7 月 13 日，《华盛顿邮报》披露了一项尚未公开的政策讨论：美国政府和 AI 产业据报正在研究开放模型发布框架，可能把中国领先开放模型的现有能力作为参照。二次摘要称，如果美国模型的能力不高于这条参照线，发布流程可能得到简化。这条消息很快被转述成“白宫将另发开放模型行政令”，甚至“美国模型不得超过中国模型”。
目前的公开证据走不到这么远。原始消息只有一个匿名来源，没有政策草案、机构文件或白宫确认，也没有说明所谓能力究竟按网络安全、编程还是综合评测衡量。但这条线索带来了一个此前没有进入公开讨论的新问题：政府判断是否限制美国模型时，除了问“这项能力有多危险”，是否还会问“同等能力是不是已经通过中国开放权重传遍全球”？后一问可能直接改变单边限制还能减少多少新增风险。
要理解这条新线索，需要先看美国为什么从限制先进芯片，一路管到云训练、模型权重和 API 访问。在国家安全这条线上，美国同时追求两个目标：让本国公司更快做出最强的 AI，同时延缓战略竞争对手和高风险主体获得同等能力。芯片、云、权重和 API 不是四个随机出现的监管对象，而是同一项能力到达其他使用者时经过的不同通道。模型能力绕过上一道闸门，政策就会继续向交付链下游寻找控制点。
6 月发生的两件事展示了这条变化。Anthropic 旗下的 Fable 5 和 Mythos 5 因政府限制外国人访问而突然对全球停服。OpenAI 也因政府要求，把 GPT-5.6 首批用户限制在少数经筛选的机构中，约 13 天后才全面发布。美国 AI 国家安全政策正在从控制生产前沿能力所需的投入，扩展到管理谁能访问已经形成的能力。几套工具还没有组成通用发布许可，但它们共同服务于同一条主轴：维持美国的能力领先，并控制领先能力的扩散速度和范围。
美国政府早在 2018 年就授权商务部识别并管制关系国家安全的新兴与基础技术。但算法和代码可以通过网络快速复制，政府很难像检查货物一样在边境拦住它们。
2022 年，美国把最有力的控制点放在先进芯片上。按照当年 10 月发布的先进计算规则，商务部工业和安全局（BIS）用硬件性能、目的地、最终用户和用途划定许可范围。大规模训练需要成千上万张先进显卡，芯片又有实体供应链，容易分类和追踪。管住芯片，就能提高特定国家和机构训练前沿模型的成本。
这道闸门限制的是大规模算力从哪里来。它无法单独解决另一个问题：模型训练完成后，已经形成的能力还可以通过什么方式交给别人。
芯片之外还有三条能力交付渠道：用户可以租美国的云算力训练模型，可以下载别人训练好的权重，也可以直接调用模型 API。三条渠道交付的东西不同，政策控制点也不同。
第一条是云端训练。外国客户不必把芯片运回本国，只需向美国云服务商租用算力，就能远程训练自己的模型。行政令 EO 14110 曾要求商务部拟定规则，核验相关外国客户的身份，并报告可能具有恶意网络用途的大模型训练活动。这套云服务报告规则只停留在拟议阶段，从未正式生效；EO 14110 后来遭到整体撤销，拟议规则也失去了政策基础。
第二条是模型权重。权重是训练完成后得到的参数文件，用户下载后可以自行运行。权重一旦在互联网上广泛散布，现有副本很难可靠召回。2025
年 1 月，商务部发布《人工智能扩散规则》，尝试把训练计算量超过
10^26 次操作的先进闭源模型权重纳入出口管制，分类编号为
4E091。该规则没有控制符合条件的开放权重模型，出口管制条例也长期排除已经公开发布的部分信息和软件。不过，具体内容仍要看分类和发布方式。规则还没进入实际执法，商务部就宣布不予执行。
第三条是托管 API。模型权重仍在厂商服务器上，用户通过网络直接使用代码生成、网络安全分析和智能代理等能力。商务部 2009 年的云计算咨询意见认为，只提供计算能力、没有向用户传输受控软件或技术的服务，不属于出口管制范围。2025 年的《人工智能扩散规则》也明确保留模型 API 和推理云服务。一般规则因此没有把普通 API 调用普遍定义为出口。但 Anthropic 个案显示，政府已经在尝试限制特定外国人对特定模型 API 的访问。一次公司特定指令，不等于全行业规则已经改变。
“监管从算力门槛升级为能力红线”听起来像一次替换，实际更像分工。算力回答谁需要进入报告或检查范围，能力测试回答政府担心的风险是否真的出现。
EO
14110 就用训练计算量圈定报告对象。普通模型达到 10^26
次操作，或者主要使用生物序列数据的模型达到 10^23
次操作，开发者就要向政府报告训练和安全测试情况。这两个数字方便审计，却不能证明模型本身危险。红队测试结果才告诉政府模型在网络、生物等领域表现出了什么能力。
2026 年 6 月签署的 EO 14409 更进一步，要求政府直接测试 advanced cyber capabilities，也就是模型完成高级网络攻击相关任务的能力。模型越过测试阈值后，会得到 covered frontier model 这个分类标签。
这个标签目前没有自动触发禁发。EO 14409 连接的是一套自愿合作框架：开发者可以在向其他可信合作伙伴提供模型前，让政府提前访问最多 30 天。行政令同一节明确表示，这些安排不授权政府建立强制许可或预审。能力评估也可以服务于其他决策。CAISI 与总务署 GSA 的合作备忘录把评估方法引入联邦采购支持流程，但没有规定某个测试分数直接决定采购资格。
Anthropic 停服事件把交付方式的重要性变成了真实后果。商务部要求 Anthropic 限制所有外国人访问 Fable 5 和 Mythos 5。指令针对的是一类用户，并没有要求两款模型从全球下线。
问题出在执行上。集中式 API 由 Anthropic 统一运营，公司可以关闭服务，却难以在短时间内可靠判断每次调用背后用户的国籍。为了避免违规，Anthropic 选择先对所有客户停服。定向要求、身份筛选困难和公司的合规选择叠加在一起，最终让全球用户同时失去访问。
停服也不是永久结果。经过后续谈判和许可调整，Fable 5 于 2026 年 7 月 1 日恢复全球服务，Mythos 5 仍限于特定合作伙伴的 trusted access。政府原始信件、技术依据，以及普通 API 是否能普遍适用同类权限，至今没有公开答案。
所以，公开材料并不支持政府拥有一个能远程关闭所有模型的物理开关。集中式服务商接到难以细分执行的要求后，可能用自己的后台控制权完成停服，用户感受到的结果才像按下开关。开放权重则不同。权重发布后，用户可以脱离原厂运行已经下载的副本，政府无法依靠一家公司把这些副本全部收回。
芯片、云、权重和 API 的差异，最终把政策推向一个更难的问题。政府不能只问模型本身有多危险，还要考虑同等能力是否已经通过其他渠道扩散。前一个问题决定有没有必要介入，后一个问题决定美国单边设限还能产生多大效果。
现行正式政策主要处理第一类问题，7 月 13 日的“中国模型参照线”消息则首次给第二类问题提供了公开线索。这里把它们称为“危险能力线”和“全球可得性线”，只是为了帮助分析，不是政府正式使用的政策名称。
危险能力线关注模型是否明显增加网络攻击、生物风险等具体威胁。即使外国已经发布同等模型，美国开发的模型仍可能增加新的使用规模、可靠性或可得性，所以这项风险不会自动消失。
全球可得性线关注另一件事：如果同等能力已经通过外国开放权重广泛扩散，美国单方面限制本国公司还能减少多少新增风险？限制的安全收益可能下降，竞争代价却会上升。全球可得性因此可能影响审查强度或快速通道，但不能替代危险能力判断。
《华盛顿邮报》援引未公开讨论报道称，有人提议把中国领先开放模型的能力作为美国开放模型政策的参照。这是单一匿名报道，没有正式文本。它可能只是快速通道的参考，也可能最终什么都不会改变；目前不能把它写成发布上限或禁发线。
以后再看到新的监管消息，可以先问三个问题：
三个答案比“美国是不是要全面审批 AI”更能说明一项政策会产生什么实际后果。