Muse Spark Open：卖点是很难越狱，代价写在过度拒绝里

10 月 15 日，Meta 研究博客把 Muse Spark Open 写成「迄今最强的美国开源权重模型」：816B 总参 / 42B 激活、原生多模态、1M 上下文，并强调两台 M5 Ultra Mac Studio 就能在桌面跑。次日，Reflection 在 Hugging Face 以 Apache 2.0 放出 Beam（501B / 23B 激活）权重，并挂上 Beam Safety Technical Report。

同一周、两款美国开源旗舰。真正值得写的不是谁追上了谁——Muse 模型卡自测的 Artificial Analysis Intelligence Index 是 39，低于同表 GLM 5.3（45）、Kimi K3（44）、Qwen3.8（40）。新东西在别处：Meta 把差异化押在「出厂即难越狱」，代价写进过度拒绝；Reflection 则用无门槛许可 + 整本安全技术报告换另一套可信叙事。对照轴是许可与出厂安全姿态，不是排行榜。

TL;DR：Muse Spark Open 的开源版额外做了「无系统护栏单独使用」的安全后训练——StrongREJECT v2（自适应）自测 0.5，远低于 GLM/Kimi/Qwen 的六十多分；但 FORTRESS ORS（过度拒绝）17.4，高于 GLM 3.2 / Kimi 2.7；网络滥用拒答自测 99.2%/94.8%。许可是自定义 Muse Model License：允许改、微调、蒸馏、再分发与商用，须标「Built with Muse Spark Open」；MaaS 且集团 12 个月营收 >$2000 万须另签。模型卡自承下游修改会使安全结果失效——护栏能留多久，是这笔账。同周 Beam：Apache 2.0、Iris 自测有害拒答/转向 88.9%、无害顺从 81.5%、OSF 四类皆 Limited。对读 Mistral Large 4「拒答害防守」：三家对「该不该在权重里硬塞拒答」给出三种答案。数字一律公司自测。

一、出厂难越狱：Meta 自测写了什么

模型卡写明：开源版相对托管产品多做了一层安全后训练，目标是「standalone、无系统护栏」仍能扛滥用。安全表里两行最刺眼。

StrongREJECT v2（adaptive，越低越好）：Muse Spark Open 0.5；同表 Inkling 86.4、Nemotron 3 Ultra 80.7、Qwen3.8 65.6、GLM 5.3 62.9、Kimi K3 66.6。FORTRESS adversarial（static）：ARS 5.8、ORS 17.4——过度拒绝高于 Inkling 7.4、Nemotron 13.3、Qwen 12.8、GLM 3.2、Kimi 2.7。

网络滥用一段同样按「无系统级防护、自适应攻击者」设定：内部基准拒答 99.2%，聚合 PolyGuard（cyber 子集）/ RedCode / CyberBench 2024 为 94.8%；同设定下 Kimi K3 为 75.5% / 70.2%。CBRN 与失控自测也写得很硬：SecureBio BioTIER 有害拒答逾 98%、内部单轮化学逾 99%；MASK 诚实率 98.1%、Agentic Misalignment 不当行为率 0%。

能力侧没有跟着「安全第一」一起涨。AA 指数 39 落后；Terminal-Bench 2.1（Terminus 2）76.4，低于 Beam 80.1、Qwen 82.0、GLM 83.9、Kimi 85.0。JobBench、MCP-Atlas 等若干代理表上 Muse 更靠前——但综合指数与终端代理基准已经够把「追上中国开源」叙事拆掉。

官方博客与 TechCrunch 都强调桌面可跑。模型卡写清硬件账：NVFP4 至少 700GB 显存，BF16 约 2TB；「两台 M5 Ultra」是高端桌面，不是普通笔记本。Baseten / Fireworks / Groq / OpenRouter 等同日 API，本地跑与托管跑是两条产品线。

二、许可明许蒸馏：护栏是检查点，不是遗传性状

Muse Model License（2026-10-15）几乎按开源习惯写「use / modify / distill / distribute / sell」，但加了两道商业门：

产品或服务须显著标注「Built with Muse Spark Open」；
若以 MaaS（API 等向第三方交付模型输出）经营，且集团连续 12 个月营收超过 2000 万美元，须通知 Meta 并另签协议。内部使用、非 MaaS 商用、把模型当自家功能组件，不落这条。

许可第 5 条把 Derivatives 的安全责任推给 Licensee：「META … SHALL HAVE NO LIABILITY WITH RESPECT TO ANY DERIVATIVES」。模型卡安全段末尾几乎是同一句话的技术版：

Downstream modifications could degrade safety, and results for the released checkpoint should not be assumed to apply to modified models.

两边合起来读：出厂数字测的是这个检查点；许可又明确允许微调与蒸馏。护栏不是遗传性状——下游一改，StrongREJECT 0.5 就不再是你仓库里那份的承诺。这和站内已见刊的 Anthropic 蒸馏防护形成镜像：闭源侧靠拒收流量护 reasoning；开源侧一旦放权重，拒答曲线天然可被后训练洗掉。Meta 选择在权重里先把拒答做硬，同时在许可里把蒸馏写进合法权利——两件事并不矛盾，只是把「护栏半衰期」留给部署方自己算。

flowchart TB
  subgraph muse ["Muse Spark Open"]
    M1["自定义 Muse Model License"]
    M2["出厂 StrongREJECT 0.5<br/>ORS 17.4 税"]
    M3["明许蒸馏 · MaaS $2000万门槛"]
    M1 --> M2 --> M3
  end
  subgraph beam ["Reflection Beam"]
    B1["Apache 2.0 无门槛"]
    B2["Iris：有害拒 88.9%<br/>无害顺从 81.5%"]
    B3["Safety Technical Report<br/>OSF Limited ×4"]
    B1 --> B2 --> B3
  end
  subgraph ml4 ["Mistral Large 4 预览"]
    L1["权重本月底"]
    L2["叙事：拒答害防守"]
    L3["AA Cyber 自报前五<br/>复现+补丁 82%"]
    L1 --> L2 --> L3
  end
  muse -.->|"许可×姿态"| beam
  muse -.->|"拒答该不该硬"| ml4

三、同周 Beam：Apache 2.0 + 一本安全报告

Reflection 10-16 博文写得很直：权重上 Hugging Face（reflection/Beam-1.0-501B-A23B），Apache 2.0；模型卡终版基准与 Beam Safety Technical Report 同发；并开源 Mirror CLI（Python 前端 + Rust 代理核心，与模型同训）。BF16 / FP8 / NVFP4 + 投机解码 drafter 一并放出。纯文本、1M 上下文；RL 峰值自述约 88.3 万 vCPU、约 13 亿沙箱。

安全数字必须从报告与模型卡读，不从聚合站转。Iris Safety Evaluations（conversational）：有害请求拒答或转向 88.9%，无害请求顺从 81.5%——报告自称落在有害/无害权衡的观察到的 Pareto 前沿。WildChat 抽样上拒答率约 2.3%，与多数开源对照接近，说明 ISE 上的「无害顺从」收紧未必外溢到一般良性流量。Open Safety Framework 下，生物武器 / 化学武器 / 失控 / 网络进攻四类均评为 Limited（边际风险相对既有开源生态无实质扩张）——这是 Reflection 的框架结论，不是外部审计裁定。

模型卡 Usage 段写明：不禁止蒸馏、用输出训别的模型、微调、量化、合并等。和 Muse 的自定义许可比，Beam 的「开放」更接近传统 Apache：没有 Built-with 标、没有 MaaS 营收门槛。安全叙事的中心从「出厂拒答极限值」挪到「整本方法论文 + 第三方 Gray Swan / SecureBio / Irregular 等预发布评估」——读者要信的是过程披露，而不只是一张 StrongREJECT 表。

能力表上两边各有胜场：Muse 模型卡把 Beam Terminal-Bench 2.1 记为 80.1（高于 Muse 76.4）；Beam 自卡 DeepSWE 1.1 约 43%、GPQA Diamond 约 90.6%。别把这些拼成「谁赢了」——不同 harness、不同推理力度、全部自测。本篇只借用它们说明：同周美国开源旗舰并不是在同一条「追榜」赛道上互相覆盖。

四、对读 Mistral：拒答被写成防守风险

Mistral Large 4（le Chonk）10-06 公测、权重「本月底」——截至本稿仍未放，故不升独立长文。官方安全叙事却已和 Muse 正面相反：闭源旗舰（点名 Opus 5.5、Astra）在「复现真实漏洞再打补丁」一类测上因拒答近零分；ML4 自报 82%，并称 AA Cyber Index 全球前五、中国以外开源领先。理由写进主权句：防守方需要能在自有策略下跑网络能力，提供商级拒答本身可以变成事件中的风险。

三家因此排成光谱，而不是道德高低：

	许可	出厂安全姿态（自述）	对「拒答」的态度
Muse Spark Open	自定义 + MaaS 门槛；明许蒸馏	StrongREJECT 极低、ORS 偏高、网络拒答极高	开源版也要把拒答做硬
Beam	Apache 2.0	Iris 权衡 + OSF Limited + 长报告	拒答与顺从一起优化；过程披露
Mistral Large 4（预览）	权重未到	强调网络能力可用	拒答被写成防守障碍

Muse 的 ORS 17.4 正是这条光谱上的「税」：你把越狱曲线压下去，合法但长得像滥用的请求也会被挡。Beam 报告在安全 RL 里显式混入 harmless 任务压过度拒绝；Mistral 则把「能做防守向网络工作」写成产品差异。读者若只拿 Muse 的 0.5 和 ML4 的 82% 比「谁更安全」，比的是两套互不兼容的目标函数。

五、体积、端侧与护栏半衰期

开源权重的另一面是谁能在机器上留下一份可改的检查点。Anthropic 的 IoT 自复制研究把威胁模型拆成能力地板 × 体积天花板：小模型在杂牌盒子上搭推理已不稀奇，端到端复制仍受体积与利用步骤约束。Muse 的 700GB+ 档与两台 M5 Ultra，暂时把「桌面旗舰」钉在高端工作站——这不是普通消费设备上的复制体基底，但仍是一份可蒸馏、可微调、可去掉拒答头的完整权重。许可越宽、蒸馏越合法，出厂 StrongREJECT 就越像发布日新闻，而不是六个月后的默认行为。

这也是为何本篇不把「美国开源回来了」当标题。回来的是两套合同与姿态：一套自定义许可 + 出厂难越狱 + 过度拒绝税；一套 Apache + Safety Report + 无营收门槛。闭源实验室同期在抬蒸馏防护与分轨发放；开源侧把同一场争论翻译成：护栏写进权重，还是写进报告与部署策略，或干脆写成「拒答会害防守」。

六、证据边界

Muse 参数、许可条款、StrongREJECT / FORTRESS / 网络拒答 / AA 指数 / 硬件门槛：Meta 模型卡与 Muse Model License（HF，2026-10-15）；官方研究博客同日。
「下游修改会使安全结果失效」：模型卡 Safety and Preparedness 原文。
Beam 权重、Apache 2.0、Iris 88.9%/81.5%、OSF Limited、Mirror CLI、RL 规模：Reflection「Beam is now available」（10-16）、HF 模型卡、Beam Safety Technical Report。
Mistral「拒答害防守」、AA Cyber、复现+补丁 82%：Mistral Large 4 官方页（10-06）；权重截至本稿未放。
TechCrunch 10-15 对 Muse 的桌面叙事作旁证；硬件数字以模型卡为准（≥700GB NVFP4），不以二手「1TB RAM」口径覆盖。
全部基准与安全分数均为发布方自测或自建框架结论；本稿不写成独立评测排名。

开源旗舰的竞争，有一阵子会继续看起来像榜单。这一周更清楚的是：许可条款与出厂拒答曲线，已经变成和参数量同级的产品选择。Muse 把税写进 ORS；Beam 把账本写成报告；Mistral 把拒答写成风险。护栏能留多久，取决于下游愿不愿意——以及许可能不能——把它留下来。