主权 AI 的四层能力框架

过去几年，一提到“主权 AI”，很多人的第一反应都是：自己建算力中心、自己准备数据、自己训练基础模型，最好还能追上全球最强的大模型。这种理解不能说错，但可能把问题想得太窄了。

2026 年 8 月，英国萨里大学的 Alan Woodward 和 Andrew Rogoyski 在论文《Sovereign by necessity? Frontier AI export controls, cyber security, and the limits of national AI capability》中提出了一个很有意思的观点：对于绝大多数国家来说，真正重要的可能不是“能不能自己训练出全球最强的大模型”，而是无论外部环境怎么变化，关键时刻都要保证自己“永远有模型可用”。

论文原文（arXiv）

这背后对应的是一种不同于模型安全、数据安全甚至芯片安全的新风险：模型访问权本身，也可能成为一种可以被切断的战略资源。

当大模型只是聊天工具时，少一个模型可能只是体验变差；但当它进入软件开发、安全运营、漏洞分析、情报研判乃至关键基础设施以后，“模型突然不能用了”就不再只是产品问题，而开始变成一个供应链安全和国家安全问题。

论文将这种能力概括为“主权 AI”。但它对“主权”给出了一个比“自己训练模型”更现实的答案。

从“芯片断供”到“模型断供”

理解这篇论文，首先要理解一个正在发生的变化。过去我们讨论 AI 供应链安全，通常关注的是芯片：有没有先进 GPU，能不能购买高带宽存储，有没有足够的数据中心、电力和网络。这些都比较像传统意义上的产业供应链问题。后来，管制对象进一步延伸到了模型权重，也就是即使你有 GPU，也不一定能够获得某些最先进模型的完整参数。

但 2026 年发生的一件事，让问题又向前走了一步。2026 年 6 月，美国商务部门要求 Anthropic 对其最先进模型的海外使用实施许可管理。由于现实中很难快速判断全球每一位模型用户的身份和国籍，相关模型一度被直接从全球服务中撤下。

这里最值得注意的，不是某个具体模型被关了十几天，而是这件事证明了一件事情：即使模型没有部署在你的服务器上，即使你只是通过接口调用海外云端模型，你所获得的 AI 能力仍然可能因为另一个国家的行政决定突然消失。

论文认为，这是一个重要分水岭。过去的出口管制主要限制“东西”——芯片、设备、模型权重；而现在，它开始可以限制一种持续存在的服务关系。换句话说，你什么都没有买走，只是在调用一个接口，但这个接口本身已经可以成为出口管制的一部分。

这让 Frontier AI，也就是前沿 AI 模型，第一次表现出了与能源、通信、卫星导航、先进芯片相似的战略属性：平时很好用，全球都可以接入；但真正的问题在于，决定它什么时候还能继续用的人，是不是你自己。

为什么“模型断供”会变成安全问题

如果大模型只是帮员工润色邮件，这件事当然没有那么严重。但问题在于，模型正在越来越深地进入网络安全基础设施。

论文引用了过去一年出现的一系列案例和评测：前沿模型已经能够参与侦察、漏洞发现、漏洞利用、凭据收集、横向移动等任务。

2025 年 Anthropic 披露的一次网络间谍行动中，攻击者在一个商业编程智能体外围搭建自动化系统，将大量战术执行工作交给 AI 完成。与此同时，英国国家网络安全中心的测试也显示，前沿模型在模拟企业网络攻击任务中的能力正在快速提高。

这意味着，AI 对网络攻防的意义正在发生变化。以前更像“人 + AI 助手”，以后越来越可能变成“人确定目标，AI 自动执行大量中间步骤”。

这时就会出现论文非常关注的一种不对称：假设一个国家大量依赖海外最先进模型进行漏洞分析、安全运营、代码审计和应急响应。

某一天，这些模型因为政策原因突然无法访问，防御方的能力可能立刻下降；但攻击者不一定遵守同样的规则，他们可能继续使用已经流出的开放权重模型，也可能绕过商业模型的安全限制，甚至直接部署自己已经获得的模型。

因此最糟糕的情况并不是大家同时失去最先进模型，而是：防御方被切断最强 AI 能力，而攻击方仍然拥有接近前沿水平的模型。 论文认为，当这种能力差开始影响漏洞发现速度、攻击自动化程度和防御响应效率时，模型访问问题就不再只是“AI 产业发展问题”，而开始成为网络安全基础设施问题。

主权 AI 不是“我也训练一个世界最强模型”

既然依赖别人不安全，一个最直观的想法就是：那我自己训练不就行了吗？但论文恰恰认为，对于绝大多数国家，这可能既不现实，也不是资源利用效率最高的做法。

原因在于，追赶最前沿模型不是一个一次性投资问题，而是一场不断移动的比赛。论文引用相关研究指出，前沿模型最终训练阶段的硬件和能源成本长期快速上涨。按照相关趋势估算，未来一次顶级模型训练运行本身就可能达到十亿美元量级；真正建设前沿模型能力，还需要先进芯片、大规模数据中心、电力、网络、训练数据以及高水平研究和工程团队。

更麻烦的是，你不是花一次钱，就获得了“主权”。假设一个国家今天投入数十亿美元训练出一个世界领先模型，两年以后新的模型架构、芯片和训练方法出来，它仍然需要继续投入。

所以论文提出了一个特别重要的区分：训练主权（Training Sovereignty），是能够自主训练全球最前沿的大模型；而推理主权（Inference Sovereignty），则是即使外部模型服务全部中断，我依然拥有足够的本地算力、模型和技术能力，让关键 AI 系统继续运行。

这两个目标的成本完全不是一个数量级。前者可能需要数十亿美元乃至更大的持续投入；后者则可以通过本地算力、授权模型、开放权重模型以及必要的人才体系来实现。所以论文实际上提出了一个非常反直觉的观点：绝大多数国家真正应该优先追求的，并不是“我也要训练世界第一的大模型”，而是“关键时候我不能没有模型”。

这就像能源安全。能源主权并不意味着一个国家必须自己生产所有石油、天然气、光伏板和核燃料。真正关键的是，出现战争、制裁或者供应链中断时，国家还能不能维持基本运转。AI 可能正在逐渐出现类似的问题。

主权 AI 的四层能力框架

这是这篇论文最值得关注的地方。作者并没有简单地把 Sovereign AI，也就是主权 AI，等同于“国家自己训练基础模型”，而是将现实可行的主权能力拆成了几个不同层次，其中最值得关注的是四层。

第一层是推理主权。这是最基础的一层。国家或者关键机构需要拥有一部分自己能够控制的算力，同时保存可以在这些算力上运行的模型。这些模型不一定是世界最强的，甚至可以比商业前沿模型落后一代，但必须满足一个条件：即使所有海外模型接口都无法访问，关键业务依然能够继续运行。

例如安全运营中心的日志分析、漏洞优先级排序、代码审计、威胁分析等任务，并不是每一项都必须使用全球第一的大模型。一个能力稍弱但完全受控的模型，在极端情况下远比一个性能很强但随时可能断开的接口有价值。

第二层是数据与治理主权。这一层不再讨论模型是谁训练的，而是讨论数据在哪里、谁能看到、谁有权审计。政府、军事、金融、能源和关键基础设施的 AI 系统，往往会接触大量敏感信息。即使使用国外模型，也需要考虑：数据是否必须离境，模型调用记录由谁保存，系统出了问题以后，本国监管机构有没有审计权。所以主权并不只有“模型权重”的主权，还有数据和治理权。

第三层是国家模型。全球最强模型通常服务全球最大的市场，但很多国家有自己的语言、法律体系、政务流程和行业需求，这些需求不一定值得全球模型厂商投入巨额资源专门优化。因此论文认为，一个国家完全可以基于开放权重模型进行本地微调和能力建设。这并不是和全球前沿实验室正面竞争，而是解决：全球模型市场不一定愿意替你解决的本地问题。

第四层是评测和人才。这一点很容易被忽略。假设一个国家买了几万张 GPU，也下载了开放权重模型，是不是就拥有主权 AI 了？还不够。你还必须知道：这个模型到底能做什么，它在哪些任务上可靠，出了问题怎么排查，如何进行适配，什么时候应该切换模型，如何进行安全评测。所以论文把模型评测能力和人才体系本身也视为主权的一部分。

换句话说，主权 AI 不是一个模型，而是一套“模型 + 算力 + 数据 + 治理 + 人才”的能力体系。 这其实比“训练一个自己的大模型”要复杂得多，但也现实得多。

开放权重模型：AI 时代的战略备份

如果接受这个思路，那么开放权重模型的价值也需要重新理解。我们平时讨论开源或者开放模型，更多关注性能好不好、成本低不低、能不能私有化部署；但从“主权 AI”的角度看，它还有一个更重要的属性：它可以成为模型供应链的备份。

例如一家企业现在主要使用某家海外公司的前沿模型，为了防止它突然不可用，又接入另外一家商业模型。表面上已经做了双供应商备份，但如果两家公司都位于同一个司法辖区，都受到同一套法律和出口政策影响，那么面对国家级政策风险时，两条线路实际上可能处于同一个故障域。一条断，另一条也可能同时断。

因此论文给出的建议不是简单地“多接几个模型接口”，而是：至少使用两个相互独立的模型供应商，最好来自不同的司法辖区，同时保留一套本地运行的开放权重模型作为最终备份。

这里的“本地”非常关键。假设你所谓的备用模型仍然托管在海外云平台上，真正出问题以后，模型仓库可能访问不了，云服务可能访问不了，模型下载渠道也可能关闭。因此论文专门强调：最终备用模型的权重应该提前保存在自己能够控制的基础设施中，并准备足够的本地推理算力。 这才是真正的备份。

它和传统灾备系统非常像。数据库备份如果还放在同一个机房里，机房断电时，它就不是一个合格的备份。同理，备用大模型如果仍然依赖同一个国家、同一个云或者同一个分发渠道，也不能称为真正的主权备份。

从“模型排行榜”转向“模型高可用”

按照这个逻辑，一个真正面向关键业务的 AI 系统，未来可能应该长成下面这样：

第一路是主力前沿模型，正常情况下使用性能最强的商业模型，获取最好的推理、编程和 Agent 能力；

第二路是独立商业模型，来自另一家供应商，最好与第一家不存在完全相同的政策和基础设施依赖；

第三路是本地开放权重模型，性能可以稍弱，但模型权重、算力、数据和运行权限完全由自己控制。

平时第一路模型工作，第一路故障，切第二路；如果外部环境出现极端变化，所有海外服务都不可用，再切到本地模型。

这在工程上就是很常见的故障切换（Failover）。论文甚至建议安全关键系统应该定期测试这种切换能力。目标不是出问题以后还保持 100% 性能，而是：模型断供以后，能力可以下降，但不能直接消失。

如果将它类比到传统信息系统：以前企业建设数据库高可用、网络双链路、异地多活、灾难恢复中心；未来可能还需要增加一项：模型高可用。 因为当越来越多软件开始把大模型放进核心业务流程以后，大模型已经不再只是一个普通的软件依赖，它可能成为一种基础能力依赖。

对企业的启发：多模型不只是多接几个 API

虽然论文讨论的是国家层面的主权，但这个框架同样值得企业思考。

现在很多公司已经开始做“多模型架构”，但多数多模型实际上解决的是价格不同、能力不同、响应速度不同，例如复杂任务用 A 模型，简单任务用 B 模型，这是一种成本与性能调度。

而从安全角度，还应该增加另外一个维度：供应链风险是否独立。

假设一家金融机构未来把大量代码审计、欺诈分析、知识库查询甚至自动化工作流交给大模型，此时做模型选型，就不能只看“哪个模型 benchmark 分数高”，还应该问：

它运行在哪里？

模型权重掌握在谁手里？

接口是否可能因为政策变化被关闭？

替代模型是什么？

替代模型是否需要重新适配工具调用？

本地有没有足够算力？

断开主模型以后，哪些关键业务还能运行？

这其实就是传统业务连续性管理在 AI 时代的新版本。

未来企业可能需要做的，不只是模型评测（Model Evaluation），还包括模型连续性（Model Continuity）。

甚至需要像数据库灾备一样定期做演练：假设明天主力模型完全不能访问，系统还能不能继续运行？这是这篇论文虽然没有深入展开，但我认为非常值得继续延伸的一个方向。

开放模型能解决主权问题吗？只能解决一半

看到这里，也很容易得出另外一个简单结论：那全部用开放模型不就行了吗？同样没有这么简单。

开放权重模型确实解决了一个非常关键的问题：只要权重已经在我手里，原厂就很难远程把它关闭。 但它无法解决另一个问题：下一代模型还能不能拿到。

今天一个国家可以下载某个先进开放模型，并不代表未来所有新一代模型都会继续开放发布。开

放模型本身仍然依赖芯片供应、模型开发者、代码生态、模型分发渠道以及国际政策环境。所以开放权重模型更准确的角色应该是：对冲风险，而不是彻底消除依赖。

真正有意义的主权能力应该是：已经获得的模型权重 + 自己控制的推理算力 + 数据 + 运维团队 + 安全评测能力。 而不是“我收藏了一个模型下载地址”。

主权 AI 的核心不是“世界最强”，而是“能力不断供”

这可能是这篇论文最有价值的地方。过去讨论主权 AI，很容易掉进一个“模型竞赛”的思维里：美国有一个最强模型，我也要有一个；别人训练万亿参数，我也要训练；别人建十万卡集群，我也要建。

但真正从国家安全和关键基础设施角度看，问题也许应该换一种问法。不是“我有没有世界上最强的大模型”，而是：当国际关系变化、模型厂商倒闭、云服务中断或者模型接口被关闭时，我还能不能维持自己的关键 AI 能力？

这两个问题对应着完全不同的资源配置方式。前者追求的是能力上限，后者首先保障的是能力下限。

论文的判断是，对绝大多数没有全球前沿实验室的国家来说，与其花费巨大成本追逐不断移动的前沿模型，不如建立一个分层的能力组合：商业前沿模型提供最强能力，多供应商降低单点依赖，外交和合同机制保障长期访问，开放权重模型提供备份，本地算力保证极端情况下能够运行，数据、评测和人才确保这些模型真正能被自己掌握。

最终形成的不是完全脱离全球供应链的“技术孤岛”，而是一种更现实的目标：平时充分利用全球最先进 AI，极端情况下依然能够独立生存。 这大概才是“主权”两个字真正有意义的地方。

AI 安全需要增加一个新维度——能力可用性

我们过去讨论大模型安全，最常见的问题是：模型会不会产生有害内容？模型会不会泄露数据？Agent 会不会越权？工具调用会不会失控？模型会不会被攻击者操控？这些问题，本质上关注的是：模型在的时候，它是不是安全。

但随着 AI 越来越深地进入基础设施，我们可能还需要增加另一个问题：模型还在不在？

从经典的信息安全思路来看，这其实非常像“可用性”问题。只不过过去的可用性讨论的是服务器会不会宕机、网络会不会中断、数据库会不会损坏；现在可能还要再加一条：核心模型能力会不会突然消失？

这也意味着，未来真正成熟的 AI 安全架构很可能同时包含两种完全不同的防线：一类防止 AI 做不该做的事情，另一类保证 AI 在需要的时候还能继续做事情。前者解决的是 Agent 越权、提示注入、工具滥用和模型失控；后者解决的则是模型供应链、服务连续性、本地备份和推理主权。

从这个角度看，“主权 AI”并不只是一个宏大的国家产业政策概念。随着 Agent 和大模型不断进入真实业务，它很可能逐渐变成一个非常具体的安全工程问题。而这篇论文最大的启发也正在这里：

真正的 AI 主权，不一定意味着所有模型都由自己训练。 它首先意味着：无论发生什么，你不能突然变成一个“没有模型可用”的国家、机构或者企业。