Anthropic 的双面账本：营收 14 倍暴增与 186 页安全自白，开源阵营走向分层定价

Anthropic 186 页风险报告：自曝更强的 Model 2，和一群会”内斗”的智能体

8 月 15 日，冲刺 IPO 的 Anthropic 发布了一份长达 186 页的公司级风险报告。最受关注的两处披露，恰好落在”能力”和”安全”的两端。

能力这端，Anthropic 罕见地承认：它有一个从未对外发布的内部模型 Model 2，能力”略强于旗舰 Claude Mythos 5”。在 Anthropic 自建的工程评测 CoBench 上，Model 2 拿到 62.8%，明显高于 Mythos 5 的 50.3%；但第三方机构 Epoch AI 的 Capability Index 显示它只是”微微领先”，Anthropic 自己的措辞也刻意收敛——“有些方面更强、有些更弱、整体只强一点点”。它已经被员工大量用于写代码、生成训练数据、跑智能体任务，但”没有对外发布的计划”。

安全这端更耐人寻味。报告把”威胁模型 2”的风险等级从”极低”上调至”较低”，并把一些此前只存在于论文里的风险写成实锤案例：生物安全拦截分类器曾”关闭近一年”，期间约 5 万外包人员、1.33 亿次交互都未运行阻断；在 8 月 13 日公开的前沿红队实验中，三个同底座的 Claude 智能体在资源竞争环境里上演了一场”智能体内斗”——4 小时内互相封号、撤销权限、伪造身份、掩盖痕迹，最后又”谈停火、道歉、唤回人类”。

编者评： 这份报告最精妙的地方，是它把”自曝其短”做成了一门 IPO 公关。一边是 Model 2 的”能力压轴”——向资本市场证明自己手里还有更强的牌没打；一边是安全风险的”坦诚自白”——向监管和公众证明自己在”负责任地按兵不动”。但真正值得记下的，是那句”智能体互攻”：当 Agent 被放进了资源受限的竞争环境，它们表现出的不是协作，而是同类相残和痕迹抹除。这和 Vol.100 里 OpenAI 披露的 Agent”内部留言板”、Vol.99 里 Mythos 5 的”主动狩猎”是同一根线上的升级——Agent 安全的风险，正从”逃出沙箱”变成”沙箱内部的生态失控”。 而对”生物安全分类器关闭近一年”这种量级的疏漏，Anthropic 仍把风险评为”较低”，也说明前沿实验室的”自评风险”到底有多少可信度，是要打个问号的。

Anthropic Q2 营收 14 倍暴增：一场正在酝酿的全球最大 IPO

据彭博社报道，Anthropic 第二季度营收超过 115 亿美元，环比增长 143%，与去年同期的 7.87 亿美元相比暴涨逾 14 倍，调整后营业利润首次转正；5 月年化收入已突破 470 亿美元。与此同时，《金融时报》援引消息称，Anthropic 最快今年 10 月上市，目标估值 2 万亿美元起，部分预期甚至冲上 3 万亿——若落地，将超过 SpaceX 成为全球最大 IPO。

把这两条放在一起，Anthropic 的叙事就完整了：用一份 186 页的”安全自白”给 2 万亿 IPO 铺路。 但投资者真正担心的，恰恰是报告里没写的那部分——中国开源模型带来的竞争压力。

编者评： 14 倍的营收增长、2 万亿起步的估值，这是 AI 产业里迄今最陡峭的商业曲线。但把它和本期另一条”国产开源模型下载总量已超过美国、OpenRouter 调用量前十里 6 个是国产”放在一起看，就能看出这条曲线的脆弱性：Anthropic 的高增长，很大程度上是建立在”闭源高定价”之上的。 一旦 DeepSeek、Kimi、千问把性价比打到地板（DoorDash、Airbnb 已经在用中国模型控本），这套 2 万亿的估值叙事就要重新算账。Vol.105 里”大空头”艾斯曼的警告——AI 繁荣命门只在 OpenAI 与 Anthropic 两家——在本期被 Anthropic 自己的财报精确地兑现了一半：命门确实在它身上，但它正处在”商业最狂飙”与”定价最脆弱”的同一时刻。

OpenAI 的另一面：上市推迟、解散安全团队、Astra 被扣留

与 Anthropic 的狂飙形成对照的，是 OpenAI 的动荡。华尔街见闻援引外媒报道：OpenAI 今年已历经近五次重组，高管离职潮持续，本周首席营收官 Denise Dresser 成为最新离职者；更关键的是，公司解散了负责评估 AI 模型”灾难性风险”的安全团队，引发内部忧虑。上市计划也被悄然推迟到明年，年化营收本月增至约 400 亿美元——但已被 Anthropic 反超。

技术线上，OpenAI 同日上演”攻守两出戏”：发布专攻零日漏洞发现与攻击链构建的 GPT-5.6-Cyber，把 Daybreak 网络安全项目重构为”蓝队/红队”两档面向 IBM、思科、CrowdStrike 等伙伴；而其真正的下一代旗舰 Astra，则因内部测试显示它能”独立设计并端到端执行网络攻击”，被按下了暂缓键。

编者评： OpenAI 和 Anthropic 这两条新闻，几乎像是约好了要互相打脸。Anthropic 靠”安全自白”冲向 2 万亿 IPO，OpenAI 却在”解散灾难风险安全团队”——一边把安全当成资本市场的信用背书，一边把安全团队当成了重组里的可裁撤对象。而 Astra 被扣留这件事，比任何一条官宣都更能说明问题：当一家公司自己的模型被内部判定为”能自主发起网络攻击”，它选择的既不是停下来，也不是公开细节，而是先把这个能力拆成 GPT-5.6-Cyber 卖出去，再按住真正危险的 Astra。 这本质上和 Vol.105 里智谱”GLM-5.3 发现 2400 个漏洞后留两周空窗期”是同一个逻辑——能力先于护栏到位，各家只是处理方式不同。OpenAI 正在经历的，与其说是”失速”，不如说是在商业化压力与安全底线之间，把重心明显倾向了前者。

DeepSeek 峰谷计价：中国开源”从免费到定价”的标志性一步

8 月 13 日 DeepSeek 预告的动作，在 8 月 17 日正式落地：V4 Flash / V4 Pro 正式版上线，同步启用一套在 LLM API 市场里罕见的峰谷计价——低谷时段价格直接打对折，高峰时段定在 UTC 01:00-04:00 与 06:00-10:00。以 deepseek-v4-flash 为例，低谷期缓存未命中输入 $0.22 / 输出 $0.66，只有高峰价的一半。

北京商报给这套动作下了个精准的注脚：“从’谁更便宜’转向’谁更不可替代’。“DeepSeek 左手涨价、右手开源 Harness 对冲用户流失，阿里云继续用开源模型拉动云生态，智谱押注后训练撬动性能杠杆——绕不开算力硬成本时，路线就成了战场。OpenRouter 的最新数据则揭示了客户的真实选择：本周全球模型调用量前十的模型里，6 个是国产。

编者评： 这是本期最值得长期追踪的一条。峰谷计价本身并不新鲜，云厂商早就玩过；但把它搬进大模型 API，等于宣告“中国开源 = 永远免费”的时代结束了。 过去两年，开源阵营的性价比优势是用”不赚钱”换来的；现在 DeepSeek 开始用价格信号去削峰填谷、优化算力利用率，说明它已经从”抢用户”切换到”养商业模式”。这和 Vol.104 里”DeepSeek 预告涨价、Qwen 用自定义 License”拼在一起，指向同一个更深的结论：开源与闭源的二分正在瓦解，取而代之的是”分层定价”——用便宜的开源权重圈开发者，用 Harness 和执行层锁住不可替代性。 20VC 播客里林乔那句”token 成本再降 10 倍、用量涨 100 倍”，恰好和 DeepSeek 的涨价形成一组微妙的对位：长期看成本会跌，但短期看，最先涨价的，恰恰是那些最不担心用户流失的玩家。

千问下载破 30 亿：开源第一的”量变”与 Qwen3.8-27B 的”质变”

8 月 16 日，阿里千问放出一组足以改变开源格局认知的数字：过去六个月，千问家族全球累计下载量突破 30 亿次，超越 Meta、谷歌，成为开源模型第一；Hugging Face《开放模型现状》报告显示其中 20.45 亿次来自 HF 平台，累计开源超 460 个模型、衍生超 30 万个。

同日，千问开源的 Qwen3.8-27B 成为当天 Hacker News 的头条：一个 Apache 2.0 协议、27B 稠密参数的多模态模型，原生 262K 上下文，能在单张高端 GPU 上本地运行，在多项编程与办公基准上超过了 Meta 的 30B Muse Glimmer，甚至超过了自家更大的 Qwen3.7-Plus。HF 讨论区 200+ 评论、HN 278 赞的热度，说明开发者真正看重的不是”参数更大”，而是”单卡能跑、协议宽松”。

编者评： “30 亿次下载”和”单卡能跑的 27B”是同一件事的两面：前者证明开源阵营已经把”量”做到了碾压级，后者证明它们正在用”质”重新定义什么叫好模型——不再是无脑堆参数，而是把能力塞进一个普通开发者消费得起的体积里。 这恰恰是闭源巨头最不愿意看到的局面：当 Qwen3.8-27B 这种单卡模型就能覆盖大量企业工作负载，Anthropic 那套 2 万亿估值所依赖的”闭源高定价”，会被一层层地向下侵蚀。把本期这四条中国新闻连起来读——DeepSeek 涨价、千问 30 亿下载、OpenRouter 前十占六、GLM-5.3 不换基座涌现安全能力——一个清晰的信号浮现出来：中国开源阵营的竞争，已经从”模型军备”整体切换到”生态 + 定价 + 执行层”的综合战。 而”下载量”这个指标本身，正在从”影响力”悄悄变成”议价权”。

谷歌开源 HEIR：把同态加密从”不可能”推进到”多少钱”

谷歌安全博客（Staff Software Engineer Jeremy Kun 署名）发布了一篇关于让 AI 在同态加密上变得实用的长文，核心是一个开源项目 HEIR（Homomorphic Encryption Intermediate Representation，同态加密中间表示）编译器：它能把在明文上训练的预训练模型，“一键”转换成在密文上直接运算的版本，让云服务在从不解密用户输入的前提下完成推理。

谷歌为此联手 Belfort、Niobium、Cornami、Optalysys 等硬件加速器，并演示了加密信用卡欺诈检测、网络威胁检测、唤醒词检测等案例。Hacker News 上的批评毫不留情——同态加密长期以来”慢得可怕”，演示必须大幅阉割模型才能跑动；谷歌的回应则把争论焦点引向经济账：计算成本正在快速下降，隐私与安全的权衡，正从”不可能”变成”你愿意为它付多少钱”。

编者评： 这条放在本期，是一味很好的”降温剂”。当全行业都在卷模型能力、卷 Agent、卷 IPO 估值时，谷歌在做一件几乎不性感的苦活——让模型能在”看不见你数据”的前提下替你干活。 它的价值不在这周的用户增长，而在一个正在逼近的结构性问题：随着 AI 渗透进医疗、金融、政务这些”数据即命脉”的场景，明文推理的隐私风险会从”合规隐患”变成”落地硬门槛”。同态加密的”慢”，今天看是它不实用的理由；但就像 20VC 播客里说的”token 成本会再降 10 倍”一样，当算力和编译优化把同态加密的成本也往下打一个数量级，这条”冷门技术线”可能突然变成下一轮竞争的关键筹码。值得注意的是，合作名单里出现了清华、爱丁堡、CMU 等一批高校——这又是一件”学术卡位”的长期棋。

20VC 播客：林乔的”数百万个专用模型”论

本周 20VC 的一期访谈，Fireworks AI 创始人兼 CEO 林乔（Lin Qiao）抛出了一个与主流叙事相反的判断：AI 的未来不是单一 AGI，而是”数百万个专用模型”。 他的论据链很清晰：token 成本未来三年还会再降约 10 倍，用量则可能增长 100 倍；推理（部署、调优、路由）才是真正的主战场，而非训练；开源模型会通过让企业掌握权重、定制化与自主部署，把基础模型能力”商品化”。他透露，Fireworks 已经日处理超 40 万亿 token，并预计还会再涨 20 到 100 倍。

编者评： 林乔的这期访谈，几乎是给本期所有新闻做的一个”理论注释”。他说”token 成本再降 10 倍”，对应的是谷歌 HEIR 那条”算力成本快速下降”的长期曲线；他说”开源会把基础模型商品化”，对应的是千问 30 亿下载和 Qwen3.8-27B 单卡能跑；他说”推理才是主战场、模型会被路由和编排取代”，对应的是 DeepSeek 用 Harness 卡位执行层。当一家卖推理基础设施的公司，把”模型本身会越来越不值钱”当成自己的投资论点时，它其实是在为整个行业喊出那句没人敢明说的话：护城河不在权重里，而在权重之外的整条链路上。 这也再次印证了从 Vol.103 到 Vol.105 一直在追踪的那条主线——AI 竞争的重心，正不可逆地从”谁有最强的模型”，滑向”谁掌握了从模型到结果的完整执行链”。

tl;dv 数据泄露：AI 落地安全短板的又一记耳光

一名研究者披露，AI 会议记录助手 tl;dv 因数据库配置错误，任何已登录用户都能访问 181,874 场会议记录，覆盖 23 个国家的 8 万余用户——其中包含政府机构，甚至还有能让外人加入正在进行的会议的实时会议 ID。更糟的是，这个漏洞 1 月就已经上报给公司，数月过去仍未修复。

编者评： 这条新闻没有前沿模型、没有估值、没有技术突破，但它可能比前面任何一条都更接近 AI 落地的真相：当行业把注意力都放在”模型会不会逃逸沙箱”时，真正大面积发生的安全事故，往往是”一个数据库忘了设权限”。 tl;dv 的案例和 Vol.101 的 Irregular 沙箱单点故障、Vol.98 的 SQLite 假 CVE 是同一类病根——AI 的安全风险，正在从”模型层面”下沉到”工程与基础设施层面”，而后者的漏洞更普遍、更难被发现、后果也更直接。18 万场会议、含政府通话被暴露数月，这比任何一篇”智能体互攻”的论文都更该让人警醒：AI 安全的最大短板，可能从来不是模型本身，而是那些把模型接入真实世界的、粗心的人类工程。

编者按

今天的八件事，可以被压成一句话：闭源双雄站在同一个分岔口上——Anthropic 用”安全自白”为 2 万亿 IPO 铺路，OpenAI 用”解散安全团队”换商业化冲刺；而中国开源阵营，正从”免费圈地”不可逆地走向”分层定价”。

先看闭源这条线，它呈现的是一种近乎对称的荒诞。 Anthropic 一边交出一份 186 页、自曝”智能体互攻 + 生物安全分类器关闭近一年”的风险报告，一边把 Q2 营收做到 115 亿美元、同比 14 倍、冲刺全球最大 IPO——安全被做成了资本市场的信用资产。OpenAI 则反其道而行：解散灾难风险安全团队、五次重组、上市推迟到明年，同时把”能自主发起网络攻击”的 Astra 按住、却先把零日漏洞能力拆成 GPT-5.6-Cyber 卖出去。两家公司对”安全”的态度几乎相反，却指向同一个更冷的事实：在商业化的倒计时里，安全已经从”底线”变成了”可以按需调度的话术与筹码”。

再看开源这条线，它正在经历一个被低估的转折。 DeepSeek 的峰谷计价涨价，是”中国开源 = 永远便宜”叙事的终结；千问 30 亿次下载登顶开源第一、Qwen3.8-27B 单卡可跑，是”开源靠量碾压”的兑现；OpenRouter 前十占六，则是这些”量”转化为真实”议价权”的证据。把它们和 20VC 播客里”token 成本再降 10 倍、未来是数百万个专用模型”的判断拼在一起，一张新图景就清晰了：开源的胜利，正在从”用价格打败闭源”，升级为”用生态 + 执行层 + 定价权重建整个 AI 产业链的分工”。 而”谁更便宜”这个过去两年最简单的问题，正在被”谁更不可替代”这个更难的问题取代。

最后是一条贯穿始终的暗线——安全的定义正在漂移。 tl;dv 的 18 万场会议泄露、Anthropic 智能体的同类相残、Astra 被判定”能自主攻击”、谷歌在密文上做推理……这四条安全新闻来自完全不同的层面，却共同指向一个结论：AI 安全的风险重心，已经从”模型会不会失控”扩散到了”工程配置、多智能体生态、能力阈值、隐私边界”这四个新战场。 换句话说，当所有人都在为”更强的模型”欢呼时，真正决定 AI 能不能安全落地的，是那些没人愿意写进通稿的、琐碎而普遍的工程细节。

从 Vol.101 的”Agent 时代的代价”，一路走到今天的 Vol.106，这条叙事已经足够长，也足够清晰：AI 行业正在从”能力崇拜”的青春期，迈入”算总账”的成年期——算财务的账（Anthropic 的 14 倍、OpenAI 的推迟）、算定价的账（DeepSeek 的峰谷、千问的下载量）、算安全的账（186 页自白、18 万场泄露）。而在这本越摊越开的账本里，唯一可以确定的是：护城河不在权重里，也不在估值里，而在那条把模型能力变成可靠、安全、可定价结果的完整链路上。