安全与开放能否兼得？62 个大模型的帕累托前沿研究

模安局·共研计划

本文研究论文经「模安局·共研计划」推荐，由《模安局》独立完成解读。

随着前沿大模型能力不断提升，模型究竟应该更加开放，还是保持一定程度的封闭，正在成为国际 AI 治理中的重要议题。

支持开放的一方认为，公开模型权重、训练方法和相关数据，有助于推动技术创新、促进知识共享，也能够让独立研究者更充分地审计模型的能力与风险。

但另一方担心，当模型逐渐具备较强的网络攻击、生物技术等领域能力时，完全开放权重可能降低恶意使用的门槛。更重要的是，一旦模型权重被公开，原本内置的安全护栏就可能通过微调被移除，开发者也很难继续控制模型的传播和使用。

这场争论长期存在，但双方往往缺少统一的比较基础。一个模型究竟有多开放？又应该如何衡量它的安全性？开放程度提高是否一定意味着安全风险增加？

2026 年 9 月 21 日，安远 AI（Concordia AI）发布了《安全–开放帕累托前沿技术报告》，尝试用多目标优化的方法回答这些问题。研究将模型的开放程度与安全评分放到同一个坐标系中，在 62 个具备完整测评数据的前沿模型中，识别当前安全与开放的帕累托前沿。

https://airiskmonitor.net/doc/zh/blog/safety-openness-pareto/#interactions

研究发现，在现有评价体系下，安全评分最高的模型主要集中在低开放度区域，而开放程度较高的模型往往具有相对较低的综合安全分。兼具高安全性与高开放性的模型仍然比较稀缺。

不过，这项研究最值得关注的，或许不只是它画出的那条曲线，而是曲线背后更深层的问题：安全与开放是否真的能够放在同一个坐标系中衡量？这种权衡关系究竟能为国际 AI 治理提供什么帮助？

从「性能–成本」到「安全–开放」

帕累托前沿能否用于 AI 安全治理？

帕累托前沿（Pareto Frontier）是多目标优化中的经典概念。在大模型领域，我们已经习惯用它来分析模型性能与推理成本之间的关系。

假设两个模型完成相同任务，模型 A 的能力更强、推理成本也更低，那么模型 B 就被 A 支配。

对于追求性能和成本优化的用户而言，B 通常不再具有竞争优势。但如果 A 性能更强、成本也更高，而 B 性能稍弱但更加便宜，那么二者就代表了不同的取舍方案。

所有无法被其他候选方案同时在两个目标上超越的模型，共同构成帕累托前沿。对于大模型选型而言，这种方法很有价值，因为它可以缩小候选范围，帮助开发者在预算与能力要求之间寻找合适的解决方案。

安远 AI 将这一思路引入了模型安全治理。

研究建立了一个二维坐标系，横轴为开放指数（Openness Index），越往右表示模型越开放；纵轴为安全分（Safety Score），越往上代表模型越安全。理想情况下，一个模型应该尽可能接近右上角，也就是同时拥有较高的开放程度与安全水平。

如果一个模型的开放指数和安全分都不低于另一个模型，并且至少有一项更高，那么前者就支配后者。所有不被其他模型支配的点，构成当前样本的安全–开放帕累托前沿。

研究希望借此观察：当前是否存在兼具高安全性与高开放性的模型？行业的最优权衡边界处于什么位置？随着模型能力发展，这条边界是否能够向右上方推进？

但这里存在一个与性能–成本前沿不同的地方。

对于模型选型，性能越高、成本越低通常是相对明确的优化目标。然而在国际 AI 治理中，安全与开放并不完全是一组可以自由交换的目标。

开放权重可能带来科研创新、独立审计和技术普惠，也可能增加模型恶意改造与能力扩散的风险。对于已经具备某些危险能力的模型，即使开放能够带来额外收益，也不意味着可以接受任意程度的安全风险。

因此，安全–开放前沿的意义，需要放到模型发布与国际 AI 治理的背景下理解，而不能简单套用企业模型选型的逻辑。

62 个前沿模型，呈现怎样的安全与开放格局？

报告的数据主要来自安远 AI 的前沿 AI 风险监测平台，以及 Artificial Analysis 的开放指数。

其中，模型信息披露调查覆盖了 128 个模型，但由于并非所有模型都具备完整的安全测评数据，最终只有 62 个模型能够同时满足安全评分和开放指数的计算条件，被纳入帕累托前沿分析。

从总体分布来看，闭源模型主要集中在坐标系的左侧，而开放权重模型更多分布在中部和右侧。

在报告提供的 2026 年 9 月 21 日数据快照中，Claude Opus 4.8 和 Claude Sonnet 4.5 位于前沿的高安全、低开放一端，安全分分别达到 85.8 和 85.4。沿着前沿向右移动，则依次出现 Qwen 3.5 397B Reasoning、GLM 5 和 GLM 4.5 等开放权重模型。

其中，GLM 5 的开放指数为 43.5，安全分为 55.7；GLM 4.5 的开放指数进一步提高到 52.2，但安全分下降至 41.6。

这意味着，在当前评分体系下，前沿呈现出从左上方向右下方延伸的形态：安全评分较高的模型开放程度较低，而开放程度较高的模型安全评分相对较低。

报告还引入了最低模型能力门槛，避免低能力模型因为难以完成危险任务或具备不同的安全防护需求，而影响整体比较。

当能力门槛设置为 45 分时，参与比较的模型从 62 个减少至 36 个。原本位于高开放度端点的 GLM 4.5 被筛选掉，GLM 5 成为新的右侧前沿端点，安全分从 41.6 提升至 55.7，但开放指数也由 52.2 降至 43.5。

作者认为，这说明在较高能力门槛下，部分新模型已经表现出更好的安全性。如果未来能够在保持较高安全水平的同时进一步提高开放程度，就有机会推动整个前沿向右上方扩展。

不过，这里需要注意两个问题。

首先，帕累托前沿从左上方向右下方延伸，本身就具有数学上的必然性。对于一组互不支配的模型，如果沿着横轴提高开放程度，安全分也同步提高，那么原先的模型就会被新模型支配，不再属于前沿。因此，前沿呈下降趋势，并不能独立证明整个模型群体存在“越开放越不安全”的统计规律。

其次，筛选能力门槛或者发布时间，都会改变参与比较的模型集合。前沿端点发生变化，并不一定意味着模型本身取得了技术进步，也可能只是原有候选模型被排除后的结果。

所以，这张图更准确的含义是：在特定模型样本、测评基准与评分方式下，哪些模型构成了当前安全和开放两个指标的非支配解集合。 它描述的是相对位置，而不是开放程度与安全风险之间的因果规律。

开放指数如何计算？权重开放不等于全部的开放

这项研究的一个重要贡献，是没有简单地将开放等同于开放模型权重，而是尝试建立更加完整的开放程度评价体系。

报告采用 Artificial Analysis 的 Openness Index 作为基础。该指标从模型权重可用性、训练方法透明度、后训练数据透明度和预训练数据透明度四个方面，衡量模型的开放程度，原始分满分为 18 分。

在此基础上，安远 AI 又增加了一个满分 5 分的模型信息披露维度，包含能力评估、安全评估、模型规约、风险管理政策和默认系统提示词五个条目。

最终的开放指数计算公式为：

开放指数 =（AA 开放原始分 + 模型披露分）÷ 23 × 100

这一设计背后的考虑是，模型的开放性不仅关系到外界能否获取模型权重，也关系到外界能否充分理解、审计和监督模型。

例如，两家厂商都只通过 API 提供服务，但其中一家公开了完整的安全评估报告、模型行为规约和风险管理政策，另一家几乎没有公开任何相关信息。从权重开放程度来看，两者可能非常接近，但在安全透明度和外部可监督性上，显然存在较大差异。

为了评价这种差异，研究对 128 个模型进行了信息披露调查，得到以下结果：

五项指标的平均得分只有 2.01 分，尚不足满分的一半。

这组数据揭示了一个值得关注的现象：前沿模型的能力透明度已经相对成熟，但安全透明度仍明显滞后。

如今，一个模型发布时公布数学、编程、推理等能力 Benchmark，已经是非常普遍的做法。但在 128 个被调查模型中，公开安全评估结果的只有 49 个，更不用说公开完整的模型规约和默认系统提示词。

对于国际 AI 治理而言，这种差距具有实际意义。外部研究者和政策机构不仅需要了解一个模型有多强，还需要知道它经过了哪些安全测试、采用什么风险管理机制，以及这些安全结论能否被第三方验证。

不过，报告的披露指标采用的是二元评价：披露记 1 分，不披露记 0 分，并不进一步评价披露内容的质量和深度。因此，一份完整的安全技术报告与一份满足最低条件的简短声明，在对应条目上可能获得相同分数。

还有一点值得进一步思考：公开模型权重和公开安全评估报告，虽然都可以称为开放，但它们在 AI 治理中的作用并不相同。

公开安全评估通常有利于外部监督，公开训练方法可能促进技术复现，而公开模型权重则可能同时降低模型的使用门槛和恶意改造门槛。不同形式的开放所带来的社会收益与潜在风险，并不能简单视为等价。

因此，如果研究希望进一步解释开放造成的风险变化，将治理透明度与模型能力可获取性分别评价，可能比合并成一个综合开放指数更有解释力。

安全分如何计算？最有争议的部分是篡改安全

相比开放指数，安全分的设计涉及更复杂的风险定义。

安远 AI 的风险监测平台主要关注前沿模型可能引发的严重风险，涉及网络攻击、生物风险、化学风险、有害操纵和失控风险等领域。

这套风险分类并不等同于企业内容安全场景中的全部风险，而是更多关注前沿模型的危险能力、潜在恶意使用，以及模型自主行为可能带来的安全问题。

对于网络攻击、生物风险等滥用风险领域，报告将安全分分为三个部分：

基础安全分衡量模型在普通有害请求下的安全表现；越狱安全分衡量模型在红队攻击下抵抗安全绕过的能力；篡改安全分则用于反映模型参数被第三方恶意修改的风险。

三者分别占据 40%、40% 和 20% 的权重：

安全分 = 0.4 × 基础安全分 + 0.4 × 越狱安全分 + 0.2 × 篡改安全分

失控风险领域则采用不同的计算方式，不直接套用上述三项公式。

其中，基础安全与越狱安全主要来自 Benchmark 测试，而篡改安全采用了一项简化规则：开放权重模型直接获得 0 分，闭源模型直接获得 100 分。

从国际 AI 治理的角度看，作者将篡改风险纳入安全评价，是可以理解的。

对于通过 API 提供服务的闭源模型，开发者仍然能够在一定程度上控制模型的访问、更新与使用。但如果模型权重被完全公开，第三方就可以独立部署和微调模型，甚至尝试移除原有的安全对齐机制。一旦模型被复制和传播，原开发者通常很难继续控制这些副本的行为。

这种风险并不是指原始模型的安全防护能力一定更弱，而是指模型发布后，危险能力可能脱离原开发者的控制并进一步扩散。

因此，如果把研究目标理解为模型发布后的滥用与扩散风险，那么权重开放确实是一个重要的风险因素。

但问题在于，直接给开放权重模型赋予 0 分、给闭源模型赋予 100 分，并不是对实际篡改难度的测量，而是一项预设的风险假设。

例如，假设某个模型原本通过闭源 API 提供服务，后来厂商决定公开权重。在模型参数、基础安全表现和越狱安全表现完全不变的情况下，按照上述评分规则，它在对应滥用风险领域的综合安全分仍然会下降 20 分。

这种变化并非来自新的安全实验，而是由权重开放状态直接决定的。

这也意味着，报告中的开放指数与安全分并不是完全独立的两个指标。权重开放状态既会影响横轴的开放程度，也会通过篡改安全分影响纵轴的综合安全评分。

这种设计可以用于表达一种治理立场，即权重开放会增加潜在篡改与扩散风险。但如果进一步将图中观察到的负向关系解释为安全与开放之间的实证规律，就需要格外谨慎。

更严谨的研究可以增加一组消融实验，去除篡改安全项，仅使用基础安全和越狱安全结果重新计算帕累托前沿，再比较前沿模型及整体分布是否发生显著变化。

如果在排除预设的开放权重惩罚后，较高开放程度的模型仍然普遍具有较低的行为安全分，那么安全与开放之间的经验性权衡将得到更有力的支持。

反过来，如果这一关系明显减弱，就说明原有权衡至少有一部分来自指标设计，而不完全来自模型实际行为差异。

真正需要衡量的，是开放后的增量风险

如果将这篇报告放到国际 AI 治理的背景下，我认为还有一个更加根本的问题：安全评分并不等于模型发布后的实际风险。

一个模型是否可能被恶意使用，至少取决于三个方面：它是否具备完成危险任务的能力，外部使用者获得并利用这些能力有多困难，以及现有安全措施能在多大程度上抑制风险。

例如，一个不具备复杂网络攻击能力的模型，即使完全开放权重，也未必带来显著的前沿网络攻击风险。相反，一个已经具备高水平自主攻击能力的模型，即使仅通过 API 发布，如果访问控制和安全防护薄弱，也可能产生不可忽视的风险。

开放程度只是影响风险的一部分因素，并不等于风险本身。

事实上，安远 AI 在此前发布的《前沿 AI 风险监测报告（2026Q2）》中，已经建立了将危险能力和安全防护能力共同纳入的风险指数体系。其基本思路是：模型的危险能力越强、安全防护越弱，最终潜在风险越高。风险指数还尝试引入能力黄线和风险黄线，用于识别值得重点关注的风险阈值。

相比之下，此次安全–开放帕累托前沿采用的是开放指数与安全分，没有直接使用风险指数。

这种选择可以帮助研究者观察安全防护与开放程度之间的关系，但并不能直接回答模型开放后究竟增加了多少滥用风险。

这里还涉及安全评价与性能评价的一个重要差异。

对于模型性能，多个 Benchmark 的加权平均通常能够提供一定的总体能力参考。但对于严重安全风险，某个关键领域的短板往往无法通过其他领域的高分进行补偿。

假设一个模型在网络攻击、生物风险、化学风险等多个领域中，大部分安全指标都达到较高水平，但在某项具有严重现实后果的能力上缺乏有效防护，那么即使综合安全分不低，也可能需要对其发布方式采取额外限制。

因此，面向国际 AI 治理的安全评估，不能只关注综合安全分，更需要建立分领域的能力阈值、风险底线和发布条件。

对于已经接近危险能力门槛的模型，真正需要回答的不是平均安全分能达到多少，而是某一类严重风险能否被有效控制，以及开放权重会在多大程度上改变这种控制能力。

这也是为什么我认为，安全–开放的权衡研究有必要进一步转向不同发布策略所产生的增量风险。

假设同一个模型可以采用三种发布方式：仅提供受控 API、向有限主体提供权重、完全公开权重与相关技术材料。那么研究者可以在尽可能控制模型能力差异的情况下，比较三种发布方式的风险暴露、恶意改造难度、传播范围和防护措施有效性。

这种研究可以帮助我们区分哪些风险来自模型原有的危险能力，哪些风险来自发布方式的变化。

当然，实际开展这类实验并不容易，尤其是模型扩散后的长期社会影响很难通过一次安全测试完整测量。但至少研究问题会更加明确。

安全–开放帕累托前沿，究竟有什么治理价值？

回到最初的问题：将安全与开放绘制成帕累托前沿，最终有什么作用？

对于模型性能与推理成本而言，帕累托前沿的价值非常直接。开发者可以根据能力要求和预算，筛选具有竞争力的模型。

但对于安全与开放而言，其决策价值没有那么直观。

一方面，开放程度本身并不一定是需要最大化的目标。对于一些模型，开放可以促进科研、竞争和外部监督；对于另一些已经具有显著危险能力的模型，限制权重获取可能是一项合理的安全措施。

另一方面，安全也不总是一项可以与开放性自由交换的指标。尤其是在涉及严重风险的场景下，某些安全底线可能属于必须满足的约束，而不是可以用更高的开放程度补偿的成本。

因此，安全–开放帕累托前沿更适合作为一种描述性治理研究工具，而不是直接用于模型发布决策的优化规则。

它的价值在于，让研究者能够比较不同模型的开放策略与安全表现，观察是否出现新的高开放、高安全模型，并进一步提出值得验证的研究问题。

但它还不能直接告诉政策制定者，一个模型达到怎样的安全分就可以开放权重，或者开放程度提高多少是可以接受的。

要真正支持这类决策，可能需要引入两个新的维度。

第一个是开放带来的收益，包括科研创新、技术普惠、第三方审计、产业竞争和独立部署能力。第二个是开放造成的增量风险，包括危险能力扩散、恶意改造成本降低、风险使用规模增加，以及原开发者失去控制后的潜在后果。

两者都需要结合模型能力、应用环境和开放方式进行具体分析。

换句话说，国际 AI 治理真正需要研究的，可能不是安全分与开放指数之间的权衡，而是不同开放策略所带来的社会收益与增量风险之间的关系。

这并不意味着安全–开放帕累托前沿没有价值。恰恰相反，它为研究者提供了一个观察这种复杂关系的起点。

只是从一张描述性散点图走向真正能够支持政策制定的治理工具，还需要解决安全标准、风险测量、开放方式分类和因果识别等一系列问题。

真正的难题，不是找到一条最优曲线

安远 AI 的这项研究，尝试把长期存在于国际 AI 治理中的安全与开放之争，转化成一个可测量、可比较的问题。

它提供了一个新的联合分析视角，也通过对 128 个模型的信息披露调查，揭示了当前模型能力透明度与安全透明度之间的明显差距。

这些工作具有实际价值。尤其是在前沿 AI 能力持续提升、模型发布策略日益受到关注的背景下，建立持续更新的开放性与安全性观测体系，有助于让治理讨论建立在更多公开数据之上。

但现阶段，报告所展示的帕累托前沿仍然依赖特定的模型样本、风险分类、Benchmark 和评分假设。它能够描述当前评价体系下的相对最优模型，却尚不足以证明安全与开放之间存在不可避免的客观冲突。

更重要的是，安全与开放并不天然是一组适合直接进行数值交换的目标。

对于国际 AI 治理而言，真正重要的问题是：当模型具备越来越强的危险能力时，哪些能力应当受到重点关注？什么样的安全条件足以支持某种程度的开放？不同开放策略会产生多大的额外风险？这些风险又能否被开放带来的社会收益所抵消？

这些问题并不能仅靠一条帕累托曲线回答。

但如果未来能够将模型危险能力、安全防护水平、开放策略和发布后的增量风险结合起来，帕累托方法仍有机会发展成更有实际意义的治理分析工具。

安全与开放能否兼得，最终取决于我们能否在理解模型能力与真实风险的基础上，建立更加精细、可验证的开放治理机制。

这或许才是这项研究真正值得继续探索的方向。