AI 全景情报 0711：模型出海、沙箱运行和十万卡算力同时变成控制权问题

模型能力还在卷，但 7 月 10 日之后更值得盯的是控制权：谁能访问前沿模型，Agent 写出的代码在哪里执行，十万卡集群由谁调度，企业要不要把自己的模型优化环路拿回来。模型榜单会继续热闹，采购、合规和成本部门真正要签字的地方，已经从「模型多强」转到「系统能不能被隔离、审计、迁移和自训」。

对 AI 从业者来说，这几条信号的共同点很直接：AI 产业链正在把不确定性往下压。模型访问要被地理和实体名单约束，Agent 运行要有沙箱边界，算力要从单点 GPU 采购变成大规模系统工程，融资也开始奖励能让企业掌握自有训练和推理栈的公司。

TNW 这条报道的重点，不是 OpenAI 和 Google 又多了几个客户，而是美国 AI 管制的边界被拉到软件层。报道援引 FT 调查称，OpenAI 和 Google 确认向阿里巴巴、百度、腾讯的新加坡注册子公司提供高级 AI 服务；三家母公司都在美国国防部 1260H 名单上。美国规则限制中国大陆和特定实体，但新加坡不是受限司法辖区，这让子公司合同成为一个现实通道。1

这不是简单的「合规漏洞」故事。芯片出口管制过去主要盯硬件、算力和地理位置，现在前沿模型 API 本身也变成战略资源。TNW 写到，现行规则阻止直接访问部分前沿模型，包括 GPT-5.6 和 Anthropic 的 Mythos、Fable，但没有全面禁止中国总部公司在其它市场使用先进 AI 软件。OpenAI 的说法是阻止中国大陆直接访问，并在可执行防护和监控的地区允许部分中国所有公司使用服务；Google 也称其 AI 工具在新加坡、香港等市场可用，并有禁止蒸馏的使用政策。1

对企业客户和模型供应商来说，这会把 KYC、地区访问、最终受益人识别、蒸馏监控和审计日志推到销售合同前面。以前采购模型 API，重点是价格、上下文长度和 SLA；现在高风险行业还要问：调用来自哪个法人实体，数据会不会跨境，模型输出是否可能被用于训练竞争模型，供应商能否证明自己发现并处理了异常用量。

Anthropic 在这条线上采取了更硬的策略。TNW 报道称，Anthropic 禁止中国公司及其拥有的海外实体访问前沿模型，并游说美国扩大 AI 软件出口控制。它还指称 DeepSeek、Moonshot、MiniMax 等中国实验室存在蒸馏行为，并向国会表示阿里巴巴创建了约 2.5 万个假账号、与 Claude 进行 2880 万次交互，违反其条款。1 这些说法来自厂商立场，不能当作司法结论；但它说明模型访问治理正在从政策讨论变成商业条款。

Google Cloud Run sandboxes 值得单独看，是因为它把 Agent 产品里最棘手的一件事产品化了：AI 生成的代码、不可信脚本、浏览器自动化任务，不能直接跑在主应用进程里。Google Cloud 称，该功能已进入 public preview，可以在现有 Cloud Run 服务实例内部启动轻量隔离环境，用于 LLM code interpreter、headless browser 和用户提交代码执行等场景。2

这对做 Agent 的团队很实际。过去一个数据分析 Agent 想执行 Python，通常要自己搭容器池、微虚拟机，或者买专门的 sandbox 平台。Cloud Run sandboxes 的产品口径是把沙箱放在已有 Cloud Run 实例内，Google 还展示了 1000 个沙箱请求平均 500ms 延迟的例子。默认安全边界包括三条：沙箱不能读取 Cloud Run 服务环境变量，不能访问 Google Cloud metadata server，默认没有外联网络；文件系统是只读基础镜像加临时内存 overlay，执行结束后丢弃改动。2

从业者要看的不是「又一个云功能」，而是 Agent 架构的默认假设变了。只要产品允许模型写代码、调用浏览器、运行 SQL、处理用户文件，就要把「模型被提示注入后会不会外传密钥」当成基础设施问题，而不是安全团队上线前补一轮红队测试。Google 还说下一版 Agent Development Kit 会支持 CloudRunSandboxCodeExecutor，这等于把沙箱执行推到 Agent 框架层。2

中科曙光的「曙光 8000（登峰）」把国内 AI 基建叙事从万卡级推到十万卡级。科技日报报道，这套全国产十万卡 AI 超集群在光合组织 2026 智能计算应用大会期间落成，并同步接入国家超算互联网；系统采用「超智融合」路线，面向高精度科学计算和低精度智能计算，支持 FP64 到 INT8 多精度负载，可覆盖科学计算、大模型训练、AI 推理和工业仿真。3

这里的行业含义在「系统」两个字。科技日报写到，曙光 8000 具备芯片、计算、存储、网络、散热、应用、服务全链路自研能力，其中包括海光等国产芯片、scaleFabric 类 IB 原生 RDMA 高速网络、ParaStor 分布式存储和浸没式相变液冷。系统目前已完成 300 余项超智融合应用优化，覆盖大模型、机器人、汽车、创新药、新材料、量子计算、天文气象等二十多个领域，其中超过 70 个应用实现万卡规模扩展。3

这对模型团队的影响会比较间接，但很重。十万卡并不自动等于可用算力，难点在网络拓扑、存储吞吐、作业调度、容错、能耗和应用适配。国内模型公司如果能通过国家超算互联网获得更稳定的国产大集群服务，训练和推理部署的供应链弹性会变强；如果软件栈、调度效率和开发体验跟不上，规模反而会变成排队和迁移成本。

MiniMax 和 Prime Intellect 是两种不同的融资信号。MiniMax 是国产大模型公司继续补充重资产弹药。财新报道，MiniMax 完成约 160 亿港元融资，其中包括 3560 万股新 A 类股份配售，配售价 268 港元/股，预计所得款项总额约 95.4 亿港元；另有本金总额 65 亿港元的零息有担保可转换债券，2027 年到期，初步转换价 335 港元/股。资金用途包括 AI 基础设施研发、模型研发和智能体驾驭工程 Harness 产品开发。4

财新还写到，创始人兼 CEO 闫俊杰在同日内部信中称，公司实现 AGI 前不再领取任何薪酬。这个表态更像资本市场信号，不应被当成技术里程碑；更硬的事实是融资结构和资金用途。对国内模型公司来说，下一阶段烧钱点已经从「发一个模型」转向推理基础设施、Agent 产品工程和商业化交付。4

Prime Intellect 则从另一个方向切入：让企业训练自己能控制的 Agent 系统。公司官方公告称，完成 1.3 亿美元 A 轮，Radical Ventures 领投，NVIDIA Ventures、Intel Capital、Dell Technologies Capital 等参投，总融资超过 1.5 亿美元；公司称其堆栈覆盖 compute、大规模 RL、环境、沙箱、评测和部署，已有超过 6000 个客户，年化收入超过 1 亿美元。5 TechCrunch 还报道，这轮融资对应 10 亿美元估值，客户包括 Ramp、Zapier 和 Flapping Airplanes。8

把两家公司放在一起看，资本市场仍然愿意给 AI 基础设施高估值，但偏好正在变细。MiniMax 需要证明大模型公司能把融资转成基础设施、模型和 Agent 产品收入；Prime Intellect 需要证明企业真的愿意把 RL、评测和部署能力从 OpenAI、Anthropic 这类前沿实验室手里拿回来。对应用团队来说，这意味着供应商选择不能只看「模型分数」。谁能让你保留数据、优化目标、评测方法和部署路径，谁才更接近长期议价权。

Anthropic 的两条动作放在一起看，像是同一个问题的两面：个人如何知道自己在怎样使用 AI，公司如何让外部机构约束自己的方向。Claude 的 Reflect 功能目前是 beta，面向开启 Memory 的 Free、Pro、Max 用户开放。它会汇总用户过去 1、3、6 或 12 个月的 Claude 活动，展示主题、使用模式、任务类型，并允许设置 quiet hours 或使用时长提醒。6

这不是企业级硬基础设施，但它碰到的是长期采用问题。Anthropic 把 Reflect 绑定到 4D AI Fluency Framework：Delegation、Description、Discernment、Diligence，分别对应是否该用 AI、如何描述目标、如何判断输出、如何为使用结果负责。对产品团队来说，这提示一个方向：未来 AI 工具的留存，不一定只靠更强模型，也可能靠让用户看清自己把哪些判断外包给了模型。6

另一条是治理。Anthropic 宣布前美联储主席 Ben Bernanke 加入 Long-Term Benefit Trust。这个信托是 Anthropic 的独立治理结构，受托人不持有公司股权、不分享利润，按服务获得报酬，并有权任命 Anthropic 董事会成员，重点就 AI 风险和社会影响向董事会及管理层提供建议。Bernanke 的角色会集中在 AI 对经济和劳动力的影响。7

这类治理设计短期不会改变模型 API 的价格，但会影响大客户对供应商的信任。金融、政府、医疗、教育客户越来越在意模型公司是否有独立监督、利益冲突如何处理、重大风险由谁拍板。Anthropic 把经济学和宏观政策专家纳入信托，说明前沿模型公司的风险叙事已经不只围绕网络安全和生物安全，也开始覆盖劳动力市场、资本开支泡沫和经济冲击。

模型访问会进入「实体穿透」阶段。 只按 IP 地理位置或合同签署地判断客户风险会越来越不够。前沿模型供应商需要更细的法人、股权、调用行为和蒸馏检测能力，企业客户也要准备接受更重的合规问询。

Agent 产品的安全卖点会从权限面板转向运行时隔离。 Cloud Run sandboxes 给了一个清楚信号：能让 AI 写代码已经不稀奇，能把这段代码安全、低延迟、低成本地跑完，才是企业采购愿意付钱的部分。

算力主权会越来越像系统工程，而不是芯片口号。 曙光 8000 这类十万卡项目真正要证明的是网络、存储、散热、调度和应用适配。如果这些环节跑通，国产 AI 基建会多一个可复制样本；如果跑不通，规模只会放大运维和迁移成本。

融资会继续流向「自有优化环路」。 MiniMax 和 Prime Intellect 都在讲同一件事：把模型、数据、RL、评测、部署和推理成本抓在自己手里。未来 1-2 个季度，企业 AI 基础设施的好生意会围绕「让客户不完全依赖单一前沿模型实验室」展开。

人类控制权会成为产品功能，而不只是治理口号。 Reflect 是用户层的控制，LTBT 是公司层的控制。真正进入高风险客户预算的 AI 产品，可能都要同时回答这两个问题：用户如何知道自己在委托什么，供应商如何证明自己不会只按商业压力行动。