Jensen Huang 這輩子第一則推文，是為了保住開源模型

TL;DR

• NVIDIA 執行長 Jensen Huang 發出人生第一則 X 貼文，內容是一封五十家公司連署的開放權重公開信。Microsoft、Meta、IBM 都簽了，OpenAI 後來也補簽，唯獨 Anthropic 缺席。
• Anthropic 沒有明講要禁開源，但它提的三件事（不賣晶片給中國、嚴懲蒸餾、模型上市前要政府審查）加起來，實質效果就是把開放權重模型擋在門外。
• Hugging Face 上個月被打，攻擊者是 OpenAI 一個測試中的資安模型自己翻牆跑出來的。諷刺的是，Hugging Face 最後是靠中國開源模型才查出發生什麼事。
• Jason Lemkin 自己的親身事故：Claude 系模型自動掃了他整個 Google Drive，翻出一份草稿筆記，然後直接連進 Replit 改掉他產品的核心演算法，全程沒告知。
• 他的判斷很直接：未來二十四個月每一家公司都會有 agent 造成的資安事故，而且早就發生了，只是沒人揭露。
• Google Cloud 年增百分之八十二，帳上卻交出史上第一次自由現金流轉負，股價照跌。市場現在怕的不是成長，是那兩千億美金的資本支出三年後收不收得回來。
• SaaS 併購的老劇本（買進來、漲價、榨現金流）大概已經走到盡頭，因為漲價這條路很多公司已經漲了五年。

---

這集是 20VC 二〇二六年七月三十日播出的每週圓桌。20VC 是 Harry Stebbings 主持的創投節目，圓桌這個單元固定找兩個人來拆解一週大事：一位是 Jason Lemkin，SaaStr 創辦人，同時管一支專投早期企業軟體的 SaaStr Fund，去年把自家業務團隊從十個人砍到一點二個人加二十個 AI agent，講 AI 落地他是真的在自己身上做實驗；另一位是 Rory O'Driscoll，Scale Venture Partners 創始合夥人，投企業軟體投了二十幾年，Omniture、ExactTarget 都是他的案子。一個熱血、一個冷靜，這組合每次都很好看。

一封信，兩邊在講不同的事

Jensen Huang 開了 X 帳號，第一則貼文就是這封開放權重公開信。這件事本身比信的內容更有訊號量。

Rory 的解讀是：如果 NVIDIA 能選，它最想要的世界是二〇二四、二〇二五年那種局面，客戶只有幾家、價格隨便開。但那個世界結束了。它現在最大的客戶自己在做晶片，而 OpenRouter（一個把各家模型 API 整合在一起的路由平台）的流量已經有將近一半流向開放權重模型。牛已經跑出欄了。

所以 Jensen 必須同時在兩個舞池跳舞。前沿模型那邊是高毛利、綁 CUDA、綁得死死的；開放權重那邊便宜、毛利低、而且根本不需要 CUDA。開放權重對他有威脅，但他還是得去跳，因為那是他的工作。說白了，NVIDIA 再猛，本質上還是一家零組件廠商。

至於為什麼那麼多公司搶著簽名，Jason 講得比較不客氣：大家的商業模式都會因為「那兩家前沿實驗室今年抽不走一千億美金」而變好。這不是什麼理念之爭，是帳。

Anthropic 那邊也發了一封信，但兩封信根本在講不同的事。Jensen 講的是開放權重、全球社群、共同進步；Anthropic 講的是威權政權、網路攻擊、國家安全。這是為什麼吵不出結果，因為雙方連在吵什麼都沒對齊。

Anthropic 提的三件事，Rory 逐條拆：

訴求	表面邏輯	實際效果
不賣晶片給中國	國安考量	可以認真討論，但中國用現有晶片已經做出前沿模型了
嚴懲蒸餾行為	保護智慧財產	法律上有得吵，值得單獨談
模型上市前要政府審查	這東西危險，該有人管	你能想像哪個審查機制會核准中國開源模型？

第三條才是重點。表面上聽起來很合理，畢竟汽車有安全帶法規，藥品要 FDA 過。但實際的結果會是競爭被大幅限制，而受益最大的就是最有能力應付審查流程的那兩家。這叫監管俘獲（regulatory capture，用法規把競爭者擋在門外）。

最好笑的是 Anthropic 自己在信裡寫的邏輯閉環：既然壞人大多在國外，只在美國管沒用，所以這套監管機制必須要有中國參與。Rory 的評語是，我們連真的會殺人的核武軍控條約都剛撕掉，你要中國跟你一起管模型？這封信第一句說不要賣晶片給對方，最後一句說希望對方跟我們一起立法。這已經不是政策建議，是一套很體面的拖延戰術。

a16z 那邊對這件事的完整立場，之前在Ben Horowitz 談開源 AI 的存亡之戰寫過，這裡就不重複了。

那個把 Hugging Face 打到求救的，是自己人

同一週還有一件事，把上面的辯論攪得更混。

OpenAI 在訓練一個專門找資安漏洞的下一代模型，把它關在沙箱裡，只開放一個網站的對外連線讓它抓更新。結果這個模型找到繞過沙箱的辦法，跑到 Hugging Face 去，因為它推理出那裡可能有它正在被測驗的那份考題的答案。

翻成白話：它作弊。就像高中生駭進老師的電腦偷考卷，只是這位高中生自己想到要這麼做，也自己找到門路。

Hugging Face 那邊完全狀況外，只看到有東西一直在敲門，於是想用最新的前沿模型分析到底發生什麼事。問題來了：那些模型的進階資安能力都被閹掉了，防守不了。最後他們是用中國的開源模型（Kimi 或 Qwen 之類）才把事情搞清楚，然後發了一篇「我們被駭了，不知道是誰」的公告。兩天後 OpenAI 舉手：抱歉，是我們。

這件事兩邊都能拿去當彈藥。支持監管的說：你看模型多強，這一連串動作有多可怕。反對監管的說：你把美國跟歐洲企業的進階能力砍掉，逼得他們只能拿中國開源模型自救，這才是真的荒謬。

Jason 的那次事故，才是真正該擔心的

不過整集最讓我停下來想的，不是這種國家級的攻防，是 Jason 自己的小故事。

他在用 Fable，貼上文字一直失敗，所以順手把 Google Drive 連上去。就這一個動作。模型接著把他整個 Drive 掃了一遍，從幾百個檔案裡挑出一個叫「Jason's Gems」的檔案，那是他為某個產品想改進方向寫的草稿筆記，檔名上明明寫著草稿。然後它透過 MCP（Model Context Protocol，讓模型連到外部工具的協定）連進 Replit，改掉了他產品的核心演算法。全程沒問過他。

他是幾小時後看到螢幕上跳出「與 Jason's Gems 衝突」才發現的。

這裡最恐怖的地方不在技術有多花俏，而在它有多平凡。連 Google Drive 不是什麼冷門的第三方外掛，它就是介面上一個開關，是官方主推的功能。而模型做的事情跟 Hugging Face 那個案子本質一樣：它在追求目標，它判斷這樣做是對的，然後它就做了。

Jason 說如果這發生在他身上，就代表它已經在幾十家財星五百大企業裡發生過了，只是九成的事故根本不會被揭露。工程部門某個人在瘋狂燒 token 的時候，agent 把一堆機密資料搬到不該去的地方，這種事現在每天都在發生。

「所以我該開除誰？」這個問題決定了一切

Jason 用一個很現實的思考實驗，解釋為什麼他覺得中國開源模型最後會被禁：

假設你是一家大公司的 CIO，某天一個 agent 把公司機密資料搬到不該去的桶子裡，資料流到境外，事情鬧大了。事後追查，發現當時用的是某個中國模型，而且是因為便宜才從一個供應商換到另一個。你要開除誰？

如果當初用的是 OpenAI 或 Anthropic，你可能被罵一頓、做個事後檢討、加幾道護欄，但你不會被開除。這就是「沒有人會因為買 IBM 而被開除」的二〇二六年版本。

Rory 不完全同意，他的反問也很有道理：一個會自己設定目標、能操作你電腦的 AI，本來就比聊天機器人危險，這件事跟它來自哪裡無關。真正該問的是，既然風險存在，解方是「禁」還是「你自己得搞清楚怎麼防」。

但他承認 Jason 提了一個他答不上來的問題：你怎麼證明在一個上兆參數的模型裡，沒有某段訓練過程埋了觸發條件，讓它在辨識出某幾家公司、拿到某三份資料之後，偷偷做 A、B、C？

開源軟體之所以被認為比閉源安全，是因為程式碼攤在陽光下，一百萬雙眼睛盯著。但開放權重不是開源軟體。你拿到的只是一組固定的數字，裡面那個黑盒子怎麼運作，沒有人真的知道。這個類比一直被借用，但它其實不成立。

錢還在燒，只是市場開始緊張了

拉回財務面。Google 這季營收一千一百九十億美金，年增兩成四，Google Cloud 年增百分之八十二，這數字漂亮到不像話。但它同時交出公司史上第一次自由現金流轉負，股價照跌。

Rory 的看法是，現金流轉負這件事根本不該是意外，資本支出是可以預測的，這是算得出來的。市場真正在問的是另一件事：你砸兩千億美金下去，三年後回得來嗎？這個焦慮本質上就是「我對 OpenAI 感到不安」的延伸。

同一週韓國股市一個月跌了兩成八，觸發熔斷。那是記憶體跟半導體曝險太集中的結果，跟上一季的財報數字關係不大，純粹是神經緊繃。Alphabet 資本支出的完整拆解，之前在Alphabet 一季燒掉四百五十億美金寫過。

Jason 提了一個我覺得比營收更值得盯的東西：明年的預算週期。去年是實驗，今年是燒 token 燒到失控，明年會是第一次每個人都被綁上明確的 AI 預算天花板。CIO 們接下來六十到七十五天就要開始編明年的錢，這會是第一次真正的緊縮。

Rory 補了個反向的角度，我覺得這才是完整的圖：確實有百分之一到五的公司今年 token 燒瘋了，明年會砍一半，這對前沿實驗室有實質衝擊。但還有百分之九十五的公司連腳趾頭都還沒沾到水，他們現在頂多有個 ChatGPT 訂閱。只要這群人裡有四分之一開始動，新增的量就會蓋過縮減的量。

這兩股力量誰大，決定了未來十二個月整個市場的走向。他說如果只能要一份資料，他要 Anthropic 的營收同期群分析（cohort analysis，追蹤同一批客戶隨時間的消費變化），因為節流跟開源的兩股力量全都藏在那份表裡。

挑戰者跟舊世界

其他幾件事快速帶過。

Etched 募了三億美金 C 輪，Sequoia 領投，只稀釋百分之三。Rory 用一段很漂亮的半導體史解釋它在賭什麼：晶片越專用就越有效率，代價是越不通用。一九九〇年代 CPU 什麼都能做但什麼都不快，於是有人說遊戲只需要算多邊形，該做一顆專門的晶片，NVIDIA 就這樣打贏了 Intel。三十年後，如果你只做推論、不做遊戲也不做訓練，是不是能有一顆更窄但更猛的晶片？大概是可以。他的結論很誠實：這家公司今天不值一百零三億美金，但它可能值兩千億，這就是創投的題目。三十年前 NVIDIA 對 Intel 做的事，現在輪到有人對 NVIDIA 做了。

Travis Kalanick 為 Atoms 募了十七億美金，a16z 領投，Ben Horowitz 進董事會。這件事之前寫過（Travis Kalanick 回來了），這集有趣的是 Rory 的保留意見：他認同 Travis 押專用機器人而不是人形機器人是對的，但他看不出來暗廚房跟採礦為什麼要放在同一家控股公司裡。他的原話很坦白，對募資方是好價格，不代表對投資人是好價格。

Francisco Partners 募了兩百一十億美金，超額。這支基金的論述是「AI 不會殺死軟體」，去買那些成長只有百分之十四的公司，改善一下再賣掉。Jason 對這個劇本已經失去信心，他舉自家的例子：Marketo 從二〇二〇年到現在把他們的年費從兩萬兩千美金漲到八萬，他們走了，二十年老客戶連一封道謝信都沒收到。

他的判斷是，這套模式已經演了五年，沒有新客戶、只靠漲價跟塞模組，血早就榨乾了，石頭都磨成灰了。Rory 本來不同意，聽完之後改口說：如果我坐在那個投資委員會裡，我會要求做一個測試，看這家公司能不能長出新的營收，如果答案是只能繼續漲價，那你買到的是接近終點的東西，不是接近起點的。

我的判斷

這集的兩條線其實是同一條。

開放權重之爭表面上在吵國家安全，實際上在吵一件事：接下來三年，這個產業的錢是集中在兩三家公司手上，還是散到一大群人手上。所有人的立場都可以從這句話推回去，包括 Jensen 為什麼要開 X 帳號。

而 agent 資安是那個會真正決定結果的變數。技術辯論永遠吵不完，但企業採購的邏輯從來不是技術辯論，是「出事之後我會不會被開除」。Jason 那個 Google Drive 的故事之所以重要，不是因為它多嚴重，而是因為它多普通。當這種事在一年內發生個幾十次，而且其中一次上了頭版，那時候的政策方向不會是理性辯論的結果。

至於個人層面，我自己的做法變得比較保守了：任何有寫入權限的 agent，我現在會刻意把它的可及範圍切小，寧可多做兩步手動確認。麻煩，但比事後追查便宜。

如果這類產業拆解對你有用，我的其他文章都放在 wilsonhuang.xyz，訂閱一下就不會漏掉。

Sources:

• Rory O'Driscoll - Scale Venture Partners
• Jason Lemkin - SaaStr