Chińskie modele AI z otwartymi wagami zdobywają użytkowników. Co to oznacza dla rywalizacji z USA?

Chińskie laboratoria AI coraz rzadziej rywalizują z USA wyłącznie o tytuł twórcy najlepszego modelu. Ważniejsze staje się to, kto potrafi dostarczyć wystarczająco dobre narzędzie największej liczbie programistów, firm i instytucji — możliwie tanio i bez konieczności korzystania z zagranicznego API.

DeepSeek, Kimi firmy Moonshot AI oraz rodzina Qwen należąca do Alibaby uczyniły modele z otwartymi wagami jednym z głównych pól tej rywalizacji. Analiza badaczy ze Stanfordu wskazuje, że chińskie modele szybko zmniejszyły dystans do zagranicznych konkurentów, a w niektórych obszarach zdołały ich dogonić lub wyprzedzić pod względem możliwości i adopcji. We wrześniu 2025 r. Qwen stał się najczęściej pobieraną rodziną dużych modeli językowych na platformie Hugging Face, wyprzedzając Lamę należącą do Mety. 18

Dla Waszyngtonu tworzy to trudny dylemat. Ograniczenie chińskich modeli może zmniejszyć ryzyko w najbardziej wrażliwych zastosowaniach. Szeroki zakaz mógłby jednak oddać Chinom warstwę otwartego rozwoju AI i pozbawić użytkowników przejrzystości oraz kontroli, które są głównymi argumentami za uruchamianiem modeli we własnej infrastrukturze.

„Otwarte wagi” nie oznaczają w pełni otwartego oprogramowania

Model z otwartymi wagami udostępnia wytrenowane parametry, czyli ogromny zestaw liczb określających sposób działania systemu. Dzięki temu osoby trzecie mogą pobrać gotowy model, uruchomić go na własnym sprzęcie albo dostosować do konkretnego zadania. To zasadnicza różnica w porównaniu z modelem zamkniętym, z którego korzysta się zazwyczaj przez aplikację lub kontrolowane przez dostawcę API. 33

Samo udostępnienie wag nie gwarantuje jednak dostępu do:

• oryginalnego kodu treningowego,
• danych wykorzystanych do trenowania i informacji o ich pochodzeniu,
• możliwej do odtworzenia procedury treningowej,
• pełnych wyników testów,
• nieograniczonych praw do komercyjnego użycia i redystrybucji,
• informacji o filtrowaniu danych, dostrajaniu bezpieczeństwa i procesie rozwoju modelu.

Dlatego określenie „otwarty” trzeba oceniać osobno dla każdej wersji. Model może być dostępny do pobrania, a jednocześnie trudny do odtworzenia, objęty restrykcyjną licencją lub nieprzejrzysty pod względem danych, które ukształtowały jego zachowanie. W pełni otwartoźródłowa AI oznacza wyższy standard: istotny dostęp do kodu, informacji o danych i innych elementów potrzebnych do badania oraz reprodukcji systemu. 41

To rozróżnienie ma znaczenie przy porównywaniu DeepSeek, Kimi i Qwen. Dostępność wag, warunki licencyjne i zakres ujawnionych informacji mogą różnić się między kolejnymi wydaniami, a doniesienia medialne nie zawsze nadążają za zmianami statusu poszczególnych modeli.

Chiny konkurują o adopcję, nie tylko o wyniki benchmarków

Chińskie firmy połączyły konkurencyjną jakość z niskimi cenami, efektywnym wykorzystaniem sprzętu i możliwością lokalnego uruchamiania modeli. Dla startupów, badaczy i przedsiębiorstw oznacza to alternatywę wobec całkowitego uzależnienia od drogich, hostowanych w USA interfejsów API. Analizy branżowe i badania polityki technologicznej opisują mechanizm sprzężenia zwrotnego: tanie wydania przyciągają użytkowników, użytkownicy tworzą narzędzia i modele pochodne, a rozwijający się ekosystem przyspiesza kolejne iteracje. 1720

Znaczenie ma nie tylko liczba osób korzystających z chatbota. Każde wdrożenie może generować:

• dostrojone i wyspecjalizowane modele pochodne,
• narzędzia dla programistów i integracje z istniejącym oprogramowaniem,
• nowe benchmarki, zgłoszenia błędów i poprawki,
• znajomość konkretnej rodziny modeli,
• zależności komercyjne oraz utrwalone standardy techniczne.

Według analizy Stanfordu chińscy twórcy modeli otwartych odpowiadali za 17,1 proc. pobrań na Hugging Face między sierpniem 2024 a sierpniem 2025, nieznacznie wyprzedzając twórców z USA, którzy odpowiadali za 15,8 proc. 18 Inne doniesienia wskazują również na rosnące wykorzystanie chińskich modeli przez amerykańskie firmy szukające niższych kosztów. 31

Jeśli modele chińskiego pochodzenia zostaną wbudowane w oprogramowanie, urządzenia, usługi publiczne i systemy przemysłowe na całym świecie, Pekin może zyskać wpływ na domyślne rozwiązania techniczne, aktualizacje i powiązane łańcuchy dostaw. To potencjalny instrument geopolityczny — nie dowód na to, że każdy lokalnie uruchomiony model został naruszony lub celowo skompromitowany.

„Ryzyko chińskiej AI” to kilka różnych problemów

Debata często wrzuca do jednego worka kwestie, które wymagają odrębnej oceny.

1. Dostęp do danych w usługach hostowanych

Gdy użytkownik wysyła prompty, pliki lub identyfikatory do usługi działającej na chińskich serwerach, informacje opuszczają jego środowisko. Mogą podlegać jurysdykcji dostawcy i obowiązującym przepisom. Dane rządowe, obronne, zdrowotne, infrastrukturalne i poufne informacje biznesowe nie powinny trafiać do zewnętrznego serwisu bez formalnej analizy ryzyka.

Lokalne uruchomienie modelu zmienia konkretny problem przepływu danych: prawidłowo skonfigurowana infrastruktura może zatrzymać prompty i dokumenty w sieci organizacji. Nie gwarantuje jednak bezpieczeństwa samego pakietu modelu, oprogramowania serwerowego ani połączonych narzędzi.

2. Cenzura, uprzedzenia i zachowanie modelu

Dane treningowe i dostrajanie mogą prowadzić do politycznie uwarunkowanych odmów, przemilczeń, określonego sposobu przedstawiania faktów lub dezinformacji. Raport komisji Kongresu USA zarzucił hostowanej usłudze DeepSeek przekazywanie danych Amerykanów do Chin oraz manipulowanie odpowiedziami. Są to ustalenia i zarzuty kongresowego postępowania, a nie dowód, że każdy pobierany plik z wagami zawiera złośliwy kod. 2

Zachowanie produktu hostowanego może też różnić się od zachowania lokalnego modelu pochodnego. Na odpowiedzi wpływają między innymi nakładka aplikacyjna, prompty systemowe, warstwa moderacji, narzędzia wyszukiwania oraz sposób dostarczania aktualizacji.

3. Tylne furtki i kompromitacja łańcucha dostaw

Pobrany pakiet modelu lub towarzyszące mu oprogramowanie może teoretycznie zawierać niebezpieczny kod ładowania, zatrute zachowanie albo ukryte wyzwalacze. Sam kraj pochodzenia nie jest jednak dowodem istnienia tylnej furtki. Zespół bezpieczeństwa powinien sprawdzić pochodzenie plików, sumy kontrolne i podpisy, przeanalizować komunikację sieciową, uruchomić komponenty w piaskownicy oraz przetestować cały stos wdrożeniowy.

4. Ryzyka modeli zamkniętych

Zamknięte, komercyjne modele również niosą ryzyko koncentracji i ograniczonej rozliczalności. Użytkownik zazwyczaj nie może sprawdzić ich wag, danych treningowych, ukrytych promptów, telemetrii, filtrów ani procesu aktualizacji. Scentralizowane API mogą stać się atrakcyjnym celem dla nadzoru, ataków, awarii i jednostronnych zmian polityki dostawcy.

Zamknięty dostęp ułatwia dostawcy monitorowanie nadużyć, wdrażanie poprawek bezpieczeństwa i zapobieganie niekontrolowanej redystrybucji. Nie czyni jednak modelu automatycznie godnym zaufania. Systemy otwarte i zamknięte mają różne profile ryzyka oraz różne mechanizmy kontroli.

Dlaczego lokalny hosting przemawia przeciwko całkowitemu zakazowi

Samodzielne uruchamianie modelu może dać organizacji większą kontrolę nad zagrożeniami. Zespół bezpieczeństwa może przypiąć konkretną wersję, zweryfikować artefakty, ograniczyć połączenia wychodzące, skanować zależności, odizolować usługę, przeprowadzić testy typu red team i przechowywać wrażliwe prompty w wewnętrznej infrastrukturze.

Otwarty dostęp ułatwia też niezależnym badaczom odtwarzanie błędów oraz analizowanie uprzedzeń i ukrytych wyzwalaczy. Nie oznacza to jednak automatycznego bezpieczeństwa. Większość organizacji nie jest w stanie w pełni skontrolować wyuczonego zachowania bardzo dużego modelu. Dostrajanie może wprowadzać nowe podatności, a środowisko odizolowane od internetu chroni przed wyciekiem danych tylko wtedy, gdy poprawnie skonfigurowano cały stos serwujący model.

Najważniejsza lekcja brzmi: należy oceniać konkretne wdrożenie, a nie samą etykietę modelu. Chińskie API działające w chmurze, audytowane wdrożenie lokalne i niezweryfikowany model pochodny to trzy różne sytuacje bezpieczeństwa.

Destylacja w centrum sporu

Destylacja polega na trenowaniu mniejszego lub nowszego modelu „ucznia” przy wykorzystaniu informacji pochodzących od silniejszego modelu „nauczyciela”.

• Destylacja czarnoskrzynkowa korzysta z obserwowalnych odpowiedzi modelu, często zbieranych przez zapytania do API. Może być legalną i uzgodnioną metodą, ale masowe pobieranie odpowiedzi może naruszać regulamin usługi, omijać zabezpieczenia albo kopiować zastrzeżone zachowanie.
• Destylacja białoskrzynkowa wykorzystuje informacje wewnętrzne, takie jak wagi, logity, stany ukryte lub szczegóły architektury. Pozwala efektywniej przenosić zdolności, lecz dostęp do takich danych zazwyczaj wymaga autoryzacji. Ich pozyskanie bez zgody rodzi bardziej bezpośrednie problemy związane z bezpieczeństwem i tajemnicą przedsiębiorstwa.

OpenAI i Anthropic zarzuciły chińskim firmom, w tym DeepSeek, wykorzystywanie odpowiedzi ich modeli do treningu konkurencyjnych systemów. Komisja Kongresu USA ds. Gospodarczych i Bezpieczeństwa USA–Chiny opisała zarzuty dotyczące fałszywych kont, usług proxy i skoordynowanego pozyskiwania odpowiedzi. Reuters cytował również zarzut OpenAI, że DeepSeek próbuje „jechać na gapę” na możliwościach amerykańskich modeli frontierowych. Są to nadal zarzuty, a nie rozstrzygnięte ustalenia sądu lub innego organu orzekającego. 35

Problem dla regulatorów polega na tym, że czarnoskrzynkową ekstrakcję trudno technicznie odróżnić od legalnego korzystania z usługi na dużą skalę. Jednocześnie publiczne udowodnienie takich działań może wymagać ujawnienia wrażliwych materiałów śledczych. Nie należy więc uznawać każdej destylacji za kradzież — autoryzowana destylacja jest standardową metodą techniczną.

Co to oznacza dla Doliny Krzemowej i Waszyngtonu?

Chińskie modele z otwartymi wagami wywierają presję na amerykański model biznesowy oparty na drogich, zamkniętych interfejsach API. Firmy z USA muszą rozstrzygnąć, czy ukrywanie wag pozwoli im utrzymać przewagę, czy też odda chińskim i innym konkurentom programistów, integracje oraz globalną dystrybucję.

Przewaga Qwen nad Lamą pod względem liczby pobrań to konkretny sygnał, że rywalizacja o modele otwarte ma strategiczne znaczenie. 18 Dostępne materiały nie pozwalają natomiast potwierdzić konkretnej, aktualnej reakcji Nvidii ani Mety na DeepSeek V4 Pro lub Kimi K3. Twierdzenia o działaniach poszczególnych firm powinny opierać się na datowanych, pierwotnych komunikatach, a nie na wnioskach wyciąganych z ogólnego trendu rynkowego.

Waszyngton zwiększa kontrolę nad tym zjawiskiem. Komisje Izby Reprezentantów ogłosiły wspólne dochodzenie dotyczące zagrożeń dla bezpieczeństwa narodowego i cyberbezpieczeństwa związanych z wdrażaniem modeli opracowanych w Chińskiej Republice Ludowej. Dochodzenie obejmuje tanie modele z otwartymi wagami i systemy dostępne przez API, między innymi DeepSeek, Alibabę i Moonshot AI. 14

Media opisywały również rozmowy o możliwych ograniczeniach. Dostępne dowody nie potwierdzają jednak, że USA wprowadziły całkowity komercyjny zakaz korzystania z chińskich modeli z otwartymi wagami. 912

Możliwe rozwiązania między „zakazać wszystkiego” a „nic nie robić”

Bardziej celowana polityka mogłaby połączyć kilka instrumentów:

1. Kontrola zastosowań wysokiego ryzyka. Wymagać zgody lub zakazać używania niezweryfikowanych modeli w obronności, wywiadzie, infrastrukturze krytycznej, wrażliwych systemach państwowych i środowiskach przetwarzających dane o dużym znaczeniu.
2. Wymogi bezpiecznego wdrożenia. Wprowadzić obowiązek dokumentowania pochodzenia, podpisywania pakietów, tworzenia wykazów komponentów oprogramowania, niezależnych testów, raportów red team oraz możliwości izolacji sieciowej w zastosowaniach wrażliwych.
3. Rozróżnienie usług hostowanych i lokalnych wag. Chińskie API działające w chmurze tworzy inne ryzyko dostępu do danych niż niezależnie audytowany artefakt uruchomiony lokalnie.
4. Ściganie nieautoryzowanej ekstrakcji. Usprawnić weryfikację kont, monitorowanie częstotliwości zapytań, wykrywanie nadużyć, techniki ustalania pochodzenia modeli i egzekwowanie umów — bez uznawania każdej destylacji za bezprawną.
5. Celowane kontrole eksportu i inwestycji. Skupić się na zaawansowanych układach scalonych, sprzęcie do ich produkcji, dostępie do chmury obliczeniowej oraz podmiotach wiarygodnie powiązanych z zastosowaniami wojskowymi lub wywiadowczymi. Zbyt szerokie restrykcje mogą jednak przyspieszyć rozwój chińskich zamienników.
6. Budowa amerykańskiego i sojuszniczego ekosystemu modeli otwartych. Inwestować w bezpieczne i dobrze udokumentowane modele, wielojęzyczne testy, wydajne wnioskowanie oraz narzędzia do wdrażania. Konkurencyjna alternatywa odpowiada na chińską strategię adopcji bardziej bezpośrednio niż samo ograniczanie wyboru użytkowników. 10

Wniosek

Chińskie modele z otwartymi wagami zmieniają wyścig AI, ponieważ pozwalają taniej wdrażać zaawansowane systemy, łatwiej je dostosowywać i trudniej ograniczyć ich rozpowszechnianie po publikacji. Ich strategiczne znaczenie wynika więc nie tylko z jakości samego modelu, lecz także ze skali całego ekosystemu.

Ryzyka bezpieczeństwa są realne — szczególnie w przypadku usług hostowanych, wrażliwych danych, integralności łańcucha dostaw i zarzutów o nieautoryzowaną destylację. Samo pochodzenie modelu nie mówi jednak, czy dane wdrożenie jest bezpieczne. Zamknięte modele amerykańskie również nie są wolne od ryzyka tylko dlatego, że ich wagi nie zostały udostępnione.

Najbardziej uzasadniona odpowiedź powinna więc opierać się na analizie ryzyka: zabezpieczeniu łańcucha dostaw, ograniczeniu zastosowań wrażliwych, badaniu wiarygodnych dowodów kradzieży możliwości modeli oraz budowie amerykańskiego i sojuszniczego ekosystemu otwartych modeli, który będzie konkurował nie tylko wydajnością, ale i zasięgiem dystrybucji.