AI Notes

观察 · 上海

GovernancePolicyOpenWeightCybersecurityChinaExportControl

中国把大模型权重写进出口目录：管的是转移，不是调用

商务部、科技部 2026 年第 48 号公告拟在《禁止出口限制出口技术目录》增列 AI 23 项，公告当天起对所列技术出口实施登记。附件把门槛写成 10²⁶ FLOP、2 万亿参数或「全球前 10」；API、SaaS、端侧部署不算技术出口，已开源的不纳入。被保护的是权重与训练工程，不是服务。

10 月 16 日 16:00，商务部官网挂出商务部、科技部 2026 年第 48 号公告：拟修订《中国禁止出口限制出口技术目录》，增列人工智能、生物医药、光伏三个领域共 40 项技术，其中人工智能 23 项，覆盖大模型、智能体、算力集群和信息处理。征求意见到 11 月 15 日。另有一句比「征求意见」重得多：自公告发布之日起，到目录正式修订实施为止，出口所列技术前要先在商务部技术贸易管理平台登记，已经开始但没完成的出口也算在内。

这是中国第一次把「大模型的权重参数、关键检查点」逐字写进技术出口目录。容易读成两种极端：要么「中国封锁 AI」，要么「开源全豁免，等于没管」。两种都没读附件。附件 1 和答记者问合起来看，这套规则画的线很清楚：管的是技术从境内转移到境外，不管模型被境外调用。

TL;DR：限制类「人工智能大模型技术」管两样东西：用我国「重要数据」训练后提供服务的大模型；以及满足任一条件的大模型核心技术（权重、检查点、底层源代码、架构、训练优化与推理加速）：训练计算量 ≥10²⁶ 次浮点运算、参数量 ≥2 万亿、或「能力达到全球领先水平」（出口时在主流测评机构或大型产业平台的公开排名进全球前 10）。用「核心数据」训练的大模型列为禁止。答记者问明确：用限制类大模型提供 API、APP/网页、SaaS、端侧轻量化部署不属于技术出口；海外本地化部署属于，海外自有云可走自动许可；开源和已发表的技术不纳入，开源动作本身「即报即出」。判断有三：一，规则保护的是资产（权重和训练工程），服务输出照常卖，这和美国实验室这一年对蒸馏的处理是同一种资产观；二，「开源即出公共领域」让公开发布成为最顺的合规出境路径，管控的真正窗口是发布之前；三，「全球前 10」把排行榜写成了法律触发器，而且由企业自己判断是否落入。

一、附件 1 实际写了什么

公告正文只给框架，门槛都在附件 1 的征求意见稿里。人工智能部分分禁止和限制两张表，和本站关心的几条如下（编号照抄附件）：

  • 禁止类：266402J 信息对抗技术里的 AI 自主驱动恶意代码生成与变异、对抗环境自适应演进（含沙箱逃逸、每次执行自动重写 ≥50% 代码结构）、自动化免杀变种批量生成；266501J「利用我国核心数据进行训练后提供服务的大模型」；266502J 专门用于关键信息基础设施、国防军工、核心政务等场景、达到「高性能」水平的智能体。
  • 限制类大模型（266504X）：一是用我国「重要数据」训练后提供服务的大模型，附件留了口子：只用了微量（≤0.1%）重要数据、不能实质提升该领域能力、做了脱敏且输出不会复现，或数据本可合法公开获取的，不算；二是满足任一特性的大模型核心技术：计算量 ≥10²⁶、参数量 ≥20,000 亿、能力全球领先。
  • 限制类智能体（266505X）：可把自然语言指令拆成 ≥20 步子任务链且分解精度 ≥80%、子任务平均成功率 ≥90%；支持 ≥60 个并发协作智能体；集成 ≥200 个第三方工具、工具选择准确率 ≥90%；以及一类博弈决策技术。
  • 限制类信息对抗（266404X 新增第 6 项）：AI 辅助漏洞挖掘，任一即中：权威基准漏洞复现或可利用性判定 ≥75%；对主流操作系统或浏览器端到端构建利用链成功率 ≥50%；效率达资深专家 10 倍；能把 2 个以上中低危缺陷串成多阶段攻击链并生成可运行 PoC；在一个主要开源项目里一次自主发现 5 个以上未披露高危缺陷。
  • 限制类算力集群（266507X）：针对加速卡总数超 10,000 张的集群，片间或节点间互连双向带宽 ≥800GB/s、检查点恢复 MTTR ≤120 秒、通信隐藏率 ≥90%、跨两家以上厂商芯片的异构统一调度等。

附件脚注再补两句：已经通过开源、发表论文进入公共领域的技术不纳入；对 AI 类技术开源、中国企业在境外自建自营算力中心、赴境外流片、利用境外资源联合研发、参与国际标准制定，适用自动许可等便利措施。

答记者问把「出海」这件事说得最直白：判断标准是「是否涉及限制类技术从中国境内向境外转移」。限制类模型做海外本地化部署，属于技术出口；部署在海外自有云等「风险相对可控」的情形可走自动许可；对外提供 API 调用、APP/网页交互、SaaS 应用、本地端侧轻量化部署，不属于大模型技术出口管理范围。

flowchart TB
  A["拟出境的 AI 技术或模型"] --> B{"已开源或已发表？"}
  B -- 是 --> P["公共领域：不纳入"]
  B -- 否 --> C{"出海形式"}
  C -- "API / APP / SaaS / 端侧轻量化" --> N["不属于技术出口"]
  C -- "转让所有权 / 授权境外 / 控制人外迁 / 海外本地化部署" --> D{"落入附件门槛？<br/>10²⁶ FLOP · 2 万亿参数 · 全球前 10 · 重要数据"}
  D -- 否 --> F["自由出口"]
  D -- 是 --> E{"便利情形？<br/>开源 · 境外自有云/自建算力 · 联合研发"}
  E -- 是 --> G["自动许可：即报即出"]
  E -- 否 --> L["申请许可"]
  G -. "开源发布后" .-> P
  R["公告当日起至目录实施：<br/>所列技术出口前一律登记"] -.-> C

二、资产留境，输出照卖

把这张图压成一句话：权重和训练工程是资产，模型的输出是商品。 资产出境要登记、要许可；商品出境不设卡。中国大模型公司最常见的出海形态，API、订阅、SaaS，全部在线外。

这条线和美国实验室这一年的做法对得上。本站写过 OpenAI 把蒸馏攻击点到 Moonshot，也写过 Anthropic 把蒸馏防护抬到生化物同级：美方实验室同样把权重当作不出门的东西，靠的是公司自己的门禁，拒收可疑流量、截断推理抽取。中方这次用的是国家出口目录。工具不同，资产观一致：值钱的是权重、检查点和把万卡集群跑稳的工程能力，不是某一次回答。

但两边都留着同一个缝。蒸馏案恰恰说明，输出里带着能力：足够多的高质量推理轨迹可以被拿去训练别的模型。中方规则把 API 明确排除在技术出口之外，意味着「境外有人通过调用中国模型做蒸馏」不在这套工具的管辖里；美方实验室的处理方式则是事后发现、事后断流。出口管制管得了一次转让合同，管不了一千万次调用。资产观一致，缝也一致。

三、开源成了最顺的合规出境路径

附件里最耐读的是这一组组合：一个参数量过 2 万亿、或排进全球前 10 的模型，它的权重私下授权给一家境外公司，要按限制类申请许可；同一份权重公开发布到 Hugging Face，走自动许可「即报即出」，发布之后进入公共领域，不再纳入管理。

所以这套规则不是在压开源。它把开源设计成了最省事的出境方式，把管控窗口推到「发布之前」：训练中的检查点、没公开的底层代码、训练与推理优化的工程细节，以及把团队或公司主体整体搬出境的那类交易（公告专门列了「所有权人或者实际控制人变更为境外主体」）。真正被收紧的，是闭源资产的跨境流动和「人和公司一起出海」。

这一设计并不独特。2025 年 1 月美国商务部的 AI 扩散框架同样以 10²⁶ 次运算为线管控闭源模型权重，同时把已公开发布的权重排除在外；那套规则后来在 2025 年 5 月被撤销。两国隔了一年半，落到几乎同一个数字和同一个「公开即豁免」的结构上。区别在于中方另外加了参数量和排名两条腿，而且把「重要数据训练」单列成一种风险。

具体到产品会有分歧。阿里 8 月宣布的 Qwen3.8-Max 自称 2.4T 总参，单凭参数量就越过 2 万亿这条线（见 Qwen3.8-Max 许诺开放 Max 级权重）。按公告文本，已经开放的部分进入公共领域，不受影响；还没开放的版本，开源本身要走一次自动许可。对开源阵营来说，多出来的是一道登记手续，不是一道闸。对选择「只授权、不开源」给海外客户做私有化部署的公司，则多出一道许可。

四、「全球前 10」把排行榜写成了法律触发器

参数量和计算量是可以算的数字。第三条腿不是：「能力达到全球领先水平」，指出口活动发生时，国内外主流测评机构、大规模产业平台等，针对综合性能、专项业务能力、全球调用量、安全性能、训练效率等公开评估的全球排名前 10。

几处值得停下来。第一，它是出口时点的动态判断，同一个模型上半年在前 10、下半年掉出去，结论会变。第二，维度列得很宽，「专项业务能力」「全球调用量」各有各的榜，一个在国内有竞争力的模型很难保证在每张榜上都落在第 11 名以后。第三，答记者问写明「出口经营者应自行判断拟出口技术是否落入临时登记管理范围」，自评在企业，事后追责在监管。

结果是排行榜第一次有了法律后果。过去榜单名次是市场营销材料，现在它可能是合规文件里的一行。征求意见稿没有点名哪些机构和平台算「主流」，这是意见期最值得被追问的一处。

五、网络与智能体条目：门槛读起来像今年的系统卡

漏洞挖掘那一组门槛，「端到端利用链成功率」「把中低危缺陷串成攻击链」「一次发现 5 个以上未披露高危缺陷」，读起来很像今年前沿实验室在系统卡和网络评测里自己报的那一类能力描述。美方的处理办法是按客户分档放行，本站写过 Anthropic 的 CVP 三档 和 GPT-6 Astra 的网络 Critical：能力照样做，按用户身份决定谁能用到哪一档。中方这次是在国家目录里把同类技术的跨境转移列为限制，恶意代码自动生成与变异则直接列为禁止。

两种路径管的不是同一件事。实验室门禁管「谁能调用这种能力」，出口目录管「这种技术能不能离开国境」。按答记者问的口径，一个具备这类能力的模型以 API 形式对外服务，不算技术出口，那么境外用户能调用到什么，仍取决于提供方自己的产品护栏，而不是这份目录。智能体条目同理：≥200 个工具、≥60 个并发智能体这类指标管的是框架和技术本身的转让，不是境外客户使用一个达标的代理产品。

六、还没定的事

这是征求意见稿，有几处会影响实际效果，意见期内值得盯：

  • 「主流测评机构、大规模产业平台」由谁认定，排名维度是「任一」还是综合判断，文本没写死。
  • 「重要数据」与「核心数据」按《数据安全法》体系确定，而相关目录本身仍在各行业陆续制定；≤0.1% 的微量例外怎么证明，需要实施细则。
  • 临时登记从 10 月 16 日起已经生效，正式目录何时实施没有日期。这段时间是「先登记、再立规」，企业的合规成本先于规则落地。
  • 便利措施对「世界人工智能合作组织成员」之间的技术出口许诺了「更多便利和支持」，具体怎么兑现，正文和附件都没有展开。

这份目录最该被记住的不是「中国也开始管 AI 出口」，而是它把管辖点放在了哪里：资产的转移，而不是能力的使用；发布之前，而不是发布之后。美国实验室用门禁守权重，中国监管用目录守权重，两边都对 API 输出开着门。模型能力在不同国家之间怎样流动，接下来更多取决于这扇谁都没关上的门。

参考

事实、出处或判断有误，欢迎 写信纠错或补充 。

返回目录