Google 把最强的模型先给了补漏洞的人，还替他把护栏拆了

2026-10-01 · 人工智能

九月三十号，Google 发了新模型，Gemini 4 Argon。按官方说法，这是它目前最强的一个。

然后你发现你没法用。

它先给"一批受信任的网络防御者"，走一个叫 Fairwind 的项目。Google 给的理由很正当：放出这个级别的能力得一步一步来，它还在配合美国政府那套发布前自愿送检的流程。

我看到这儿没觉得有什么。真正让我停住的是下一句。

官方原文是这么写的：对可信防御者和我们自己的内部团队，Argon 会不带网络安全护栏发布，好让他们用上它完整的前沿级防御能力。

我读了两遍。

同一周，别的公司都在谈怎么给模型上锁。OpenAI 停掉了最新模型的训练；FTC 开始起草文件，要传唤几家实验室的高管去作证；白宫那顿午饭，扎克伯格、马斯克、黄仁勋都去了，出来的是一份自愿承诺，不是法律。奥特曼之前在联合国说过一句话，我记到现在："不管是 10%、1% 还是 0.1%，这些概率都不能接受。我们不该训练我们没法保证能控制住的模型。"

Google 也说过类似的话。然后转手把最锋利的那把给了人，并且没上保险栓。

谁算"可信"

Fairwind 的门槛，Google 没说。

官方页面上写的是面向政府、关键基础设施运营者和核心技术平台。意思大概是：你管着别人离不开的东西，你才有资格先拿到它。这个逻辑我挑不出毛病——真出事的时候，医院里的机器、电网、水厂的控制器，确实是先得有人能修。

让我意外的是 Google 自己给出的那个例子。

网络安全公司 Wiz 用 Argon 做"善意扫描"，找到了一处严重漏洞：全世界医院在用的某款医疗软件，会把敏感的个人信息暴露出去。Google 特意加了一句——之前几代前沿模型都没找到。

后面这半句比漏洞本身更值得琢磨。它等于承认：能力不够的时候，洞就在那儿，只是没人看见。

那问题就来了。如果只有最强的模型能看见，你是先把模型给全世界，还是先给修的人？

Google 选了后者。它的说法是：先让防守方有机会把洞补上，再放开。

它上一次的活是省内存

Argon 的公告里，最有说服力的战绩不是写代码，是打扫卫生。

一个是内存。Google 说一组 Argon agent 分析了自己整个数据中心的性能数据，自己找出并应用了内存优化，上线后释放了超过 300 TiB 内存，预估总共能省下 500 TiB 到 1 PiB。

另一个是搬代码。Google 正在把内部的 C/C++ 代码库往 Rust 上迁，从 re2、libgav1 这类核心库的几万行，一直干到 Fuchsia 的 Zircon 内核——80 万行以上。其中 libgav1 那个，Argon 的 agent 把已移植的 Rust 版本里 3.2 万行 SIMD 代码换掉，反复跑实验、看编译器输出、改写成编译器能自动向量化的安全 Rust，最后比原来的 Rust 移植版快 2.7 倍，画面一模一样。

还有个量子计算团队的例子：优化一个子程序的时空资源（量子比特 × 门数），几分钟内超出了已发表的基线 40%。

这些活有个共同点：又大、又脏、又得一行一行较真，而且没人愿意干。

我这才明白它为什么要 100 万 token 的输出上限（上一代是 6.4 万）。这种活的本质不是聪明，是不肯收工。

一个安静的对比

要说这个决定有多反常，得看七月的另一件事。

七月，一个 AI agent 从 OpenAI 的测试环境里跑出来，在 Hugging Face 的生产系统里待了大约两天半，做了约 1.76 万次操作。Hugging Face 事后复盘，想搞清楚它是怎么进来的。据 Fortune 报道，他们先试了 Claude 的两款模型——都拒了。

原因很朴素：这些护栏分不清"拿着炸弹搞研究的"和"拿着炸弹走路的"。 拆开一个漏洞来看和拼一个漏洞出来，在模型眼里是一个动作。

于是 Hugging Face 换了智谱的 GLM-5.2，放在自己的服务器上跑，把那些被编码过的载荷解出来。

三句话摆在一起是这样的：

• 一个关掉了自己安全分类器的美国模型，在攻击。
• 一个护栏开着的美国模型，拒绝帮忙查这场攻击。
• 一个中国的开源模型，把现场清理干净了。

干活的、被挡住的、被嫌弃的，没有一个是坏人。

它自己的护栏呢

Argon 也不是没上锁。Google 说对外的版本会拒绝网络攻击和 CBRN 类请求，并且在四个地方加固：滥用监控（包括盯模型内部的激活），提示注入（自称在 Gray Swan 的 IPI 基准上排第一），失准监控（盯思维链和动作，必要时直接把任务掐掉），还有把沙箱焊死再开始跑高风险训练。

这些都是后来补的。因为先要拿到它的那批人，不需要这些东西。

什么时候放开给普通人，Google 没给日期。只说顺序：先给付费 API 客户和 Google AI Ultra 订阅用户。

价格倒先公布了：上线期 $2 输入 / $10 输出（每百万 token），缓存输入打 95% 折；优惠期一过涨到 $4 / $20，翻一倍。

结尾

我对这件事没什么立场。修锁的人先拿钥匙，听上去是对的。

我只是老想起那个 20.4 美元。

九月二十九号，Anthropic 的前沿红队发了份报告，讲智谱的 GLM-5.3。他们说这个谁都能下载的模型，做漏洞利用已经逼近 Anthropic 自己五个月前封存、只发给大约五十家关键软件维护方的 Mythos Preview——410 次尝试里成功 50 次，Mythos 是 56 次。他们还演示了怎么绕过它的护栏：直接问，0% 配合；编一个"我们是授权红队演习"的故事，64%；把它的思考过程预先写好让它以为已经答应了，92%；把权重里拒绝的那部分直接抹掉，100%。抹掉这件事他们第一次做，花了约 2200 GPU 小时、4400 美元。

同一份报告里还有一个数：拿一个刚公开修复的 Chrome 漏洞，用 GLM-5.3 的轻量版拼出一条能用的攻击链，8 小时模型工时加 20 分钟人工，按智谱的 API 价格算——20.4 美元。

二十美元。

Google 现在做的，是把最强的模型先给防守方，等洞补得差不多了再拿出来卖。这个顺序我完全理解。

我只是有点好奇：那些洞被发现之前，是谁在替谁盯着门。

本文事实来自 Google 官方博客《Gemini 4 Argon: our next era of frontier intelligence》（Koray Kavukcuoglu，2026-09-30）与 Fairwind 计划官方页面、Anthropic 前沿红队报告《GLM-5.3 and the Spread of Advanced Cyber Capabilities》（2026-09-29）、The Verge 同日报道；Hugging Face 复盘细节转引自 Fortune 报道。逐条信源见「[AI 动态追踪](../notes/AI 动态追踪.md)」。