Открытые веса из Китая меняют гонку ИИ: что это значит для США

Китайский вызов в сфере ИИ теперь измеряется не только тем, может ли лаборатория создать модель, сопоставимую с передовой американской системой. Всё важнее становится вопрос распространения: кто сможет дать разработчикам, компаниям и государственным структурам достаточно мощный ИИ по минимальной цене.

DeepSeek, Kimi от Moonshot AI и Qwen от Alibaba сделали модели с открытыми весами центральным элементом этой конкуренции. Исследователи Стэнфордского университета отмечают, что китайские модели с открытыми весами быстро сократили разрыв — а в некоторых аспектах сравнялись или даже опередили зарубежных конкурентов — по возможностям и распространённости. В сентябре 2025 года семейство Qwen также обошло Meta Llama по числу загрузок на Hugging Face. 18

Для Вашингтона это создаёт непростую дилемму. Ограничения на китайские модели могут снизить риски в чувствительных средах, но широкий запрет способен отдать Китаю слой открытой разработки и лишить пользователей прозрачности и локального контроля — именно тех преимуществ, ради которых организации разворачивают модели у себя.

«Открытые веса» — это ещё не полностью открытый исходный код

Модель с открытыми весами публикует обученные параметры, чтобы сторонние разработчики могли скачать, запустить или адаптировать готовую систему. Это принципиально отличается от закрытой модели, которой обычно пользуются через приложение или API под контролем поставщика. 33

Однако публикация весов сама по себе не означает, что доступны:

• исходный код обучения;
• обучающие данные и сведения об их происхождении;
• воспроизводимая методика обучения;
• полный набор результатов тестирования;
• неограниченные права на коммерческое использование и повторное распространение;
• прозрачная информация о фильтрации, настройке безопасности и процессе разработки.

Поэтому степень «открытости» нужно оценивать для каждого релиза отдельно. Модель может быть доступна для скачивания, но при этом оставаться невоспроизводимой, распространяться по ограничительной лицензии или не раскрывать, какие данные сформировали её поведение. Полностью открытый ИИ — более строгий стандарт, предполагающий содержательный доступ к коду, информации об обучающих данных и другим компонентам, необходимым для изучения и воспроизведения системы. 41

Это различие особенно важно при сравнении DeepSeek, Kimi и Qwen. Условия доступа, лицензии и объём технических раскрытий могут меняться от версии к версии, а публичные публикации не всегда успевают за обновлениями статуса модели.

Китай конкурирует не только за баллы в бенчмарках

Китайские лаборатории сочетают близкую к передовой производительность с низкой стоимостью, эффективным использованием вычислительных ресурсов и возможностью локального развертывания. Для стартапов, исследователей и предприятий это альтернатива полной зависимости от дорогих американских API. Исследования и аналитические отчёты описывают своеобразную петлю обратной связи: дешёвые релизы привлекают пользователей, пользователи создают инструменты и производные модели, а растущая экосистема ускоряет дальнейшие улучшения. 1720

Речь идёт не только о количестве людей, общающихся с чат-ботом. Каждое развертывание может порождать:

• дообученные и специализированные версии;
• инструменты для разработчиков и интеграции;
• новые тесты, отчёты об ошибках и исправления;
• привычку использовать конкретное семейство моделей;
• коммерческие зависимости и технические настройки по умолчанию.

По данным анализа Стэнфорда, на китайских разработчиков пришлось 17,1% загрузок с Hugging Face в период с августа 2024 года по август 2025 года — немного больше, чем на американских разработчиков, которым принадлежало 15,8%. 18 Другие публикации также фиксировали растущее использование китайских моделей американскими компаниями, стремящимися сократить расходы. 31

Если модели китайского происхождения окажутся встроены в программное обеспечение, устройства, государственные сервисы и промышленные системы по всему миру, Пекин потенциально получит влияние на технические стандарты по умолчанию, обновления и связанные цепочки поставок. Это возможный рычаг геополитического влияния, но не доказательство того, что каждая локально установленная модель скомпрометирована.

У споров о безопасности есть несколько разных уровней

Выражение «риск китайского ИИ» может обозначать как минимум четыре разные проблемы. Смешивать их в одну категорию не стоит.

1. Доступ к данным через облачный сервис

Когда пользователь отправляет запросы, документы или идентификаторы в сервис, размещённый в Китае, информация покидает его среду и может подпадать под юрисдикцию поставщика и действующее законодательство. Поэтому государственные, оборонные, медицинские, инфраструктурные и коммерческие данные требуют формальной оценки рисков перед передачей любому внешнему сервису.

Локальный запуск меняет именно этот вопрос о движении данных: при правильно настроенной инфраструктуре запросы и документы можно оставить внутри сети организации. Но это не гарантирует безопасность самого файла модели, программного обеспечения для её обслуживания или подключённых инструментов.

2. Цензура, предвзятость и поведение модели

Обучение и настройка модели могут приводить к политически обусловленным отказам, умолчаниям, особенностям формулировок или дезинформации. В отчёте комитета Конгресса США утверждалось, что облачный продукт DeepSeek передавал данные американцев в Китай и манипулировал ответами. Это выводы и обвинения в рамках расследования Конгресса, а не доказательство того, что каждый доступный для скачивания файл весов содержит вредоносный код. 2

Поведение облачного продукта также может отличаться от поведения производной версии, запущенной локально. На результат влияют оболочка сервиса, системные инструкции, модерация, инструменты поиска и извлечения данных, а также процесс обновления.

3. Бэкдоры и компрометация цепочки поставок

Теоретически загруженный пакет модели или сопутствующее программное обеспечение могут содержать небезопасный код загрузки, отравленное поведение или скрытые триггеры. Но страна происхождения сама по себе не доказывает наличие бэкдора. Командам безопасности необходимо проверять происхождение файлов, хэши и цифровые подписи, анализировать сетевую активность, изолировать компоненты и тестировать весь стек развертывания.

4. Риски закрытых моделей

Закрытые коммерческие модели тоже несут риски концентрации и ограниченной подотчётности. Пользователи, как правило, не могут проверить их веса, обучающие данные, скрытые инструкции, телеметрию, фильтры или процесс обновления. Централизованные API становятся привлекательными целями для слежки, атак, сбоев и односторонних изменений политики.

Закрытый доступ упрощает для поставщика мониторинг злоупотреблений, внедрение обновлений безопасности и предотвращение неконтролируемого копирования. Но это не делает модель автоматически надёжной. Открытые и закрытые системы просто создают разные риски и предлагают разные виды контроля.

Почему локальный запуск — главный аргумент против полного запрета

Самостоятельное развертывание позволяет организации лучше контролировать собственную модель угроз. Команда безопасности может зафиксировать конкретную версию, проверить артефакты, ограничить исходящие соединения, просканировать зависимости, изолировать сервис, провести тестирование на проникновение и оставить чувствительные запросы во внутренней инфраструктуре. Открытый доступ также позволяет независимым исследователям воспроизводить сбои и изучать предвзятость или скрытые триггеры.

Но прозрачность не равна автоматической безопасности. Большинство организаций не способны полностью проверить выученное поведение очень крупной модели. Дообучение может добавить новые уязвимости, а изолированная от интернета система защищает от утечки данных только в том случае, если корректно настроен весь стек обслуживания.

Практический вывод: оценивать следует конкретный способ развертывания, а не только ярлык модели. API, размещённый в Китае, проверенная локальная установка и непроверенная производная версия — это разные профили риска.

Дистилляция — центр технологического и политического спора

Дистилляция — это обучение меньшей или более новой «ученической» модели с использованием информации от более мощной «учительской» модели.

• Чёрный ящик: ученическая модель обучается на наблюдаемых ответах учительской, часто полученных через API. При наличии разрешения это может быть легитимным методом. Но массовый сбор ответов способен нарушать условия использования, обходить защитные механизмы или копировать защищённое поведение.
• Белый ящик: для обучения используются внутренние данные — например, веса, логиты или скрытые состояния. Такой подход эффективнее переносит возможности, но обычно требует разрешённого доступа к закрытым компонентам. Несанкционированное получение этих данных вызывает более прямые вопросы о безопасности и коммерческой тайне.

OpenAI и Anthropic обвиняли китайские компании, включая DeepSeek, в использовании ответов моделей при обучении новых систем. Комиссия Конгресса США по экономическим и отношениям в сфере безопасности с Китаем описывала обвинения, связанные с мошенническими аккаунтами, прокси-сервисами и координированным извлечением данных. Reuters сообщало, что OpenAI обвинила DeepSeek в попытке «ехать бесплатно» на возможностях американских передовых моделей. Эти заявления остаются обвинениями, а не установленными в суде или другом официальном разбирательстве фактами. 35

Проблема для регуляторов в том, что чёрный ящик технически может выглядеть как обычное интенсивное использование, а публичное доказательство массового извлечения иногда потребует раскрыть чувствительные материалы расследования. Поэтому нельзя объявлять незаконной любую дистилляцию: разрешённая дистилляция — стандартный технический метод.

Что это означает для Кремниевой долины и Вашингтона

Китайские релизы с открытыми весами давят на американскую бизнес-модель, построенную вокруг дорогих проприетарных API. Компаниям США приходится решать, защищает ли закрытость весов технологическое преимущество или, напротив, позволяет китайским и другим конкурентам завоевать разработчиков, интеграции и глобальное распространение.

Лидерство Qwen по загрузкам над Llama — конкретный признак того, что борьба за открытые модели имеет значение. 18 При этом доступные материалы не подтверждают конкретную текущую реакцию Nvidia или Meta на DeepSeek V4 Pro либо Kimi K3. Заявления о действиях отдельных компаний следует связывать с датированными первичными источниками, а не выводить из общего рыночного сдвига.

Вашингтон усиливает контроль. Комитет Палаты представителей по внутренней безопасности и Специальный комитет Палаты представителей по Китаю объявили совместное расследование рисков для национальной безопасности и кибербезопасности, связанных с распространением моделей, разработанных в КНР, включая недорогие системы с открытыми весами и доступом через API от DeepSeek, Alibaba и Moonshot AI. 14

Публикации также сообщали о возможных ограничениях, однако представленные источники не подтверждают, что США уже ввели полный коммерческий запрет на китайские модели с открытыми весами. 912

Какие меры возможны вместо принципа «запретить всё»

Более точечная политика могла бы сочетать несколько инструментов:

1. Контроль опасных сценариев. Требовать разрешения или запрещать непроверенные модели в обороне, разведке, критической инфраструктуре, чувствительных государственных системах и других средах, где обрабатываются данные высокого риска.
2. Требования к безопасному развертыванию. Ввести обязательные сведения о происхождении файлов, цифровые подписи, перечни компонентов программного обеспечения, независимые проверки, результаты red team-тестов и возможность изоляции сети для чувствительных установок.
3. Разделять облачные сервисы и локальные веса. API, размещённый в Китае, создаёт иной риск доступа к данным, чем независимо проверенный артефакт, запущенный внутри организации.
4. Пресекать несанкционированное извлечение. Улучшать проверку аккаунтов, мониторинг частоты запросов, обнаружение злоупотреблений, методы подтверждения происхождения моделей и договорное правоприменение, не объявляя любую дистилляцию кражей.
5. Применять адресные экспортные и инвестиционные ограничения. Сосредоточиться на передовых чипах, оборудовании для их производства, облачных вычислениях и организациях, убедительно связанных с военным или разведывательным применением. При этом слишком широкие ограничения могут ускорить создание китайских заменителей.
6. Развивать американскую и союзническую экосистему открытых моделей. Инвестировать в безопасные и хорошо документированные системы, многоязычные тесты, эффективный инференс и инструменты развертывания. Конкурентная альтернатива напрямую отвечает на китайскую стратегию распространения, а не просто ограничивает выбор пользователей. 10

Главное

Китайские модели с открытыми весами меняют гонку ИИ, потому что делают мощные системы дешевле для внедрения, проще для адаптации и практически невозможными для сдерживания после публикации. Их стратегическое значение определяется не только качеством самой модели, но и масштабом экосистемы вокруг неё.

Риски безопасности реальны — особенно для облачных сервисов, чувствительных данных, целостности цепочки поставок и возможной несанкционированной дистилляции. Но национальность модели не говорит сама по себе, безопасна ли конкретная установка. Закрытые американские модели также не становятся безрисковыми только потому, что их веса недоступны.

Наиболее обоснованный ответ — риск-ориентированный: защищать цепочки поставок, ограничивать чувствительные сценарии, расследовать убедительные свидетельства кражи возможностей моделей и строить американскую и союзническую экосистему открытого ИИ, способную конкурировать не только по производительности, но и по масштабу распространения.