这是“一个反常识事实，拆开一笔系统账”系列文章。
本文所引政策、标准、论文和公开页面核查截至 2026 年 9 月 28 日。模型备案、许可协议和服务条款可能继续更新，正式决策应以届时有效文本为准。

2024 年底，DeepSeek-V3 刚上线时，有用户问它“你是谁”，模型一度回答自己是 ChatGPT，甚至自称 GPT-4。

这件事很容易被讲成一个耸动故事：国产模型是不是套了国外模型的壳？

但仅凭一段自我介绍，什么也证明不了。有人用中文问Google的Gemini，它回答说自己是百度的文心一言。那么，Gemini是套了文心一言的壳吗？——显然不是。

大模型会复述训练语料里的身份文本，也可能在蒸馏数据、对话模板或后训练阶段吸收别的模型表达。它说自己是谁，不等于它的权重来自谁。今天的互联网上，到处都是AI生成的文字，其中有大量“我是ChatGPT，由OpenAI开发”这样的句子。模型从网上抓数据来训练，就把这些自我介绍一起“背”了下来。TechCrunch采访的一位伦敦国王学院的研究者说得很直接，模型显然在某个环节见过ChatGPT的原始回答，但说不清是在哪里见到的。所以，模型的自我介绍本来就不能当真。

真正值得追问的是，一家企业宣称“自研大模型”时，究竟自研了哪一层？外部又能拿什么验证？

这两个问题比“是不是套壳”更难，也更有用。

“自研”不是一个开关，而是一条很长的技术栈

人们说“自研大模型”，通常会被认为，一家公司从随机参数开始训练，数据、算法、算力、工程和部署全部自己完成。但现实通常不是这样的。

一家公司调用别人的API做了个聊天产品，可以说“自研AI”；另一家公司花几千万美元，从零开始训练出一个几千亿参数的模型，也叫“自研大模型”。两件事之间的距离，比我们想象的大得多。

打个比方，“我有一套自己的房子”这句话，可能是这几种情况：

  • 自己买地、自己设计、自己盖；
  • 用通用的标准图纸，但地是自己的，楼是自己一砖一瓦盖的；
  • 买了一套二手房，然后砸墙大改；
  • 买了精装房，换了一套软装；
  • 其实是租的。

一套能够对外提供服务的大模型系统，至少可以拆成八层：

  1. 数据：数据收集、购买、清洗、去重、配比、合成和标注。
  2. 分词器：词表、编码规则和特殊标记。
  3. 基础架构：Transformer、注意力机制、MoE、归一化方式等。
  4. 预训练权重：从随机初始化开始形成的底座参数。
  5. 后训练：监督微调、偏好优化、拒绝训练、蒸馏和领域适配。
  6. 推理系统：并行策略、量化、调度、缓存和算子优化。
  7. 产品系统：RAG、工具调用、工作流、权限和应用界面。
  8. 安全与合规：内容安全、数据治理、评测、备案或上线登记。

企业可能只在其中两三层投入了核心研发，也可能八层都有工作。问题在于，市场传播经常把这些不同层级压缩成同一个词：自研。

因此，“自研大模型”至少可能指五件不同的事：

  • 从随机参数开始完成了基础模型预训练；
  • 以开放权重模型为起点，做了大规模继续预训练；
  • 在现有底座上完成了微调、蒸馏或领域适配；
  • 没有训练新的底座，只做了 RAG、Agent 或行业应用；
  • 只接入第三方模型 API，再包装成自己的产品。

这些工作都可能有研发价值，但不能被当成同一件事。

按本文采用的“模型来源”口径，第一种可以称为自研基础模型；第二种更准确的说法是基于既有权重继续训练；第三种属于衍生模型；第四种是应用系统研发；第五种主要是产品集成。

分层之后，争论才有意义。

八层技术栈
八层技术栈

备案能证明合规上线，不能单独证明从零训练

截至 2026 年 8 月 31 日，国家网信办公布的累计数字是，1112 款生成式人工智能服务完成备案，731 款应用或功能完成登记。仅 2026 年 7 月至 8 月，就新增 124 款服务备案和 133 款应用或功能登记。

这组数字首先说明，越来越多应用在复用已经备案的模型能力。应用运营者不一定就是底层模型训练者，两者在合规链条中的身份也不能混为一谈。

这里需要分清三个概念：

  • 模型服务提供者：提供生成式人工智能模型服务的主体；
  • 应用运营者：把模型接入具体产品或功能的主体；
  • 公示标识：页面上可能展示模型名称、备案号或上线编号，具体取决于服务形态和适用程序。

2023 年发布的《生成式人工智能服务管理暂行办法》要求，对具有舆论属性或者社会动员能力的生成式人工智能服务依法开展安全评估，并履行算法备案等手续。

同年发布的 TC260-003《生成式人工智能服务安全基本要求》还曾提出，采用第三方已经备案模型的，应能提供相应备案证明材料。2025 年发布的国家标准 GB/T 45654-2025 与其同名，但 TC260-003 中这条具体的第三方备案表述没有被原样保留。

国家网信办近期公开通知则要求，已上线的生成式人工智能应用或功能，应在显著位置或产品详情页公示所使用生成式人工智能服务的模型名称、备案号或上线编号。

所以，备案信息的正确用法是核对：

  1. 谁在提供底层模型服务；
  2. 谁在运营面向用户的应用；
  3. 页面公示的是模型备案号，还是应用登记后的上线编号；
  4. 宣传中的模型名称，是否与公示信息一致。

备案能够证明某项服务进入了相应监管程序，但仅凭一个备案号，不能推出“该公司从随机参数开始训练了基础模型”。

外部核验，要把“线索”拼成“证据链”

外部观察者几乎拿不到企业完整的训练过程。最承重的材料，例如原始 checkpoint、训练日志、数据配比、失败实验和内部成本台账，通常不会公开。

因此，核验“自研”不能依赖单一证据。更稳妥的方法，是把四类公开线索放在一起看。

第一类：模型卡和许可协议

模型卡通常会写明模型架构、参数规模、上下文长度、训练阶段、适用范围和限制。许可协议则规定权重能否商用、能否再分发、衍生模型如何标注，以及在什么条件下需要另行授权。

这两份文件能回答一个基础问题——这个模型是从哪里出发的？

例如，Meta 的 Llama 3 许可要求，分发基于其权重形成的产品时遵守命名、归属和许可传递等条件；Llama 3.1 对超大规模产品还设置了额外商业授权门槛。Qwen2.5-72B-Instruct 也使用自己的许可协议，而不是笼统意义上的“无条件开源”。

因此，谈这类模型时，用“开放权重模型”通常比“开源模型”更准确。权重可以下载，不代表它自动满足所有开源定义，也不代表使用者可以省略归属和合规义务。

少数具体许可协议还会把某些利用模型输出训练新模型的行为纳入约束。这个结论必须逐份阅读协议，不能扩张成“全行业只要使用输出就必须声明”。

如果一个产品宣称完全独立训练，却在模型卡、仓库说明、配置或许可证中出现明确的上游模型名称，这是需要继续核查的强线索。反过来，没有写上游名称也不能证明它完全独立，因为披露可能不完整。

第二类：技术报告

一份有核验价值的技术报告，不应只列几个榜单分数。它至少应说明：

  • 模型结构和参数规模；
  • 训练 token 数和主要数据构成；
  • 训练硬件与集群规模；
  • 训练时长、并行策略和稳定性处理；
  • 后训练方法；
  • 评测版本、提示模板和推理预算；
  • 已知限制和安全边界。

DeepSeek-V3 技术报告披露了 6710 亿总参数、每个 token 激活约 370 亿参数、14.8 万亿训练 token，以及 278.8 万 H800 GPU 小时。报告按每个 H800 GPU 小时 2 美元的假设价格，估算完整训练成本约为 557.6 万美元。

这些数字不能证明所有细节都正确，但它们让外界可以交叉检查，参数规模、训练 token、激活参数、训练时间和成本是否互相匹配。

相比一句“完全自主研发”，可计算的技术报告是更强的证据。

不过也要避免反向推理——没有公开完整报告，不等于没有训练。它只能说明，外部可验证性较弱。

第三类：行为特征

模型行为可以暴露训练来源留下的痕迹，例如：

  • 身份回答高度相似；
  • 在冷门知识和罕见错误上表现一致；
  • 对同一组越狱提示产生相近反应；
  • 输出格式、拒绝方式或特殊短语高度重合。

DeepSeek-V3 曾自称 ChatGPT，就是一条行为线索。更合理的解释包括：训练语料中存在大量 ChatGPT 对话文本、蒸馏数据带入了身份表达，或者后训练没有彻底校正身份回答。

但行为相似不是权重来源的直接证据。模型可能读过相同语料，也可能接受过相似的偏好训练。行为证据适合提出问题，不适合单独定案。

第四类：模型指纹和权重取证

模型指纹试图用一组精心设计的查询，提取模型相对稳定的响应特征，再比较不同模型之间的相似度。权重取证则进一步分析参数分布、层间结构、张量相似度或可疑复用痕迹。

这类方法比查看自我介绍更系统，但也远没有达到“测一次就能判血缘”的程度。

2024 年 NeurIPS 论文 HuRef 提出了一套黑盒模型指纹方法，目标是在无法访问权重时识别模型来源。随后一篇针对十种指纹方案的对抗研究发现，九种方法在攻击下几乎可以被完全绕过；剩余的统计水印方案也被显著削弱，在约 65% 的攻击成功率下仍保留约 92% 的归一化效用。

不是“指纹没用”，而是指纹结果必须连同查询集、攻击条件、阈值和误判率一起看，并与模型卡、许可证、技术报告和权重分析交叉验证。

五条证据链
五条证据链

三个争议案例，说明单一线索为什么不够

Llama3-V：代码和权重可以比宣传稿更诚实

2024 年，Llama3-V 项目被质疑与 MiniCPM-Llama3-V 2.5 存在高度相似之处。公开讨论不仅比较了输出，还检查了模型权重和实现细节。项目后来撤回，开发者公开道歉。

这个项目由三名开发者组成，其中两人当时是斯坦福本科生，第三人并非斯坦福学生。公开材料显示，质疑者对相关模型进行了权重和行为比对，但没有公开足以复现全部判断的完整流程。

这件事的关键不是学校光环，而是证据形态，当代码、权重、模型行为和时间线互相印证时，结论才比一张排行榜更可靠。

Pangu Pro MoE：异常相关性需要解释，但不能跳过归因

2025 年，HonestAGI 团队公开质疑 Pangu Pro MoE 与 Qwen2.5-14B 存在高度相关。他们给出的比较结果包括约 0.927 的平均参数相关性，并称其他被比较模型之间的相关性低于 0.7。

这些阈值和数字都来自 HonestAGI 自己的分析，不是行业公认的判定标准。华为随后否认抄袭，并表示该模型基于升腾硬件进行独立开发。

外部读者可以据此要求更充分的解释，但不应把一方选定的方法和阈值直接写成司法鉴定式结论。真正有说服力的复核，需要公开脚本、样本、层级映射、误差范围和可重复结果。

一张可操作的公开证据表

如果要判断一家企业所谓“自研”到了哪一层，可以按下面的顺序查：

证据重点看什么能支持什么判断单独使用的局限
备案与上线信息模型名称、备案号、上线编号、运营主体服务与主体关系、合规链条不能证明从零预训练
模型卡与许可证上游模型、架构、参数、归属和再分发条款模型来源和衍生关系披露可能不完整
技术报告token、硬件、时长、并行策略、评测设置训练过程是否自洽、可否交叉计算仍依赖发布方披露
行为测试罕见错误、拒绝模式、特殊短语、身份回答特定条件下可形成较强线索容易受共同语料和提示影响
模型指纹查询集、阈值、误判率、对抗鲁棒性辅助识别模型关系必须交叉验证
权重取证参数分布、层映射、张量相似度在权重可得时提供更直接线索需要专业方法和可复现材料

最稳妥的结论通常不是“真自研”或“假自研”，而是更具体的分级：

  • A级：基础模型预训练可验证。有训练报告、模型卡、成本和硬件信息，多项数据能够互相校验。
  • B级：基于既有权重继续训练。明确披露上游模型，并提供继续预训练的规模和方法。
  • C级：衍生模型研发。主要完成微调、蒸馏、量化或领域适配，价值集中在后训练。
  • D级：应用系统研发。主要能力来自 RAG、Agent、工作流和行业数据，底层模型由第三方提供。
  • E级：接口集成。主要调用第三方 API，核心投入在产品、渠道和运营。

这不是价值排名。一个优秀的 D 级行业系统，可能比一个训练质量普通的 A 级底座更有商业价值。分级只是为了让“自研”对应到可检查的工作范围。

成本账：不同层级的研发，为什么能差出几个数量级

“自研”的含金量之所以容易被混淆，一个重要原因是不同层级的成本差异太大。

先看基础模型预训练。

Meta 的 Llama 3.1 405B 模型卡披露，该模型训练累计消耗约 3084 万 H100 GPU 小时。DeepSeek-V3 技术报告披露了 278.8 万 H800 GPU 小时，并在每 GPU 小时 2 美元的假设下，将训练成本估算为 557.6 万美元。

这个 557.6 万美元只是报告口径下的训练集群成本估算，不包括前期研究、消融实验、失败训练、数据采购与治理、人员、网络、存储、折旧以及后续部署成本。

再看微调。

QLoRA 论文展示过在单张 48GB GPU 上微调 650 亿参数模型的可行性。它证明低比特量化和低秩适配可以大幅降低微调显存需求，但这与训练一个新的基础模型不是同一个任务。

两者在模型起点、数据规模、训练目标、硬件配置和成本边界上都不同，不能把它们当成同一商品做价格比较。它们只能说明一件事，从基础预训练到参数高效微调，工作范围和资源需求可能跨越多个数量级。

RAG 和 API 集成又是另一套账。它们通常不改动底层权重，主要成本转向知识库建设、检索质量、权限治理、调用费用、延迟、可观测性和人工兜底。

因此，判断“自研”不能只问企业支付了哪一段 GPU 账单，还要看它是否承担了以下工作：

  • 数据来源、授权、清洗和治理；
  • 模型结构与训练算法；
  • 分布式训练和推理基础设施；
  • 失败实验和工程迭代；
  • 研究与工程人员投入；
  • 知识产权、许可和合规责任。

算力账最容易量化，却不是全部研发账。

三本不能混算的成本账
三本不能混算的成本账

使用开放权重，不等于没有自研

如果一家企业从 Llama、Qwen 或其他开放权重模型出发，做了继续预训练、领域数据构建、安全对齐、推理优化和产品工程，它当然完成了真实研发。

问题不在于使用了别人的起点，而在于是否准确披露了起点，以及是否把自己的新增工作说清楚。

可以把模型研发看成软件工程中的依赖关系。使用 Linux、数据库和开源框架，不会自动取消产品研发的价值；但把基于现有项目的二次开发宣传成“从零发明”，就跨过了信息披露的边界。

对模型也是一样。

2024 年，零一万物曾公开表示 Yi 模型在早期版本中使用了 Llama 2 的部分结构设计，后续版本调整了相关说明。创始人李开复也承认初期工作中存在技术人员对开源贡献认知不足的问题。这个案例说明，模型卡、仓库说明和许可归属不是形式文件，它们决定外界能否正确理解模型来源。

商业模型服务也有自己的边界。OpenAI 当前面向商业和 API 客户的 Services Agreement 对利用输出开发与其竞争的人工智能模型作出限制。2023 年 12 月，The Verge 曾报道 OpenAI 暂停字节跳动账号，调查其是否使用 API 输出开发竞争模型。当时适用的应是 2023 年版 Business Terms，而不是后来面向个人用户更新的条款。

所以，“能调用”不等于“可以任意拿来训练竞争模型”，“能下载权重”也不等于“无需遵守许可”。

真正应该问的，不是“是不是自研”

“是不是自研”太粗糙。一个更有效的问题清单是：

  1. 你们是否从随机参数开始完成基础模型预训练？
  2. 如果使用了上游权重，具体是哪一个模型和版本？
  3. 新增训练发生在哪个阶段，使用了多少数据和算力？
  4. 模型卡、技术报告和许可说明能否互相对应？
  5. 页面公示的是底层模型备案号，还是应用登记后的上线编号？
  6. 模型服务提供者和应用运营者分别是谁？
  7. 关键评测是否说明了版本、提示模板、推理预算和复现条件？
  8. 自研价值主要落在预训练、后训练、推理系统，还是行业应用？

这些问题不会给出一个简单标签，却能把宣传词拆回工程事实。

我的判断是：“自研大模型”不应被取消，而应被分级。从零预训练、继续预训练、衍生模型、应用系统和接口集成，都可以创造价值。但它们的技术风险、资金门槛、知识产权责任和可替代性完全不同。参数量、上下文窗口和榜单分数这些标称数字，也必须先分清对象、版本和测试条件，才能进入比较。

下一次再看到“全栈自研”“自主可控”或“国产大模型”的宣传，不妨先放下口号，沿着备案、许可、报告、行为和指纹五条线索查一遍。

最后留下来的，不一定是一个非黑即白的答案，但会是一张更接近事实的研发账单。

参考资料

  1. 国家互联网信息办公室等：《生成式人工智能服务管理暂行办法》
  2. 国家互联网信息办公室：《关于发布 2026 年 7 月至 8 月生成式人工智能服务已备案信息的公告》
  3. 全国标准信息公共服务平台：《GB/T 45654-2025 生成式人工智能服务安全基本要求》
  4. 全国网络安全标准化技术委员会：《TC260-003 生成式人工智能服务安全基本要求》
  5. DeepSeek-AI： DeepSeek-V3 Technical Report
  6. Meta： Llama 3.1 405B Model Card
  7. Meta： Llama 3 Community License Agreement
  8. Meta： Llama 3.1 Community License Agreement
  9. Qwen Team： Qwen2.5-72B-Instruct License
  10. Edward J. Hu et al.： LoRA: Low-Rank Adaptation of Large Language Models
  11. Patrick Lewis et al.： Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks
  12. Tim Dettmers et al.： QLoRA: Efficient Finetuning of Quantized LLMs
  13. NeurIPS 2024： HuRef: Human-Readable Fingerprint for Large Language Models
  14. Are Robust LLM Fingerprints Adversarially Robust？
  15. MiniCPM-Llama3-V 2.5 Discussion： Llama3-V similarity analysis
  16. TechCrunch： Why DeepSeek’s new AI model thinks it’s ChatGPT
  17. 21世纪经济报道：《李开复回应 Yi 模型争议》
  18. 01.AI： Yi-34B Model Card
  19. OpenAI： Services Agreement
  20. OpenAI： November 2023 Business Terms
  21. The Verge： OpenAI suspends ByteDance account over GPT use
  22. HonestAGI： Intrinsic Fingerprint of LLMs: Continue Training is NOT All You Need to
  23. 第一财经：《盘古团队最新声明：严格遵循开源要求》
  24. South China Morning Post： Stanford University team apologises over claims they copied Chinese project’s AI model