肯定也不行，有点过分了。

我们真正需要的是三套独立审计

所以我们需要三个审计。

第一个，这些 AI Agent 在我们的电脑上干什么，我们需要审计。

第二个，这些 AI 公司找我们收钱，我们需要审计。

第三个，这些 AI 公司具体的行为，以及帮我们做的各种决策，也是需要审计的。

你不能说：“只要你收了钱，我替你做了决策，你把原来签字的人给开了，但是现在我不负责任。”这些事情统统都不行。

一个健康的行业，不能建立在老板愿不愿意认错上

最后的结论，就是不能再只信任 AI 公司的承诺和老板的人品了。

我们把这一期的故事从头到尾捋一下。一个安全研究员用一个假环境、几个做了记号的探针，抓到了 Grok Build 在你说了一声“Hello”之后，就把你整个项目打包，包括密码、密钥，一把全都上传了的事情。

而且整个链条下来，从头到尾，我们能依靠的只有“相信”两个字。因为所有的开关都在云端，你在本地控制不了。最后马斯克说：“我给你删了，你信任我就行了。”你也没有办法证实这件事情。

再往后，AI 找你收钱，你也不知道它为什么收这么多，收钱的过程极其不透明。它做了大量的工作，也不对自己的工作结果负责任。这个才是现在最大的问题。

所以老范今天的判断就是一句话：对 AI 行为的审计和防护，必须被提到议事日程上了。
我们需要独立的第三方，去审计它动了什么，审计它收了多少钱，审计它做的决定对不对。这件事不能再托付给 AI 公司的自我承诺，更不能托付给某一个 AI 老板认不认错、人品好不好。

马斯克这回认错了，这是个好事。但是一个健康的行业，不该建立在老板刚好这次愿意认错上面。它应该建立在就算他不认，我们也查得出来这样的保证上。

这就是咱们今天的故事。感谢大家收听，请帮忙点赞、点小铃铛、参加 Discord 讨论群。也欢迎有兴趣、有能力的朋友加入我们的付费频道。再见。

背景图片

小米否认的是规模裁员

小米突然出来辟谣，说自己没有进行规模性裁员。这到底是一个什么故事？

事情最早要从2026年3月说起。那时候网上已经陆续出现小米调整人员的消息，涉及手机、汽车、互联网和国际业务，岗位则覆盖研发、测试、产品和市场。4月继续有人说小米在裁员，到了6月，前面谈过的员工开始集中离开。不是今天谈、今天就走，而是4月谈，6月底统一离职，补偿大多是N+1，做法还算中规中矩。

这些都只是零星消息，小米原本没有必要专门回应。真正把事情推到台前的，是7月10日下午财新的一篇报道，标题直接写着“小米分批持续裁员，涉及手机、汽车等多个业务部门”。报道出来以后，小米回应说，公司存在正常的业务团队调整，但没有所谓的规模裁员。

所以小米否认的不是“裁员”，而是“规模”两个字。它承认组织在调整，只是否认外界对调整规模的定性。财新采访到的一位北京员工也说，4月谈、6月底离职，N+1确实有。更值得注意的是，他们部门收到的不是“裁掉20%的人”，而是把人力成本总包压缩20%。

人力成本总包不只是员工拿到手的工资，还包括福利、社保、工位和管理成本。假设一个团队原来一年的人力成本是一千万元，6月以后只准剩八百万元，管理者就要自己决定怎么砍。裁掉一个成本很高的管理者，可能可以留下几个年轻岗位；如果想保住中层，就要裁掉更多基层员工。按照被采访员工的观察，小米更倾向于调整实习生和应届生，从而保住中层和中高层。这也可以被理解成AI时代初级岗位减少的一部分。

630与人力成本总包

为什么消息都集中在6月底爆出来？因为大家常说的“630”，就是6月30日。同期美团也出现了人员调整，有些部门传得很吓人，最后美团回应说，实际离职是两千多人；相对于十几万员工，这并不是外界想象的全公司大裁员。

630之所以是一个坎，主要不是因为N+1。N+1按照入职时间和工作年限计算，具体哪一天离职没有那么大影响。真正有影响的是半年结束、财务关账、绩效和年终奖。企业如果在上半年结束前把人员处理掉，后面可能就不再涉及下半年的绩效和年终奖计算。另一个常见节点是春节前，因为很多公司在春节前发年终奖。企业什么时候处理人，背后往往不只是岗位问题，也是一套奖金和预算的计算。

同质化竞争逼出了创始人传播

但如果只讨论小米到底裁了多少人，反而会错过更重要的问题。小米今天面对的困境，可以归纳成一条链：底层差异不够，就必须卷细节、卷供应链、卷故事；创始人传播把故事效率推到极限，却又让公司失去风险隔离；一旦传播从资产变成负债，所有业务都会一起受到反噬。

中国很多互联网和硬件厂商当然不是没有创新，但大家使用的底层供应链高度相似。芯片可能来自高通，屏幕可能来自三星，摄像头和CMOS可能来自索尼，操作系统又大多建立在安卓之上。厂商真正擅长的，是把成熟零部件拼到一起，把供应链、成本、工艺和上市效率做到极致。

问题是，当所有人都可以买到相似的零部件，同质化竞争就出现了。企业要么打价格战，要么讲出一个消费者愿意相信的故事。雷军找到的办法，是创始人传播、CEO传播。别人找公关公司和网红，他自己上发布会、做直播、拍视频。这个方法的传播效率极高，手机、汽车、家电和其他业务都可以共享雷军一个人的信用。

可创始人传播也有两个很大的风险。第一，创始人的时间非常贵。雷军管理的是一家几万人的公司，他并不是每天没事干，只等着出来讲故事。以前我给他打工时，他经常凌晨两三点给团队发邮件，确实是一个非常劳模的人。让这样的人亲自承担传播，本身就是高成本选择。

第二个风险更要命：传播一旦翻车，创始人没有办法被替换。普通公司出了舆情问题，可以让公关负责人继续顶上，也可以换代言人、换市场负责人。可小米前面为了极致效率，让雷军成为品牌最重要的传播入口；后面汽车出了事故、舆论反转，总不能把雷军开掉，也不能让公司跟他切割。

汽车事故之后，雷军有一段时间很少公开讲话。作为一个人，他当然会受到压力，被成千上万的人指责并没有想象中那么容易承受。可舆论场不会替他保留空白。雷军不说话，其他做流量的人就会把这个空白填满，负面叙事反而越积越多。最后，小米遇到的就不再是某一个产品的问题，而是创始人个人信用、公司品牌和所有产品被捆在一起的问题。

我自己买了一辆小米SU7，到目前为止没有出什么毛病，虽然我开得不算多，也已经跑了几万公里。小米汽车有没有别人完全做不了的底层创新？不要抱太大期待。但小米一贯很擅长堆料：好的英伟达芯片、钢材、结构、设计人才和工艺管理，能用的都会尽量用上。小米汽车工厂也请了原来负责特斯拉上海工厂的人管理，能够通过成熟工程体系解决的问题，它基本都会认真解决。

所以不能因为小米汽车出现过事故，就说只有小米的车会出问题。其他品牌和特斯拉同样会遇到事故，只是处理策略不同。有的品牌删除讨论，有的品牌慢慢处理，小米原本想采用更公开的方式，但中间的舆情和沟通没有处理好。产品问题最终又回到了雷军本人，进一步放大了创始人传播的风险。

两年扩张之后开始踩刹车

那么，小米究竟裁了多少人？现在没有准确答案，因为小米一季度财报没有披露集团员工总数，只披露研发人员仍在增加。以小米的传播能力，为什么不写总人数，外界自然会产生猜测。

但小米过去两年确实在快速扩张。2023年有33627名员工，2024年增加到43688人，2025年底又增加到56531人。短短两年增加了两万多人。如今经济和市场环境没有原来那么好，品牌承压、产品变难卖，组织开始踩刹车并不奇怪。它不会一下子裁回三万多人，但可以分期、分批、错峰调整。小米不是唯一一家这样做的公司，阿里、美团和携程等企业同样传出过类似消息。

手机基本盘正在失速

小米的生意到底承受了多大压力？2026年一季度已经给出答案。集团收入991.42亿元，同比下降约10%；经营利润53.13亿元，同比下降59.5%。手机出货量3380万台，下降19.2%；手机收入443亿元，下降12.5%。手机平均售价涨到1310元，提高8.2%，但手机毛利率却降到10.1%，下滑2.3个百分点。

这组数字说明，小米手机虽然涨价，却没有把涨价真正变成利润。原材料变贵、销量下降，最终一起挤压了毛利。外界经常说小米已经去做汽车、芯片和AI了，但小米首先仍是一家依赖手机基本盘的公司。一季度991亿元收入中，有443亿元来自手机。手机一旦垮掉，其他业务很难迅速填上这么大的窟窿。

雷军为什么要不断给汽车开发布会、做直播？当然是为了卖车，但也不只是卖车。汽车如果把品牌带起来，手机同样会受益。问题是现在小米手机恰恰是中国主要手机品牌中跌得最明显的一家。中国手机市场整体下滑约4.3%，小米却下滑21.7%。还在增长的主要是苹果和华为。

苹果有自己的系统和独特生态，而且在消费分化的环境中，高端产品仍有稳定需求。华为有鸿蒙和强烈的品牌叙事，也形成了自己的差异。剩下的OPPO、vivo、小米和荣耀，大量产品都建立在安卓和相似供应链上。屏幕不是自己造，芯片也不是自己造，最后只能比品牌、价格和故事。谁的品牌受损最严重，谁就最容易在同质化竞争里跌得最惨。

小米手机下滑可以概括成三层原因：整个市场都在跌；小米品牌受到的冲击更大；存储等零部件涨价，迫使手机涨价，却又没有带来更高利润。销量下降、价格上升、利润率下滑同时出现，说明手机基本盘确实在承压。

五十五万辆目标变成库存压力

再看汽车。小米最近几个月公布销量时，不再给出有零有整的数字，而只说“超过三万台”。一旦数字变成整数，外界就很难判断实际差多少。真正的数据仍要等财报确认。

汽车的库存逻辑和手机完全不同。早期我在硅谷采访过一位特斯拉前HR，问他为什么汽车生产需要漫长的产能爬坡，为什么不一次造很多车等消费者来买。他解释说，汽车的厂房、人员、零部件、生产线和库存体积巨大、价值很高。准备一千辆车的产线和零件是一回事，按照一万辆准备又是完全不同的资金规模。

这些投入一旦固定下来，就会变成库存和沉没成本。整车和零部件不但需要大量场地存放，还会不断贬值。尤其电动车，技术更新快，车辆长期停放还会带来电池和安全问题。因此，汽车库存的成本远高于手机库存。

这正是小米55万辆目标的压力所在。雷军年初提出全年卖55万辆，因此备件、工人、厂房、生产线和销售体系都要按照这个目标提前准备。可上半年只卖了18万辆，要完成全年目标，下半年平均每月需要卖出约61000辆。目前公开口径只是每月超过三万辆，大约只有目标所需速度的一半。

吹一个传播口号不需要成本，但产能目标一旦说出口，零部件要真买，厂房要真建，工人和销售体系也要真准备。小米已经有上百亿元库存压在汽车业务及相关体系里，背后还连着厂房、场地和人员成本。销量没有完全崩掉，不等于现金效率没有问题。

现金充足不等于资金效率没有问题

这是不是意味着小米马上要不行了？也不是。小米股价从高点六十多港元跌到二十多港元，确实非常惨，但它在股价高位时融资和发债，给自己储备了现金。小米发布SU7时手里大约有一千亿元现金，发布YU7时增加到一千七百亿元，如今现金资源大约两千二百亿元。只要现金还在，它短期内就不会因为这轮压力倒下。

而且小米还是大量创业公司和上市公司的股东，在新能源汽车、机器人和其他新兴产业投了很多项目。如果真被逼到要卖投资、回收现金，影响的不会只有小米一家。因此，讨论小米的问题，可以批评它的商业模式和传播方式，但不能简单理解成它马上会死。

新故事与被放弃的社区能力

小米接下来怎么办？最现实的办法仍然是继续推出新产品、继续讲新故事，等待公众逐渐淡忘过去的负面印象。玄戒O1已经发布，后面还有玄戒O3；小米把罗福莉请回来做MiMo大模型，也继续布局AI和机器人。

这里还要把资本市场的信号放进来。小米股价最高时超过六十港元，后来只剩二十多港元。好在它在股价高位时及时发债、融资，拿回了几百亿港元，现金储备才有今天的规模。市场价格下跌，不等于公司明天就会断粮，但说明投资者已经开始重新计算：手机基本盘能不能守住，汽车的库存和产能投入什么时候能够转化成利润，芯片、AI和机器人还要继续烧多少钱。

小米现在很难选择停掉其中任何一条线。手机仍然贡献接近一半收入，是整个集团的供血来源；汽车承载了品牌向上的故事，又已经投入厂房、人员和供应链；芯片决定小米能不能摆脱底层同质化；AI和机器人则关系到下一轮技术竞争。旧业务在下滑，新业务还没有全面产生利润，这才是组织调整真正发生的背景。不是公司账上没有钱，而是钱必须从旧岗位和旧体系撤出来，继续压到这些不能停的新战线上。

MiMo模型本身并不算差，在国内模型里已经达到可用水平，只是使用者不多。原因未必是模型能力，而是小米这些年丢掉了一项曾经非常重要的本领：社区运营。早期小米有一本著名的书叫《参与感》。我以前在猎豹工作，因为我们属于雷系公司，每个人都要读这本书，还要写读后感。

小米最早也不是单纯靠卖手机起家，而是靠MIUI和刷机社区聚集第一批用户。社区传播的成本不一定很高，但速度慢，不能做到今天发一道命令、明天马上形成统一传播。后来小米越来越依赖CEO传播和创始人传播，社区能力逐渐被放到一边。

当小米现在想把MiMo推广到开发者社区时，这个缺口就暴露出来了。模型不是发布完就结束，还需要开发者、文档、反馈和长期运营。机器人同样如此。不断发布芯片、AI和机器人，可以慢慢修复口碑，但过去积累的问题不会因为再开一场发布会就立刻消失。

公众记忆当然会变化。一个人可能记仇很久，但放到足够大的人群里，很多热点最后都会像金鱼记忆一样被下一件事覆盖。小米不断推出新东西，也是在等待负面叙事慢慢退潮。可等待遗忘不是免费的：在口碑恢复以前，手机仍要承受品牌折价，汽车仍要承担库存和产能成本，新业务仍要支付高薪人才、芯片、算力和研发投入。

出海是另一条可能的路。小米手机过去在海外做得不错，目前仍然位列全球前三，前面是三星和苹果。汽车也在准备走向海外，但汽车出海远比手机慢。每进入一个国家，都要重新做安全认证、渠道建设、售后体系和品牌宣传。国内舆论对小米很熟悉，海外消费者未必知道这些争议，这给小米提供了重新讲故事的空间；但从准备到真正形成销量，需要时间，不可能马上填补国内市场的压力。

效率越高，品牌反噬越快

最后的结论是，中国大量消费电子和智能硬件企业，都生活在底层创新不足、供应链高度同质化的竞争体系里。它们可以靠堆料、供应链管理、效率、工艺和品质，把相似零件做得更便宜、更快、更稳定；然后再靠品牌故事，把工程能力变成消费者愿意付钱的理由。

小米把这条路做到了极致，也把风险推到了极致。品牌故事有正向价值时，手机、家电、汽车和生态都会受益；品牌变成负面资产时，所有产品也会一起下滑。创始人传播带来了最高效率，却让公司没有办法在危机到来时切割风险。

小米短期内不会倒下。它有现金、有投资、有供应链能力，手机在海外仍有很大规模，汽车也在准备出海。但汽车进入每个国家都要完成安全认证、渠道和品牌铺垫，不可能一夜之间解决国内的问题。小米只能一边调整人员、压缩旧成本，一边继续给手机、汽车、芯片、AI和机器人投入资金。

所以，小米今天的裁员可以说是成也萧何，败也萧何。前面靠雷军的CEO传播，把所有业务绑在同一个故事上；后面就必须一起承担这套传播带来的负面结果。小米裁掉的是人，真正需要重新证明的，却是所有业务能不能永远共用一个创始人故事。

背景图片