美国三家安全机构刚把中国AI公司的“蒸馏”行为推到国家安全层面，几天后，由美国国家档案和记录管理局运营的《联邦公报》网站却被发现提供Qwen搜索选项，随后又迅速撤下。这个反差把一个现实问题推到了台前，美国可以给中国AI贴上安全标签，却很难仅凭一份安全通告，让已经进入开源软件生态的中国模型从美国政府技术系统里自动消失。

这件事暴露的重点，是美国对华AI限制碰到了开源模型的扩散方式。芯片、设备、云服务都有供应商和边境，开源模型权重却可以下载、复制、修改和本地部署。安全机构能够把研发来源、知识产权和国家竞争放进同一套风险叙事，具体使用部门仍要面对性能、成本、部署权限和数据边界。只要这两套标准没有被统一成强制采购规则，华盛顿就会继续出现口头收紧、技术系统仍然使用中国模型的缝隙。

美国国家安全局、网络安全和基础设施安全局以及FBI发布的联合通告，指控包括阿里巴巴在内的六家中国AI企业对美国前沿模型开展大规模“蒸馏”，并称相关活动可能得到中国政府知情。中方否认这些指控。通告本身属于网络安全风险说明和防护建议，没有形成法院判决，也没有生成一项面向全体联邦机构的Qwen采购禁令。

几天之后，《联邦公报》网站被发现把Qwen列为搜索工具之一，用于浏览公开的联邦法规和公共评论，具体何时上线尚无公开答案。社交媒体开始讨论后，这项功能被撤下，美国国家档案馆和白宫没有向路透社作出公开回应。

FBI等机构针对的是模型研发过程，焦点是中国企业是否通过未经授权的高强度调用获取美国模型能力。政府网站使用Qwen涉及另一类风险，焦点转成模型在哪里运行、数据有没有离开政府安全边界、外部供应商能否接触数据。

《联邦公报》处理的内容本来就是公开信息，如果开放权重运行在本地基础设施上，敏感数据外流风险可以明显降低。参议院情报委员会副主席马克·沃纳的判断也把风险落在同一点，即美国政府数据有没有离开安全边界并进入阿里控制的系统。

因此，同一款模型在华盛顿内部会得到两种完全不同的风险评价。国家安全机构看到的是技术竞争、研发来源和长期依赖，负责公共网站的技术人员更可能看到具体任务需要多少算力、响应速度怎样、能否本地部署、维护成本多高。前一套评价要求减少中国技术进入美国生态，后一套评价则可能把开放权重模型视为普通软件组件。这次反差的形成，靠的就是这段制度距离。

美国自己的联邦AI采购政策又把这种距离放大了一层。白宫和预算管理办公室在2025年的指导文件中要求联邦机构“最大化”采用美国AI，同时强调采购应当及时、具有成本效益、保持竞争，并防止被单一供应商锁定。

文件还要求关注数据可迁移性和长期互操作性。换到低敏感度的公共信息搜索场景里，这几项要求有时会朝不同方向发力。美国模型符合产业政策取向，开放权重模型却可能在本地控制、接口兼容、二次开发和成本方面更方便。采购人员如果只按照任务效果挑工具，就可能作出与国家竞争口径不一致的技术选择。

Qwen恰好具备穿透政策边界的条件。Qwen系列公开权重，Qwen3等模型采用Apache 2.0许可，并支持多种常用推理和部署框架。开放权重模型可以由开发者下载、修改，成本往往低于Anthropic、OpenAI等闭源产品。开放权重把“使用中国模型”和“把数据交给中国公司”拆成了两个技术问题。针对封闭云服务设计的供应商管控，到了开放模型这里还要补上模型来源识别、软件供应链审计和数据流向核验，缺一层都可能出现管理空档。

这也是美国过去熟悉的技术封锁工具在生成式AI领域遇到的新困难。先进芯片可以靠出口许可证、海关和供应链追踪设置门槛，企业实体可以进入清单，云服务可以限制账户。模型权重以开放许可证散布到全球开发者社区之后，复制成本很低，又能被打包进搜索、办公、客服、编程工具和企业软件。

使用部门看到的甚至可能只是某个模型名称或兼容接口。安全部门若想让这类模型退出政府系统，需要把外交和安全表态继续下沉到采购目录、模型清单、承包商条款、代码依赖和数据治理。任何环节没有跟上，政策都会留下空档。

所以，《联邦公报》短暂出现Qwen，影响主要体现在“谁决定中国AI能否进入系统”这个治理问题上。美国过去习惯把对华技术竞争理解为控制供给，只要卡住高端芯片、资本和市场入口，中国企业的扩张速度就会受到压制。开放模型改变了传播方向，供给方把能力释放出来以后，需求方可以在没有长期商业合同的情况下自行采用。政策要拦截的对象由一家公司变成大量分散的开发者、承包商和软件组件，治理成本随之上升。

这次Qwen搜索选项被发现后很快撤下，说明美国政治系统一旦注意到这类使用，依旧能够施加压力。恰恰是迅速撤下这一动作，使事件的政策含义更具体。技术人员可以把Qwen放进去，政治压力又能把它拿出来，双方对风险的定义还没有完成统一。这种摇摆还会影响美国后面的政策选择。

华盛顿若把中国开放模型全部排除在政府体系之外，需要建立更严格的来源审查，同时接受采购成本上升、可选供应商减少和部分开放生态优势流失。若保留按任务评估的空间，类似Qwen的模型仍可能在低敏感场景重新出现，安全机构的警告就很难转化成整齐划一的排除效果。

美国2026年的国家安全AI政策甚至要求有关部门加快采用商业或开源AI，并从多个供应商快速引入先进模型，这种追求速度和多供应商竞争的政策取向，与技术来源审查之间还会持续摩擦。

对中国AI产业来说，这一事件的价值也不在“美国服软”四个字。更有分量的是，中国模型已经进入连美国政府网站开发者都会拿来测试和调用的全球工具池。只要性能、成本和开放程度保持吸引力，限制措施就必须付出更高的治理成本才能阻止使用。美国可以提高进入官方采购体系的门槛，也可以推动盟友审查中国AI，开放权重已经把竞争推进到软件生态内部，政策边界很难像芯片边境那样画得整齐。

FBI等机构可以继续把中国AI定义为安全风险，美国国会也可能进一步推动限制。可这次短暂部署已经留下一个清楚的政策难题，美国既想让政府快速采用便宜、灵活、可控的AI，又想在战略竞争中把中国模型排除出去。

两项目标发生冲突后，撤掉一个搜索选项很容易，建立一套既能快速采用AI、又能持续识别并排除特定来源模型的政府技术体系，却要付出长期的制度和工程成本。Qwen这次只在网页上停留了很短时间，但它暴露出来的缝隙不会随着按钮消失而自动合上。

文 | 姜子枫 国际政治研究生