万亿参数权重公开的那一天：Mistral Large 4 与两种“安全观”的对撞

10 月 29 日是值得记下来的一天。同一天里，两家公司对“最强模型应该交给谁”给出了截然相反的答案：谷歌把新一代前沿模型 Gemini 4 Carbon先只交给网络安全防守方，企业用户还要排队等；而法国的 Mistral 则把自家旗舰 Mistral Large 4（绰号“Le Chonk”）的权重直接公开，任何人都可以下载、私有部署。

一边是“先给好人”，一边是“给所有人”。这场对照，比单纯的榜单数字更值得讨论。

发布了什么：一只“胖猫”，和三周的强化学习

Mistral Large 4 早在 10 月 6 日就以公开预览的形式亮相，10 月 29 日发布的是改进后的开源权重版本。据 Mistral 官方介绍，预览后的三周里，团队根据早期客户的反馈又做了一轮强化学习，重点提升了编程和防御性网络安全能力。

架构本身没有变化：这是一个原生多模态的混合专家（MoE）模型，总参数约 1.05 万亿，但每次推理实际激活的只有约 520 亿参数——128 个专家中每次只有 4 个加 1 个共享专家参与计算。上下文窗口为 100 万 token，支持 160 多种语言。新增的三档推理强度（低、中、高）也很有 Agent 时代的味道：低档应付快速问答，高档留给长时间运行的智能体任务，据称高档模式的效率比预览期提升了约一半。

换句话说，“万亿”这个数字本身并不吓人。MoE 的意义就在于：参数规模可以很大，但单次推理的算力账单不必跟着同比例膨胀。这是过去两年开源大模型一直在走的路线，Large 4 只是把它推到了新的量级。

数字怎么读：亮眼，但先打个问号

据 Mistral 官方公布的成绩，Large 4 在 Cognition 的 FrontierCode 2.0 上拿到 19.7%，为开源模型最佳；在 Artificial Analysis 的编程智能体指数上为 48%，与 GLM-5.3 基本持平，但每个任务消耗的 token 少约 47%；终端智能体基准 Terminal-Bench 4.0 从预览期的 28% 提升到 41%。安全方面，它在 Artificial Analysis 网络指数上为 51%，对恶意网络请求的平均拒绝率达 96.6%，据称是 Mistral 在开源模型中测得的最高值。

这些数字需要加一个限定词：它们都来自厂商自己。独立验证需要时间，尤其是安全类声明——拒绝率测的是“不干坏事”，而真实攻防中更关键的往往是“能不能在对抗样本和复杂工具调用下依然守住边界”，这不是几个基准分数能盖棺定论的。

但即便打折之后再看，有一点是扎实的：开源模型在编程智能体这个最吃“动手能力”的赛道上，已经不再是闭源模型的陪跑者。Token 效率的差距尤其值得注意——对 Agent 来说，成本不是按参数算的，而是按“完成一个任务要烧多少 token”算的。少用近一半 token 达到同一水平，这在真实部署里就是实打实的钱。

“主权”叙事：权重公开到底给了谁自由

Mistral 这次打出的关键词是“主权”（sovereignty）。据报道，该模型是在 Mistral 自有欧洲数据中心、用 3800 块英伟达 Grace Blackwell GPU 从头训练的；权重上线 Hugging Face，同步登陆 Mistral Studio、API、OpenRouter、英伟达 NIM 容器和微软 Foundry。许可证是改良版 MIT：可以自由使用、微调、商用，但把模型当作服务转售的公司需要另签商业许可。

对一类用户来说，这确实是刚需：手握客户代码、事故数据或涉密资料的安全团队，无法把这些数据发给第三方 API。能在自己的边界内跑一个前沿规模的模型，意味着防御工作不再受制于供应商的拒绝策略和服务条款。Mistral 研究副总裁皮埃尔·斯托克的一句话把这种立场说得很透：“一旦模型发布，就不可能再收回访问权限。”在他看来，这恰恰是保护：没有人能切断你的访问。

但也要泼一盆冷水：权重公开不等于人人可用。一万亿参数的权重，即使有量化版本，下载、存储、推理所需的硬件门槛依然很高。真正的分水岭不在“能不能下载”，而在“有没有能力部署、评测、微调和持续运营它”。开源前沿的竞争，正在从“谁放出权重”转向“谁的生态能让权重真正跑起来”——vLLM、SGLang 这些推理框架，NIM 这样的容器化分发，以及各家云厂商的首发支持，都是这场竞争的一部分。

两种安全观：关起门，还是敞开门

把 Large 4 和同一天的 Gemini 4 Carbon 放在一起看，对照就更清晰了。谷歌的逻辑是“能力越大，门槛越高”：先让可信的防守方在受控环境里测试，确认风险可控再逐步放开。Mistral 的逻辑正好相反：“无法被切断的访问”本身就是安全——防守方不应该依赖别人的许可才能获得工具。

两种逻辑各有道理，也各有代价。门控模式的问题是：谁来定义“可信”？名单一旦成为权力，审查标准、等待时间和商业考量都会悄悄掺进来。而开放模式的问题更直接：防守方拿到的工具，攻击方同样拿得到。96.6% 的拒绝率是在基准测试里测出来的，对手可不会按基准出牌。

我的观点是：这两种路线不是非此即彼，而是会长期共存、分工不同。越是通用、越是接近“基础设施”的能力，越适合以开源权重的方式存在——因为基础设施的价值恰恰在于不可被单方面断供；而越是针对特定高危场景的尖端能力，越可能先以门控方式出现。真正危险的不是某一种选择，而是整个行业只剩一种选择：要么所有前沿能力都锁在几家公司的 API 后面，要么所有能力都不加区分地倾泻出来。

结语

Large 4 的发布标志着一件事：开源模型的前沿线，已经从“能用”走到了“能打”。它未必是每个团队都应该立即部署的模型——硬件、评测和运营成本都要认真算账——但它确实改变了一道选择题的默认答案：当你的数据不能出境、你的服务不能断供时，前沿模型第一次有了不依赖任何一家供应商的选项。

而 10 月 29 日留下的更大问题，留给整个行业回答：当最强的模型既可以被关起来、也可以被公开时，我们到底希望“安全”由谁来定义——是守门人，还是使用者自己？