Китайські ШІ-моделі з відкритими вагами набирають популярності: що це означає для суперництва зі США

Китайський виклик у сфері штучного інтелекту вже не зводиться до питання, чи здатна лабораторія створити модель, що зрівняється з провідною американською системою. Дедалі важливішим стає інше: хто зможе найдешевше передати потужні інструменти в руки найбільшої кількості розробників, компаній і державних установ.

DeepSeek, Kimi від Moonshot AI та Qwen від Alibaba зробили моделі з відкритими вагами центральною частиною цієї конкуренції. За оцінкою дослідників Стенфордського університету, китайські моделі з відкритими вагами швидко скоротили відставання — а в окремих сферах наздогнали або й випередили конкурентів за можливостями та поширенням. У вересні 2025 року сімейство Qwen також обійшло Meta Llama за кількістю завантажень на Hugging Face — найбільшій платформі для поширення моделей машинного навчання. 18

Для Вашингтона це створює непросту дилему. Обмеження китайських моделей може знизити ризики в чутливих середовищах. Але широка заборона здатна віддати Китаю відкритий рівень розвитку ШІ й позбавити користувачів частини прозорості та локального контролю, заради яких організації й обирають моделі, що можна розгорнути самостійно.

Відкриті ваги — це ще не повністю відкритий код

Модель з відкритими вагами — це система, параметри якої доступні для завантаження. Сторонні розробники можуть запускати її на власній інфраструктурі або адаптувати під конкретні завдання. На відміну від закритої моделі, користувачеві не обов’язково надсилати запити на сервери постачальника через застосунок чи API. 33

Однак публікація ваг не означає автоматичної наявності:

• оригінального коду тренування;
• навчальних даних і відомостей про їхнє походження;
• відтворюваного рецепта навчання;
• повних результатів оцінювання;
• необмежених прав на комерційне використання чи повторне поширення;
• прозорої інформації про фільтрацію, налаштування безпеки та процес розробки.

Тому слово «відкрита» потрібно оцінювати окремо для кожного релізу. Модель може бути доступною для завантаження, але складною для відтворення, обмеженою ліцензією або непрозорою щодо даних, які сформували її поведінку. Повністю відкритий ШІ — вищий стандарт, що передбачає змістовний доступ до коду, інформації про дані та інших компонентів, потрібних для дослідження й відтворення системи. 41

Ця різниця особливо важлива під час порівняння DeepSeek, Kimi та Qwen. Доступність, умови ліцензії й технічні розкриття можуть відрізнятися залежно від конкретного випуску, а публічні повідомлення не завжди встигають за змінами статусу моделі.

Китай змагається не лише за бенчмарки, а й за масштаби використання

Китайські лабораторії поєднали конкурентну якість із низькою ціною, ефективним використанням обчислювальних ресурсів і можливістю локального розгортання. Це дає стартапам, дослідникам і великим компаніям альтернативу повній залежності від дорогих американських API. Аналітичні та політичні дослідження описують своєрідне замкнене коло: дешеві релізи залучають користувачів, користувачі створюють інструменти й похідні моделі, а екосистема пришвидшує подальші розробки. 1720

Йдеться не лише про кількість людей, які спілкуються з чатботом. Кожне нове розгортання може сприяти появі:

• доопрацьованих і спеціалізованих похідних моделей;
• інструментів для розробників та інтеграцій;
• нових тестів, бенчмарків і звітів про помилки;
• звички працювати з певним сімейством моделей;
• комерційних залежностей і технічних стандартів за замовчуванням.

За даними Стенфордського аналізу, китайські розробники забезпечили 17,1% завантажень на Hugging Face у період із серпня 2024-го до серпня 2025 року — трохи більше, ніж американські розробники, на яких припало 15,8%. Інші публікації також фіксують зростання використання китайських моделей американськими компаніями, які прагнуть скоротити витрати. 1831

Якщо моделі китайського походження закріпляться у програмному забезпеченні, пристроях, державних сервісах та промислових системах у різних країнах, Пекін потенційно отримає вплив на технічні налаштування за замовчуванням, оновлення та суміжні ланцюги постачання. Це можливий геополітичний важіль, але не доказ того, що кожна локально розгорнута модель є скомпрометованою.

Дискусія про безпеку складається з кількох різних питань

Фраза «ризик китайського ШІ» може описувати щонайменше чотири окремі проблеми. Їх не варто змішувати.

1. Доступ до даних через хостинговий сервіс

Коли користувач надсилає запити, файли чи ідентифікатори сервісу, розміщеному в Китаї, ця інформація залишає його середовище й може підпадати під юрисдикцію постачальника та відповідне законодавство. Тому перед передаванням чутливих урядових, оборонних, медичних, інфраструктурних або корпоративних даних будь-якому зовнішньому сервісу потрібна формальна оцінка ризиків.

Локальний запуск змінює саме питання руху даних: за належної конфігурації запити й документи можуть залишатися всередині мережі організації. Але це не гарантує безпеки пакета моделі, програмного забезпечення для її запуску чи підключених інструментів.

2. Цензура, упередженість і поведінка моделі

Навчання та налаштування моделі можуть спричиняти політично зумовлені відмови, замовчування, специфічне подання фактів або дезінформацію. У звіті комітету Конгресу США стверджувалося, що хостингова версія DeepSeek передавала дані американців до Китаю та маніпулювала відповідями. Це висновки й твердження, наведені в межах розслідування Конгресу, а не доказ того, що кожен файл ваг для завантаження містить шкідливий код. 2

Поведінка хостингового продукту також може відрізнятися від поведінки похідної моделі, запущеної локально. На результат впливають оболонка сервісу, системні інструкції, модерація, пошукові інструменти та процес оновлення.

3. Бекдори та компрометація ланцюга постачання

Теоретично завантажений пакет моделі або пов’язане з ним програмне забезпечення можуть містити небезпечний код завантаження, отруєну поведінку чи приховані тригери. Але саме походження моделі з Китаю не є доказом наявності бекдора. Команди безпеки мають перевіряти походження файлів, хеші й цифрові підписи, аналізувати мережеву активність, ізолювати компоненти та тестувати весь стек розгортання.

4. Ризики закритих моделей

Закриті пропрієтарні моделі також створюють ризики концентрації та недостатньої підзвітності. Користувачі зазвичай не можуть перевірити їхні ваги, навчальні дані, приховані інструкції, телеметрію, фільтри чи процес оновлення. Централізовані API стають привабливими цілями для шпигунства, атак, збоїв і односторонніх змін політики.

Закритий доступ може спростити постачальнику моніторинг зловживань, запровадження оновлень безпеки та недопущення неконтрольованого поширення. Але це не робить модель автоматично надійною. Відкриті й закриті системи мають різні ризики та різні механізми контролю.

Чому локальний запуск — головний аргумент проти повної заборони

Самостійне розгортання може дати організації більше контролю над моделлю загроз. Команда безпеки здатна зафіксувати конкретну версію моделі, перевірити артефакти, обмежити зовнішні з’єднання, просканувати залежності, ізолювати сервіс, провести red-team-тестування та залишити чутливі запити у внутрішній інфраструктурі.

Відкритий доступ також дає незалежним дослідникам змогу відтворювати помилки й перевіряти упередженість або приховані тригери. Проте така прозорість не дорівнює автоматичній безпеці. Більшість організацій не здатні повністю перевірити засвоєну поведінку дуже великої моделі. Доопрацювання може створити нові вразливості, а ізольоване середовище захищає від витоку даних лише тоді, коли правильно налаштовано весь стек запуску.

Практичний висновок: оцінювати потрібно конкретне розгортання, а не лише етикетку моделі. API, розміщений у Китаї, перевірена локальна інсталяція та неперевірена похідна модель — це різні профілі ризику.

Дистиляція — центральна тема суперечки

Дистиляція — це метод, за якого меншу або новішу «учнівську» модель навчають на інформації, отриманій від потужнішої «вчительської» моделі.

• Дистиляція методом чорної скриньки використовує доступні зовнішні відповіді, часто зібрані через API-запити. За наявності дозволу це може бути легітимним методом, але масове вилучення відповідей може порушувати умови сервісу, обходити запобіжники або копіювати пропрієтарну поведінку.
• Дистиляція методом білої скриньки використовує внутрішню інформацію — наприклад, ваги, логіти або приховані стани. Вона може ефективніше переносити можливості, однак доступ до таких даних зазвичай потребує дозволу. Несанкціоноване отримання підвищує ризики для безпеки й комерційної таємниці.

OpenAI та Anthropic звинувачували китайські компанії, зокрема DeepSeek, у використанні відповідей моделей для навчання нових систем. Комісія США з аналізу економічних і безпекових відносин із Китаєм описувала твердження про шахрайські акаунти, проксі-сервіси та скоординоване вилучення даних. Reuters повідомляло про звинувачення OpenAI, що DeepSeek намагалася «безплатно скористатися» можливостями американських передових моделей. Це залишаються звинуваченнями, а не встановленими судом фактами. 35

Проблема для політиків полягає в тому, що дистиляцію методом чорної скриньки технічно важко відрізнити від законного масового використання. Водночас публічне доведення таких операцій може вимагати розкриття чутливих матеріалів розслідування. Тому не слід оголошувати незаконними всі форми дистиляції: за наявності дозволу це стандартний технічний метод.

Що це означає для Кремнієвої долини та Вашингтона

Китайські релізи з відкритими вагами тиснуть на американську бізнес-модель, побудовану навколо дорогих пропрієтарних API. Компаніям США доводиться вирішувати, чи захищає закритість ваг їхню технологічну перевагу — чи, навпаки, дозволяє Китаю та іншим конкурентам перехопити розробників, інтеграції та глобальне поширення.

Перевага Qwen над Llama за кількістю завантажень — один із конкретних сигналів, що конкуренція відкритих моделей має стратегічне значення. 18 Водночас доступні матеріали не підтверджують конкретних нинішніх кроків Nvidia або Meta у відповідь на DeepSeek V4 Pro чи Kimi K3. Заяви про реакцію окремих компаній потрібно прив’язувати до датованих першоджерел, а не виводити з ширшої зміни ринку.

Вашингтон посилює перевірки. Комітети Палати представників оголосили спільне розслідування ризиків для національної та кібербезпеки, пов’язаних із поширенням моделей, розроблених у КНР. Йдеться, зокрема, про недорогі системи з відкритими вагами та доступом через API від DeepSeek, Alibaba і Moonshot AI. 14

Повідомлення ЗМІ також описували дискусії про можливі обмеження. Однак надані докази не підтверджують, що США вже запровадили загальну комерційну заборону на китайські моделі з відкритими вагами. 912

Які варіанти політики можливі замість підходу «заборонити все»

Більш адресна система могла б поєднати кілька заходів:

1. Контролювати використання у сферах високого ризику. Вимагати дозволу або заборонити неперевірені моделі в обороні, розвідці, критичній інфраструктурі, чутливих державних системах та інших середовищах, де обробляються дані з високими наслідками витоку.
2. Встановити вимоги до безпечного розгортання. Для чутливих систем вимагати документування походження, підписаних пакетів, відомостей про склад програмного забезпечення, незалежного тестування, red-team-звітів і можливості ізоляції мережі.
3. Розрізняти хостингові сервіси та локальні ваги. API, розміщений у Китаї, створює інший ризик доступу до даних, ніж незалежно перевірений артефакт, запущений локально.
4. Боротися з несанкціонованим вилученням відповідей. Посилити верифікацію акаунтів, моніторинг частоти запитів, виявлення зловживань, методи встановлення походження моделей і договірне правозастосування, але не визначати будь-яку дистиляцію як крадіжку.
5. Застосовувати цільові експортні та інвестиційні обмеження. Зосередитися на передових чипах, обладнанні для виробництва, доступі до хмарних обчислень і суб’єктах, достовірно пов’язаних із військовим або розвідувальним використанням. Надто широкі обмеження водночас можуть пришвидшити створення китайських замінників.
6. Розвивати американську та союзницьку екосистему відкритих моделей. Інвестувати в безпечні, добре документовані системи, багатомовне оцінювання, ефективний запуск моделей та інструменти розгортання. Конкурентна альтернатива безпосередніше відповідає китайській стратегії поширення, ніж просте обмеження вибору користувачів. 10

Висновок

Китайські моделі з відкритими вагами змінюють ШІ-гонку, оскільки роблять потужні системи дешевшими для впровадження, простішими для адаптації та значно складнішими для стримування після публічного релізу. Їхнє стратегічне значення визначається не лише якістю конкретної моделі, а й масштабом екосистеми навколо неї.

Ризики для безпеки є серйозними — особливо щодо хостингових сервісів, чутливих даних, цілісності ланцюга постачання та можливого несанкціонованого використання дистиляції. Але національність розробника сама по собі не показує, чи є конкретне розгортання безпечним. Закриті американські моделі також не стають безризиковими лише тому, що їхні ваги недоступні.

Найбільш обґрунтована відповідь — ризик-орієнтована: захищати ланцюги постачання, обмежувати використання в чутливих сферах, розслідувати достовірні докази крадіжки можливостей моделей і будувати американську та союзницьку екосистему відкритих моделей, здатну конкурувати не тільки за результатами тестів, а й за масштабом поширення.