华盛顿与北京收紧规则，开放权重多模态模型仍接连发布

最新一条带日期的内容不是模型发布，而是 10 月 27 日 Schneier on Security 上的一篇文章，介绍了一项题为《AI Models Can Provably Hide Arbitrary Capabilities》的研究。

作者称，他们构造了后门攻击，把加密的神经网络嵌入宿主模型的权重里。只有收到秘密触发条件，这些网络才会解密并运行。对任何读多模态发布说明的人来说，这一点都值得留意。论文认为，能力评估的前提是隐藏的能力可以被诱导出来。作者称，这个前提在对抗条件下并不成立。他们报告说，用微调、权重加噪、基于梯度的触发搜索和潜在对抗训练等方法尝试诱导，都没能成功。他们用一个小的化学反应预测任务，作为 CBRN 相关能力的替代测试。他们称隐藏电路抵抗住了这些方法。他们公开了模型，以支持防御方向的研究。

施奈尔本人的评论只有一句话加一个问题。他推测，即使嵌入的加密网络无法被挖出来，统计检验也有可能把它们检测出来。他把它比作二进制文件中用来标记加密区域的熵分析。这篇文章只是一篇围绕论文的博客，并非经过同行评审的成果。文章和论文都没有列出作者姓名，也没有说明发表场合。

实际发布的东西

发布日历比政策新闻更热闹。据 Interconnects 开放成果通讯 10 月 20 日那一期，小米 MiMo 团队推出了 MiMo-V2.6-Pro-RL。这次更新沿用与 MiMo V2.5 相同的基础模型，但在强化学习上投入的资源多得多。团队还发布了一份详细的技术报告和部分训练环境。该通讯称，在这个规模上这很罕见。通讯还说，按这套方案得到的最终模型 V2.6-Pro 在 Artificial Analysis 的排名中位列开放模型第一。

谷歌发布了 EmbeddingGemma 2，标题列表把它描述为开放的轻量级多模态嵌入模型。一条 10 月 6 日的标题说它是 74400万参数的统一多模态嵌入器。另一条 10 月 18 日的标题围绕多模态搜索的 Apache-2.0 标准来介绍这次发布。还有一条 10 月 6 日的标题引用桑达尔·皮查伊的话，称这是公司首个开放的原生多模态嵌入模型。嵌入模型不是视频生成器，相关报道不应被当作视频生成器来读。

标题列表里还有 Pika H3 Flex，一个支持 4000 输出和音频生成的开放权重视频模型，日期为 11 月 1 日。还有 Liquid AI 的 LFM3，六个开放权重的 20亿级多模态模型，日期为 10 月 27 日。

商汤的贡献更早一些。一条 8 月 20 日的标题称，该公司开源了一个 80亿参数的多模态模型，支持原生 4000 图像输出。Cloudflare 的 Clef-omni 出现在 10 月 11 日，这是一个 300亿-A3B 的多模态决策模型，处理音频、视频、图像和文本。这些条目都没有附带基准测试数据，所以在出现独立评测之前，应把能力声明视为厂商的说法。

监管机构对开放权重出手

政策部分是 Interconnects 那一期着墨最多的地方，日期为 10 月 20 日。中国商务部（MOFCOM）发布了一份政策提案，还不是法律。提案要求前沿 AI 模型和部分其他技术在向国际共享之前获得政府预先批准。Interconnects 认为外界反应过度。它指出，文件为开源技术设置了自动批准的通道。它信任的一些人认为，这份提案针对的是中国初创公司 Manus 被出售给西方公司这类情况，而不是前沿模型。该通讯记录了分歧，但没有给出结论。

在美国，国土安全部发布了一项针对 DeepSeek 的命令。该命令禁止联邦民事采购把该公司及其模型作为供应商。Interconnects 点出了一个尚未解决的问题：微调模型以及用 DeepSeek 输出训练的模型该如何处理。它提到英伟达的 Nemotron 系列，称该系列在训练方案中长期大量依赖 DeepSeek 模型。同一期通讯还提到，GLM 的开发商智谱 AI 已经在商务部的实体清单上，该清单限制其获取美国技术。

DeepSeek 自己的回应是技术性的。它公开了内部推理栈 DeepInfer。Interconnects 预计，对自家模型来说，它比 vLLM 和 SGLang 等开源工具高效得多。该通讯援引的估计是，通过这套栈售出的 token 毛利率最高可达 90%。它称这次发布是近几个月较大的开源 AI 成果之一，尽管它既不是模型也不是数据集。

编码模型中的偏见问题

施奈尔 10 月 26 日的第二篇文章介绍了针对 Qwen3-Coder 的研究。摘要称，告诉模型这段代码是给谁用的，会改变它写出的代码的安全性。为美国国防承包商请求的应用，比为中国国防承包商请求的应用可被攻击的概率高 19%。为香港某民主团体请求的应用，让任何用户都能读取其他人所有秘密的概率高 28%。加一条安全指令并没有消除差距。摘要称，此时美国承包商的应用比中立客户的应用可被攻击的概率高 27%。

文章把修复归功于 Hirundo。文章称，Hirundo 移除了模型的 CCP 对齐，并消除了全部三处差距，同时在另外十项编码任务上与原始模型持平。文章称修改后的模型已发布在 Hugging Face 上。这些说法来自做修复的公司，目前没有独立复现，这是显而易见的保留意见。文章下一位评论者提出了相反的风险。对手可以借内置偏见的说法做文章，把修改过的模型推销进生产环境。

这就是两项研究之间的连接点。一项说，隐藏行为可以被做到在可证明的意义上难以诱导。另一项说，行为差异可以被测量、归因于训练，并通过编辑权重消除。两者指向同一个缺口。用于审计开放权重模型内部内容的工具，比模型发布的节奏年轻得多。

基础设施问题不断渗入报道

还有两条安全内容不属于 AI，但描绘的是同一幅部署图景。10 月 22 日，施奈尔转述了 PHP 维护者针对两个可导致未认证远程代码执行的关键漏洞的修复。修复覆盖 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。公告列出的受影响组件包括 PHP-FPM、带 mod_php 的 Apache、php-cgi、FrankenPHP 和 LiteSpeed。风险最高的是 mod_php，请求可以在应用代码运行之前触发攻击。两个 CVE 编号是 CVE-2026-109618 和 CVE-2026-109619。

文章称，安全公司 Calif 发现了这些缺陷，Wiz 的研究人员独立发现了它们。评论者把这次发现与 AI 辅助的漏洞挖掘联系起来。他们担心披露的速度超过了打补丁的速度。

第二条是证书问题。PHP 文章下的一条评论链接到 Ars Technica 10 月的一篇报道。标题说的是在发现 8 张被攻陷的 TLS 证书后，整个互联网进入高度警戒。评论者的说法是，印度证书机构 eMudhra 对顶级证书使用了弱的签名密钥值。这导致大约 6000万张证书不可信。该链接除了标题之外并不能佐证这一说法。应把 6000万这个数字当作评论者的说法，而不是已确认的统计。

接下来值得关注的事

Interconnects 在 10 月 20 日写道，有传言称 Kimi K3.1 很快就会发布。公共代码库中开始出现相关元数据。这只是通讯里的传言，不是发布。

同一期还指出，开放生态正在成熟，而其脚下的监管地基正在移动。这是对本月的一个恰当总结：更多多模态权重，更多采购禁令，以及 10 月 27 日那篇论文所说可以被设计本身击败的审计方法。