AI最薄的一层，正在被撕开
Anthropic红队指出GLM-5.3能力追平Claude Mythos Preview却护栏形同虚设，同期DeepSeek开源昇腾基础组件。两条新闻共同指向：AI能力层与基础软件层狂奔重建，安全层却成最薄一层。本文拆解能力扩散周期、双软件栈格局与护栏基础设施化的产业逻辑。
九月的两条新闻放在一起看，味道就不一样了。一条是 Anthropic 在威胁情报报告里披露的、有据可查的首次“AI 编排”网络间谍行动；另一条是 华为 在全联接大会上承认 昇腾 软件栈与 英伟达 的差距、宣布开放 CANN 生态，而 DeepSeek 据报道已用昇腾芯片完成了部分模型训练。前者说明能力扩散快到危险，后者说明软件栈正在被重写。两件事指向同一个判断——AI 的技术栈在整体重排，而最薄的安全层，没有多少人排进了工期。
🚨 威胁情报报告，比发布会诚实
安全这件事，从来没人主动买单，直到出事那天。
先把事实捋一遍。2025 年 8 月 27 日，Anthropic 发布威胁情报报告 《Disrupting AI Espionage》，披露了一个代号 GTG-1002 的组织——Anthropic 将其评估为中国国家级支持的攻击团体——利用 Claude Code 对约 30 个目标（科技公司、金融机构、政府机构、化工企业）实施了自动化网络间谍活动。报告的关键数据是：侦察、漏洞利用、横向移动、数据窃取等环节，AI 的自主完成度达到 80%–90%，人类只在少数关键节点做授权。Anthropic 在约十天内发现并封禁了相关账号，同时通知了部分被攻击者。
这不是一次推演，而是一次被拦截的实战。
护栏缺位的那半边事实，来自开源模型侧。2025 年 2 月，Cisco AI Defense 团队对 DeepSeek R1 的安全评测显示：50 种越狱攻击全部成功，模型零拒绝——这份评测在 R1 开源后迅速传遍安全圈，也从侧面解释了为什么 OpenAI 和微软会公开指控存在针对其模型的蒸馏行为。能力通过开源权重即时扩散，护栏实践却留在了原地。
这两组事实放在一起，才是这条新闻的完整分量：Anthropic 在报告中的定性很明确——这是他们所知的第一次由 AI 大规模编排的网络攻击行动，属于网络安全领域的分水岭事件。
产业逻辑随之改变：第三方安全评测正在从“厂商内部流程”变成行业公共基础设施。它没有法律效力，不写进任何合规文件，但它会实实在在影响采购决策、影响开源社区的信任、影响同行对你的风险定价。当模型被证实能够执行大部分攻击链步骤，“拒绝护栏”就从合规附件变成了产品的基本盘——被点名的厂商损失的不是某一项跑分，而是“这家厂商把安全当回事”的默认印象。
📉 一年之内，扩散周期被压扁了
能力的传染速度，永远快过免疫系统的建设速度。
把时间线拉开看，这一年才是真正值得警惕的区间：
一个此前只存在于实验室评估里的能力——自主完成攻击链——在一年内走完了“扩散、复现、进入实战”的全过程。这个速度意味着什么？能力可以通过评测方法、考卷设计、训练配方一路复现和追赶，而护栏实践——拒绝策略、越狱防御、上线前的红队流程——却很难跟着能力一起迁移。两边不在同一个节奏上。
| 维度 | 能力层 | 护栏层 |
|---|---|---|
| 迭代节奏 | 数月一代，快速跃迁 | 跟随修补，滞后补位 |
| 验证方式 | 跑分、榜单、公开评测 | 红队抽样，事后暴露 |
| 扩散速度 | 权重和方法可复制，即时扩散 | 实践难迁移，各家各自摸索 |
| 商业激励 | 直接拉动销售和融资 | 出事前几乎不计入定价 |
每一行都在讲同一个故事：激励结构决定了安全层天然跑不过能力层。
对平台团队来说，这个扩散周期的含义非常具体：威胁模型变了。过去接入第三方模型或开源权重，默认假设是“它是个被动工具，风险主要在数据泄露和幻觉”。现在必须换一个假设——你接入的每一个模型，都可能被编排者利用来执行端到端攻击链，而它的拒绝护栏可能是零。采购评测里，“拒绝率”不能再是附录里的一行小字，它应该是一票否决项。
🔧 华为和 DeepSeek 押注的其实是软件栈
芯片决定算力上限，软件栈决定算力可用性。
再看第二条新闻。9 月 18 日，华为全联接大会上，轮值董事长徐直军在主题演讲中罕见地直言：昇腾 的软件生态（CANN）与 英伟达 的 CUDA 相比差距仍然很大，软件是昇腾生态最大的短板，华为将加大投入并开放生态。同一场合，华为公布了 Atlas 950、Atlas 960 的算力路线图。而据《金融时报》9 月初报道，DeepSeek 已经使用昇腾 910C 完成了其新模型的训练工作——尽管仍有相当部分训练依赖 英伟达 芯片。
把这套关系画出来，战略意图一目了然：
国产算力的瓶颈，业内早有共识：从来不在峰值算力，而在算子覆盖、编译易用性、通信库成熟度这些“最后一公里”。徐直军本人的表态就是最权威的承认——卡住生态的往往不是芯片本身，而是迁移到一半发现某个关键算子缺失、某个通信原语性能不达标。华为宣布开放