结论先说：开放模型的门槛已经从「许可证允不允许」换成了「它在你的硬件上站不站得住」；而同一条规律正在另一层重演——策略写好了，不等于它生效。

10 月 15 日 Meta 放出 Muse Spark Open 的开放权重，8160 亿总参数、每 token 激活 420 亿、约 100 万 token 上下文、原生多模态（文本/图像/音频/视频），权重在 Hugging Face、Amazon SageMaker AI、Google Cloud Model Garden 均可下载。这笔账的正面是「免费」，背面是全精度检查点约 1.5 TB，官方给出的本地落地方案是两台 M5 Ultra 的 Mac Studio，早期媒体估算那套配置约 38,000 美元。

免费的是权重，要付钱的是内存。

一、MoE 有两个参数，别只记那个小的

Muse Spark Open 是混合专家（MoE）架构：每层 256 个专家，每个 token 只路由 8 个，激活 420 亿。

看到「激活 42B」就以为这是一个 420 亿参数的模型，是最容易犯的错。这两个数字管的完全是两件事：

参数决定什么影响哪个科目
激活参数（42B）单次前向的计算量算力、单价、每 token 成本
总参数（816B）常驻内存/显存占用能不能部署、要几台机器、能撑几路并发

路由决定的是「这一次用谁」，不是「谁需要在场」——所有专家都得同时在内存里待着。所以激活参数小，并不意味着部署轻。

同一周阶跃星辰开放了 Step 5 Preview 的权重（10 月 15 日，BF16 与 FP8 两个版本，同步发布技术报告与部署工具）：稀疏 MoE，总参 600B / 激活 27B，100 万 token 上下文，原生文本与视觉输入。规格结构完全相同，陷阱也完全相同。

两个模型的规格对照：

模型总参数激活参数上下文部署门槛备注
Meta Muse Spark Open（10-15）约 816B42B约 1M（含媒体 token）全精度约 1.5TB；两台 M5 Ultra Mac Studio；另有 NVFP4 4-bit for BlackwellMeta 自报在终端编程、长周期软件工程、GDPVal-AA 上落后 Kimi K3 与 GLM 5.3
阶跃 Step 5 Preview（10-15 开权重）600B27B1M多芯片平台适配，vLLM / SGLang / Transformers 均可OpenRouter token 用量周榜与日榜全球第二（截至 10-15）
NVIDIA Nemotron 3.5 Bolt（10-15）74B9B—原生 2-bit 量化塞进 24GB 显存，面向 RTX / DGX Spark与 Super VL（120B 开放）按部署档位分层

第三行是同一个逻辑的反面：NVIDIA 直接按部署档位给型号分层（数据中心高吞吐 / 最难推理 / 常驻 agent / 边缘），而不是按「谁分高」排。这比排行榜更有工程价值，因为它承认了不存在一个在所有档位都最优的模型。

该信哪个口径

我对「OpenRouter 用量榜全球第二」这个数字的信任度，高于任何厂商自报的基准。原因是两者测的不是同一件事：

  • 厂商基准回答「厂商说它多强」，且存在配置不对称（Meta 自己在模型卡里写明：竞品分数由别的 harness 生成、自家模型跑在更高推理档、「SWE-Marathon 这组数据并非在受控条件下进行的比较」）。
  • 用量榜回答「有多少人真的在烧钱调它」，是行为数据，不是主张。

我的做法是把第三方口径（OpenRouter 用量榜、Artificial Analysis 智能指数）固定成选型表的两个常驻列，厂商自报基准只作脚注。

二、策略写在哪一层，就在那一层排队

这条规律不止在硬件上成立。

10 月 13 日 OpenCode 的 V2 合并了一个被用户称为「重大安全回归」的变更（PR #54921）。问题出在配置层级：企业可以在 /etc/opencode 下发一份全局策略来约束所有项目里的 agent，而这个变更之后，仓库级配置可以盖掉那份全局策略。受影响用户的原话是，这「从根本上破坏了用 harness 配置维持安全姿态的能力」。

这件事在讨论区只有十几分，争议不大，但它戳中的位置很准。

我这些年做老系统渐进改造，最常遇到的从来不是「没有规范」，而是「三层规范同时在，谁也说不清哪个生效」。全局配置、项目配置、环境变量、命令行参数，还有代码里硬写的那一行——每层都是好意加上的，加起来就是一团说不清的优先级。

agent 时代这件事变严重了：

时代一份配置被覆盖的后果严重度
以前代码风格、格式、lint 规则跑偏低，可自动修复
现在工具白名单、权限边界、审批门失效高，且不会报错

而 agent 会主动 clone 仓库、主动读配置、主动按仓库里的约定执行——等于把策略的写权限开放给了任何它能触及的代码来源。

写好一份策略，只完成了「有」。它算不算数，取决于当它和另一份冲突时谁赢。

三、检查点往上游搬

同一周 Codex 的 v0.163.0（10 月 15 日）有三条安全修复，可以对照着看：

  1. 网络代理在做 DNS 查询之前先检查权限；
  2. 拒绝重复的 Host 头；
  3. 阻止凭据别名绕过 inspection hooks。

翻译成大白话：不是等请求发出去再判断该不该拦，而是在最便宜的那一步之前就拦住。 DNS 查询本身就已经泄漏了「agent 想去哪」，也给域名前置一类手法留了缝。

第三条尤其值得单独记。「阻止凭据别名绕过检查钩子」是「旁路藏在别名里」的又一次出现——在此之前已经出现过「旁路藏在版本里」（Codex CLI 常驻自更新后台）和「旁路藏在修复里」（openclaw Doctor 在修复时重写被修复对象）。

凡是能指向同一资源的第二个名字，都是一个绕开检查点的入口。 凭据别名、符号链接、模型别名、包别名、命令别名，形态不同，问法相同。

同一周 Claude Code 的 v2.1.301 补上了另一半：它给无人值守重试加了上限——遇到重置时间太远的用量上限时结束这次请求而不是一直等（配置项 CLAUDE_CODE_RETRY_WATCHDOG_MAX_USAGE_LIMIT_WAIT_MS）。无人值守场景里最贵的状态不是报错，是挂在那里等一个六小时后才重置的配额：不报错、不释放、不告警，只是不干活。

它还在 OpenTelemetry 的 tool_decision 事件里新增了 classifier_verdict 与 permission_mode 两个字段，把「分类器的判定」与「权限规则的判定」区分开。这件事看着小，其实是权限治理能不能落地的前提：如果两者混在一个布尔里，事后就无法回答「到底是我的规则拦的，还是模型自己判断拦的」——而规则是确定的、可审计的，分类器是概率的、会漂移。

马上可以做的三件事

第一件，把模型选型表改成两列参数。 激活参数一列，总参数一列，再补一列「常驻内存」，没有公开数据的就标「待确认」。顺序也要注意：先按「能否在我方硬件上常驻」筛一遍，再在活下来的里面比单价，反了会白算一轮。

第二件，画一张配置层级表。 把所有 agent 工具的配置来源列出来：全局、组织、用户、仓库、会话、提示词里的指令。然后标出哪些键不允许被下层覆盖。这张表画完，你就知道自己现在到底有没有策略。

第三件，把链路上的「别名」找出来。 凭据别名、符号链接、模型别名、包别名、命令别名，逐个确认它经过哪一层校验。

如果你在关注 agent 的可靠性这条线，可以接着读上一篇《Gemini 4 Argon 把单次输出抬到 100 万 token》，讲的是输出长度成为选型维度之后，中间检查点为什么必须补上——和本文的「分层/分列」是同一件事的两个面。

数据说明

  • Muse Spark Open 的规格（816B/A42B、约 1M 上下文、约 1.5TB 全精度、NVFP4 4-bit）来自 Meta 官方博客与 Hugging Face 模型页（10-15）；全部基准为 Meta 自报，未独立复现。
  • 「两台 M5 Ultra Mac Studio」为 Meta 与 Apple 的合作口径；约 38,000 美元为早期媒体估算而非官方定价，Apple 尚未公布 512GB Mac Studio 售价。Hugging Face 侧给出的 3-bit 版本在 M3 Ultra 上约 21 tok/s。
  • Step 5 Preview 的规格与 OpenRouter 排名来自阶跃星辰技术博客（10-15）与上海证券报、中证网、环球网、北京商报（10-15/16）；OpenRouter 排行仅代表该平台开发者群体的调用偏好，不等于整体市场份额。
  • OpenCode PR #54921 的影响来自单一受影响用户在 GitHub 讨论区的陈述，未获官方确认，本文只取其架构模式。
  • Codex v0.163.0 与 Claude Code v2.1.301 的内容来自各自 GitHub release notes（10-15）。
  • 关于开放权重与许可证的关系：Meta 首席 AI 官 Alexandr Wang 明确表示「出于安全性和能力两方面考量，我们通常不会开源最强大的模型」，前沿的 Muse Wonder 保持闭源。这一拆分与 EU AI Act 第 53 条的开源豁免结构吻合，但该法规不适用于本文讨论的落地场景，此处仅作参考。