2024年底，中國模型佔全球AI工作量的1%。到了2025年底，這個數字已飆升至30%。阿里巴巴的Qwen系列模型下載量已超過7億次，使其成為全球最大的「開源」AI系統供應商，這些系統可公開發布並在本地下載運行。眾多中國AI實驗室，如DeepSeek、Moonshot和MiniMax等，已成為全球開源市場日益受歡迎的參與者，並開始為從印度學術研究到美國頂尖科技新創公司等各種應用提供支援。儘管中國 origin 的AI模型是開放權重且免費使用的，但它們仍由受中國《國家情報法》約束的公司開發，這些公司有義務「支持、協助和配合」中國政府的國家安全調查和情報收集活動。對美國決策者而言，廣泛採用中國模型所帶來的風險，肯定會超越TikTok帶來的風險。用戶上傳的不是跳舞影片，而是就專有程式碼、商業策略和敏感通訊尋求回饋——這些內容的片段會直接存入中國安全部門可存取的系統中。

中國AI系統快速整合到美國國家和全球基礎設施中，對美國國家安全構成了四種獨特的潛在威脅：供應鏈污染、情報收集、惡意行為者能力提升，以及經濟取代——每種威脅都需要有針對性的干預措施，同時避免複製中國自身的保護主義模式。

第一個問題與中國無關，而是與AI這項技術本身有關：極難審計全球AI軟體的供應鏈。這既是因為該技術是一個「黑盒子」——當今的模型參數動輒數百億，難以輕易檢查異常——也是因為網路匿名保護了軟體開發者。

近期《War on the Rocks》的評論文章概述了審計生成程式碼的困難：來自Anthropic和英國AI安全研究所的研究表明，僅僅250份被污染的文件就足以在一個中型（130億參數）語言模型中建立後門。這些後門編碼在模型的統計權重中。安全團隊在不知道尋找什麼的情況下，發現它們極難，甚至不可能在常規程式碼審查或安全測試中偵測到。它們可以通過觸發高度特定的輸入來啟動，這意味著一個受損的模型可以在通過領先的安全基準測試的同時，仍然潛藏可被利用的漏洞，使其容易受到破壞或越獄。

這不是一個理論問題，而是當今開放權重模型格局中一個已確立的特徵。早在2025年4月，Protect AI 的安全研究人員就在全球最大的AI模型託管和下載平台Hugging Face上，識別出超過352,000個可疑文件，分佈在51,700個模型中。如今，超過15%的企業AI專案依賴於來自公共儲存庫的開源模型。當組織選擇在未經獨立驗證的中國基礎模型之上進行構建時，它們就繼承了這些模型可能包含的任何漏洞——或故意設計的後門。隨著小型AI模型的數量激增，這個攻擊面正在以驚人的速度擴大。

即使偵測問題能夠解決，還有一個額外的問題是誰應該負責解決它。目前沒有任何監管框架將模型污染者的責任或平台分發者的責任歸屬。2025年7月，Pillar Security披露了一種影響150萬個常用模型文件的新型攻擊向量，該向量允許攻擊者嵌入大多數用戶和安全工具無法察覺的惡意指令。當Pillar Security向HuggingFace報告該漏洞時，該平台拒絕將其歸類為安全問題。HuggingFace通過此決定，實際上宣稱驗證其分發模型的完整性是別人的問題。

隨著供應鏈風險的具體化，監管機構將面臨當事情出錯時應由誰負責的問題。一種解決方案可能是讓商務部的工業與安全局將AI模型儲存庫指定為資訊與通訊技術與服務供應鏈的一部分，並根據第13873號行政命令發布具有約束力的安全要求，包括來源文件記錄和對已知污染簽名的自動掃描。國家標準與技術研究院目前正在快速推進模型完整性的標準化測試協議。同樣，它也可以提供一個類似於保險實驗室（Underwriters Laboratories）的AI權重認證，為企業在整合開源軟體時提供一定的基礎信心。

就國會而言，應開始艱難的工作，將現有的軟體責任框架擴展到涵蓋AI模型的發布。目前尚不清楚像Hugging Face這樣的平台是否應對其向美國用戶提供的模型進行基本完整性檢查承擔一定程度的法律責任。雲端服務提供者和應用程式商店對其分發的軟體進行不同程度的篩選。此責任的確切範圍——包括什麼構成充分的盡職調查以及如何劃分平台和開發者之間的責任——將需要與定義傳統網路平台230條款辯論相同的謹慎校準。但現狀是，沒有人對託管或發布開放權重模型可能造成的損害負責，這是不可持續的。

決策者還應理解，即使是健全的責任制度也無法阻止所有AI系統的有害部署。最嚴格的安全審查仍將落後於新型污染技術，任何認證都無法保證即使是中型模型沒有後門。即使美國對模型託管實施某種責任制度，最複雜的威脅行為者也會轉移到美國監管範圍之外的平台——而每一個合規層都可能帶來摩擦，將開發者推向監管較少的替代方案，其中可能包括根本沒有篩選的中國託管替代方案。

目標不應是讓供應鏈無懈可擊，而是提高污染的成本，以嚇阻隨機的威脅行為者，並確保當複雜攻擊成功時，存在某種基礎法律框架來追究責任，而不是集體的無動於衷。

中國AI模型的第二個問題，對於任何關注過TikTok全國辯論的人來說都不陌生：應用程式通過位於中國的伺服器路由敏感用戶數據。雖然大多數中國開放權重模型的使用者是在他們自己控制的電腦上本地下載和運行它們，但許多其他人並非如此。這可能為北京提供直接的情報收集機會。

根據中國2017年的《國家情報法》，公司「必須支持、協助和配合國家情報工作。」用戶與這些系統共享合同、程式碼和戰略文件，實際上是將它們存入一個中國政府可存取的數據庫。此外，即使在用戶沒有直接與中國網路聊天機器人互動的情況下，一些美國開發者也通過向模型提供者的中國伺服器發送程式化請求，將DeepSeek或Qwen整合到他們自己的應用程式中。每次調用應用程式介面（API）都會傳輸一個包含用戶查詢、相關背景數據以及通常是先前對話歷史的上下文窗口——DeepSeek的V3模型每次請求最多可達10萬字。一家使用DeepSeek API構建內部程式碼助手的新創公司，每次API調用都會傳輸其專有程式碼片段。

為了應對美國數據安全日益增長的風險，一些決策者可能會傾向於徹底禁止採用中國AI模型——但這在實踐中將難以執行，並對美國開發者生態系統造成嚴重損害。DeepSeek和Qwen可以從數十個鏡像站點和第三方平台下載。API訪問可以通過中介機構路由，任何足夠廣泛以涵蓋中國 origin AI服務的全部範圍的禁令，都可能將成千上萬與中國安全服務無關的衍生模型一併掃入其中。

一個更具建設性的方法是要求對中國模型部署的地點保持透明。如果對特定行業或用例很重要，美國AI系統的客戶應該能夠知道基礎模型是在哪裡訓練的，以及他們數據的傳輸地點。例如，聯邦貿易委員會可以要求任何在美國營運——或通過API服務美國用戶——的AI服務提供商披露用戶數據的處理、儲存和可存取地點。這種形式的監管在食品營養標籤中有充分的先例。用戶和企業可以據此做出明智的決定，是否將敏感查詢路由到受中國《國家情報法》約束的伺服器。

對於聯邦承包商和處理受控非機密資訊的實體，安全標準應該更高：商務部應禁止使用在被指定為外國敵對勢力的司法管轄區境內或可被其存取的伺服器上處理數據的AI模型。這不僅包括直接使用DeepSeek的API，還包括任何將查詢路由到中國託管雲基礎設施的第三方應用程式——這是新創公司為最小化推理成本而普遍且日益增長的做法。

當然，披露要求只有在客戶足夠重視閱讀標籤並相應改變行為時才有效。即使強制披露，大多數對價格敏感的個人用戶仍將繼續使用中國的開放權重模型——那些優化速度並專注於降低燒錢率的新創公司也是如此。

雖然透明度是知情選擇的必要條件，但它不是安全的充分條件。它只能抓住疏忽大意者，而對那些在美國管轄範圍之外、在中國AI基礎設施上構建卻不受任何披露要求約束的數百萬全球用戶無能為力。

第三個問題是，中國AI實驗室開發的開放權重模型，其安全防護欄比美國同行系統性地薄弱。這造成了兩個不同的問題。

首先，雖然北京確實要求中國AI模型審查被認為威脅國家「社會穩定」的輸出，但它們在回應可能對國家安全造成直接風險的查詢時，仍然比美國同行寬容得多。當用戶要求Anthropic的Claude或OpenAI的ChatGPT協助合成管制物質或開發網路釣魚工具包時，模型幾乎總會拒絕。詢問DeepSeek相同問題，模型通常會遵從。除非中國AI實驗室實施有意義的防護欄，否則它們的產品將為尋求開發網路武器、化學藥劑或生物病原體的惡意行為者提供有意義的能力提升。

其次，即使中國AI模型被編程為抵抗產生某些有害輸出，它們仍然比美國同行更容易被越獄，經常在基本的紅隊評估中失敗。國家標準與技術研究院的AI標準與創新中心測試了DeepSeek的R1模型，發現它遵守了94%使用常見越獄技術的明顯惡意請求，而可比的美國前沿模型僅遵守8%。2025年初，思科獨立驗證了這些發現，報告稱對DeepSeek R1的攻擊成功率為100%，該模型「未能阻止任何有害提示」。

AI模型的故意濫用已經是一個嚴重問題，並隨著模型能夠攝取和迭代整個程式碼庫而預計會加劇。Google威脅情報已識別出在活躍入侵期間查詢Qwen模型進行實時程式碼生成的惡意軟體。自2024年以來，AI輔助的網路攻擊增加了72%。FBI的網路犯罪投訴中心在2025年也記錄了AI輔助的商業電子郵件詐騙增加了37%。對於先前缺乏技術複雜性來開發定制漏洞利用的威脅行為者來說，中國的開放權重模型充當了幾乎沒有內容限制的隨時可用的導師。

與數據滲漏一樣，美國政府無法通過禁令來解決這個問題。DeepSeek和Qwen可以從數十個鏡像站點和第三方平台下載。任何足夠廣泛以產生影響的禁令，在實踐中都將難以執行，並可能將與中國安全服務無關的衍生模型一併掃入其中。

美國可以做的是為通過美國基礎設施分發的AI模型建立最低安全標準。例如，針對中國 origin 連接車輛採取的商務部權力，可以擴展到通過美國雲平台提供的AI模型。為了限制中國模型在美國市場的採用，商務部可以規定，任何通過美國雲提供商分發的模型都必須滿足標準化安全評估的最低門檻，例如AI標準與創新中心開發的越獄基準——這將間接排除許多不安全的中國 origin AI模型。

管理能力提升風險，不需要禁止使用開放權重模型或採取封閉源的姿態——恰恰相反，有強有力的論據支持美國政府推廣開源AI。但美國基礎設施不應助長對惡意行為者不成比例有利的AI模型的發布。僅僅因為網路罪犯可以從暗網論壇下載零日漏洞利用，並不意味著相同的漏洞利用應該由Google或Amazon Web Services託管。

中國AI模型日益普及，正在為美國製造更深層次的戰略問題。美國的實驗室正在投入巨資購買計算能力：僅在2025年，超大規模雲端運算公司就投入了超過3500億美元用於AI基礎設施，而Project Stargate則預計未來四年將投入5000億美元用於AI數據中心。這種建設的假設是，前沿AI實驗室將繼續需要龐大、集中的昂貴計算集群，以向全球公眾提供其應用程式。但如果中國模型能夠在本地運行時提供具有競爭力的性能——在相當於Mac Mini的計算能力上，或通過價格極低的API調用——這可能會引發一場關於數千億美元基礎設施投資邊際效用的更廣泛討論。

當然，世界仍然受矽資源限制。有充分理由相信，為全球十億多每週AI用戶提供服務，在可預見的未來仍將需要巨大的計算能力。但中國開創的稀疏注意力模型架構的普及，可能會在邊際上侵蝕美國基礎設施投資的價值。如果「足夠好」的AI是免費提供的，那麼只能從美國數據中心提供的「一流」AI的溢價將會縮小。

中國的開放權重模型已經開始在價格敏感的市場佔據主導地位——甚至包括灣區的頂尖新創公司。在廣大的全球南方地區，DeepSeek和Qwen正成為開發者的預設選擇。新加坡國家AI計畫選擇Qwen作為其基礎，以及華為為非洲市場整合DeepSeek的決定，也可能標誌著AI基礎設施一帶一路戰略的開端。

正如美國在2010年代華為5G設備部署期間所學到的那樣，對這種威脅的應對不能是被動的。限制中國模型不會讓美國替代品在成本是關鍵限制因素的市場上更具吸引力。Qwen和DeepSeek之所以獲得全球市場份額，是因為它們以更低的成本、更寬鬆的許可證提供了具有競爭力的性能。如果美國希望全球南方國家在Llama而非Qwen的基礎上進行構建，那麼美國的模型必須保持更優質的產品——並且它們需要被廣泛地獲取。

特朗普政府已經認識到這一威脅，並開始建立機構機制來贏得AI傳播競賽。在2026年新德里AI影響峰會上，白宮科技政策辦公室主任Michael Kratsios提出了一個雄心勃勃的框架，旨在將美國AI堆疊出口到夥伴國家。這包括一個美國AI出口計畫和行業主導的聯盟，向夥伴國家提供全棧AI套件，並承諾加快出口許可證和專門的禮賓服務來撮合交易。一項國家冠軍計畫將把夥伴國家領先的AI公司整合到定制的美國出口套件中——承認即使在「美國優先」的技術戰略中，也為盟友的主權AI抱負留有空間。一個新的美國科技軍團（U.S. Tech Corps），以志願者服務隊（Peace Corps）為模式，將向發展中國家派遣技術志願者，以在公共服務領域進行最後一英里的AI部署。最後，財政部通過世界銀行和美國國際開發金融公司提供新的融資，以幫助全球南方選定的開發者獲取美國AI。

出口美國AI的基礎設施正在成形。其成功將取決於確保有具有競爭力的開放權重或同等低成本的美國產品可供出口。

國會和政府已經開始應對中國數位閘門的開啟。《聯邦設備禁用DeepSeek法案》（No DeepSeek on Government Devices Act），如果通過，將禁止聯邦僱員在政府提供的硬體上使用中國AI。《更廣泛的禁用敵對AI法案》（No Adversarial AI Act）將把禁令擴展到聯邦機構的所有運營，而維吉尼亞州、德克薩斯州和紐約州已經實施了州級禁令。其中一些措施是合理的初步回應，但每一項都只解決了中國AI問題集的一部分——這包括被污染的供應鏈、大規模情報收集、惡意行為者能力提升，以及美國幾代人對計算能力的投資的退化。

應對中國AI熱潮帶來的各種風險的最佳方法是，對在美國基礎設施上分發的模型實施最低安全標準，要求供應鏈透明化，並解決當中國模型更深入地嵌入美國及其夥伴的數位基礎設施時出現的風險如何隔離的問題。

美國需要能在競爭的地方競爭，在必須監管的地方監管，並且行動足夠快，以便美國和中國AI生態系統之間的選擇仍然是一個選擇，而不是一個既成事實。