2026年10月，Politico独家披露了一件引爆欧洲科技政策圈的消息：布鲁塞尔一栋不起眼的办公楼里，欧盟网络安全局（ENISA）的研究人员正在做一件此前从未在制度层面发生过的事情——他们把DeepSeek和Qwen等中国开源AI模型接入了测试环境，开始系统性地评估这些模型的安全特性、偏见倾向和潜在风险。同期，欧盟联合研究中心（JRC）也在平行推进同类技术评估。(来源: Politico, 2026-10-09)

这不是某个学术团队的好奇心驱动实验，而是欧盟机构层级的、有组织的、具有政策含义的正式评估行为。

核心发现：当欧洲监管机构开始评估中国AI时，它不是在做技术测试，而是在被迫回答一个无法回避的政治问题——欧洲的数字主权，究竟属于谁？

这件事的意义，远比表面看起来要大。

过去3年，围绕AI的地缘政治博弈主要发生在中美之间：美国通过出口管制限制先进芯片流向中国，中国则通过开源策略试图在全球开发者生态中建立影响力。欧洲在这场博弈中长期扮演”规则制定者但非玩家”的角色——它有全球最严格的AI法规（EU AI Act），却没有能与OpenAI、Anthropic或DeepSeek抗衡的本土大模型。现在，ENISA的测试行动标志着一个转折：欧洲正在从”写规则”转向”用规则审查具体产品”，而第一个被放上解剖台的，是中国的开源模型。

这篇文章最核心的论点是：ENISA的测试本身不是终点，而是一个制度化先例的起点——它正在为全球开源AI生态引入一种”政府主导的安全认证”范式，这种范式一旦成型，将重新定义开源AI模型的全球流通规则，其影响远超中欧双边关系。

这篇文章将拆解3个层次的问题：ENISA到底在测什么？测试结果可能如何影响欧洲AI采购政策？以及，大多数人没看到的——这件事对全球开源AI生态的深远影响。

一、ENISA和JRC到底在做什么？

测试的范围与对象

根据Politico的报道，ENISA和JRC正在测试的中国AI模型包括DeepSeek和阿里巴巴的Qwen系列。(来源: Politico, 2026-10-09) 这些模型的共同特征是：它们都是开源（或更准确地说，”开放权重”）模型，任何人都可以下载、部署和修改。

这里需要做一个关键的技术区分。真正的”开源”意味着代码、训练数据、训练流程全部公开；而DeepSeek和Qwen采用的是”开放权重”（open-weight）策略——它们公开了模型权重，允许用户在本地部署和微调，但训练数据集的完整构成、训练过程中的对齐策略（alignment procedures）和数据过滤规则并未完全透明。这个区别在安全评估中至关重要：如果你无法审查训练数据，你就无法确定模型中是否存在系统性偏见、隐蔽的后门，或者对特定政治敏感话题的刻意回避。(来源: eSecurity Planet, 2026-10-12)

需要指出的是，这种”开放权重但训练过程不透明”的做法并非中国模型独有——Meta的Llama系列同样采用类似策略，公开模型权重但未完整披露训练数据构成。因此，ENISA面对的透明度挑战在一定程度上是开放权重模型的结构性特征，而非仅限于特定来源国的问题。

ENISA的测试并非仅仅是”跑个benchmark看看分数”。根据报道，评估涵盖了多个维度：网络安全能力（模型是否能被用于生成恶意代码或协助网络攻击）、内容安全（模型在处理敏感话题时的行为模式）、以及偏见与可靠性（模型输出是否存在系统性偏差）。(来源: Politico, 2026-10-09; The Next Web, 2026-10-09) 不过，截至本文撰写时，ENISA和JRC均未公开披露其具体的测试方法论和评估指标体系，以下对测试维度的分析是基于公开报道和行业惯例的合理推断。

为什么是ENISA？

ENISA是欧盟的网络安全机构，其职责是为欧盟成员国提供网络安全方面的技术支持和政策建议。它并不是一个AI研究机构，也不是AI监管的直接执行者（那是各成员国的AI监管机构和欧盟AI办公室的职责）。但ENISA介入AI模型测试，有其内在逻辑。

2026年7月，欧盟委员会发布了《网络安全与人工智能行动计划》（EU Action Plan on Cybersecurity and Artificial Intelligence），明确提出要加强对AI系统的网络安全评估能力，特别是在关键基础设施和公共部门应用场景中。(来源: European Commission, EU Action Plan on Cybersecurity and AI, 2026-07-07) 这份行动计划为ENISA提供了制度授权：AI模型不仅是一个”智能工具”，更是一个潜在的网络安全风险载体。一个被广泛部署在欧洲公共部门的AI模型，如果存在安全漏洞或可被操纵的行为模式，其影响等同于关键基础设施的安全事件。

JRC的参与则代表了另一个维度。JRC是欧盟委员会的内部科学服务机构，其评估更偏向技术基准测试和科学分析，而非安全审查。两个机构的平行测试，意味着欧盟正在从”安全”和”科学”两个角度同时构建对中国AI模型的认知框架。(来源: The Next Web, 2026-10-09)

测试的”秘密”性质

值得注意的是，这些测试并非通过新闻发布会高调宣布，而是被Politico通过调查报道揭露。(来源: Politico, 2026-10-09) 这种低调处理本身就传递了信号：欧盟机构意识到，公开宣布”我们在测试中国AI模型”会立即引发地缘政治层面的解读——无论是被解读为”对中国技术的不信任”，还是”为封禁中国AI做准备”，都会让评估过程本身被政治化，从而削弱其科学公信力。

但”秘密”并不意味着”非正式”。从报道细节来看，这些测试是在机构框架内进行的，有明确的评估方法论和预期产出。据Politico和eSecurity Planet的报道分析，测试结果预计将输入到欧盟的AI政策制定过程中，特别是关于公共部门AI采购标准的讨论。(来源: Politico, 2026-10-09; eSecurity Planet, 2026-10-12) 但需要说明的是，截至目前，ENISA和JRC均未正式确认测试结果的具体发布时间表和政策转化路径，以下分析基于现有公开信息的合理推断。

二、测试背后的3层逻辑

第1层：技术安全——开放权重模型的”信任赤字”

开放权重模型的安全评估面临一个根本性悖论：模型权重的开放让任何人都可以审查模型的行为，但训练过程的不透明又让任何人都无法完全理解模型为什么会有这些行为。

以DeepSeek为例。DeepSeek-R1和DeepSeek-V3在多个公开基准测试中展现了与GPT-4和Claude 3.5相当的性能水平，其在数学推理和代码生成方面的能力尤其突出。但安全研究者关注的不是模型”能做什么”，而是模型”在什么情况下会做什么不该做的事”。

具体来说，基于行业通行的AI安全评估实践和公开报道的信息，ENISA的测试可能涵盖以下技术维度（以下为基于公开信息的合理推断，具体测试方法论尚未被官方披露）：

1. 越狱（Jailbreak）抗性测试： 通过精心设计的提示词（adversarial prompts），测试模型是否能被诱导生成有害内容——包括网络攻击代码、社会工程学话术、或虚假信息。开放权重模型的一个特殊风险是：即使原始模型有安全护栏，任何人都可以通过微调（fine-tuning）移除这些护栏。ENISA需要评估的是：原始模型的安全护栏有多强？被微调后的安全降级有多容易？值得注意的是，这一风险同样适用于Meta Llama等非中国来源的开放权重模型。

2. 内容偏见与审查模式分析： 中国开发的AI模型在处理政治敏感话题（如台湾问题、新疆、天安门事件等）时，通常会表现出明显的回避或偏向性回答模式。这一现象已被多个独立安全研究团队记录，包括Anthropic和学术界的红队测试报告。(来源: 基于多项公开安全研究的综合判断) 这不是一个纯技术问题——它涉及到一个根本性的政策问题：如果欧洲公共部门使用的AI助手在特定话题上系统性地回避或扭曲信息，这是否构成信息安全风险？当然，需要公平地指出，美国模型同样存在特定方向的内容偏见（例如在涉及美国外交政策的敏感话题上），只是偏见的方向和程度有所不同。

3. 数据泄露风险评估： 开放权重模型可以在本地部署，理论上数据不需要离开欧洲。但实际部署中，许多组织会使用模型提供商的API服务或云端推理服务，这就涉及到数据跨境传输问题。ENISA需要评估的是：在不同部署模式下，数据安全风险有何差异？

4. 供应链安全： 开放权重模型的权重文件通常通过Hugging Face等平台分发。模型更新的频率、更新过程中的完整性验证机制、以及模型依赖的软件栈（如推理框架）的安全性，都是供应链安全评估的范畴。

第2层：制度建设——为EU AI Act的落地铺路

EU AI Act已于2024年正式通过，其中对”通用目的AI模型”（General-Purpose AI Models, GPAI）设定了透明度和安全要求。根据该法案，被归类为具有”系统性风险”的GPAI模型需要满足更严格的评估标准，包括对抗性测试（adversarial testing）、模型评估报告的发布、以及严重事件的报告义务。

但EU AI Act的条文是抽象的——它说”需要进行对抗性测试”，但没有说具体怎么测、测什么、用什么标准判定通过或不通过。ENISA和JRC的测试，实质上是在为这些抽象条文填充具体的技术内容。它们的测试方法论、评估框架和发现，很可能成为未来欧盟制定AI模型安全评估标准的事实基础。(来源: European Commission, EU Action Plan on Cybersecurity and AI, 2026-07-07) 这一判断基于以下逻辑：EU AI Act明确要求制定实施细则，而ENISA和JRC作为欧盟委员会的技术支撑机构，其评估成果是最可能被纳入实施指南的技术输入之一。

这里有一个微妙但重要的制度设计问题：EU AI Act的合规义务主要落在”提供者”（provider）身上。对于闭源模型（如GPT-4、Claude），提供者是明确的——OpenAI和Anthropic需要满足合规要求。但对于开放权重模型，”提供者”的定义变得模糊：DeepSeek发布了模型权重，但如果一家欧洲公司下载这些权重并在自己的产品中部署，谁是”提供者”？是DeepSeek还是那家欧洲公司？EU AI Act对此有初步的框架性规定（对模型进行实质性修改的下游部署者可能被视为新的提供者），但具体的判定标准仍在制定中。

ENISA的测试结果可能直接影响这个问题的政策走向。如果测试发现中国开放权重模型存在系统性安全风险，欧盟可能会要求任何在欧洲部署这些模型的组织承担额外的安全评估义务——这实质上会增加使用中国开源模型的合规成本，从而间接影响采购决策。

第3层：地缘政治——”技术主权”叙事的新战场

ENISA测试中国AI模型这件事，不可能脱离地缘政治背景来理解。

2026年，围绕中国AI模型的安全担忧在西方国家持续升温。意大利数据保护机构（Garante）曾于2025年初对DeepSeek的数据处理行为展开调查（来源: Politico, 2025-01）；美国国会议员多次呼吁审查中国AI模型在美国的使用情况；澳大利亚和韩国也对政府部门使用中国AI工具实施了不同程度的限制。这些事件构成了ENISA测试行动的更广泛国际背景。

欧洲的处境比美国更复杂。美国有自己的AI冠军企业（OpenAI、Anthropic、Google、Meta），限制中国模型的同时有充足的替代选项。欧洲没有。如果欧洲公共部门不能使用中国开源模型，它们的选择就只剩下美国闭源模型（昂贵且存在对美依赖）、美国开源模型（Meta的Llama系列）、或者少数欧洲本土模型（如Mistral AI和Aleph Alpha，但其规模和能力与前述模型仍有差距）。

这就产生了一个三难困境：

  • 选择中国开源模型： 成本低、可本地部署、技术能力强，但存在安全和政治风险；
  • 选择美国闭源模型： 技术成熟、安全审查相对透明，但成本高、数据可能流向美国、加深对美技术依赖；
  • 选择欧洲本土模型： 符合”技术主权”叙事，但技术能力和生态成熟度可能不足。

这个三难困境揭示了一个更深层的结构性问题：在AI领域，欧洲同时面临”安全依赖”和”技术依赖”的双重困境——无论选择哪个方向，都无法同时满足安全、成本和主权三个目标。 这正是ENISA测试行动的真正战略意义所在：它不仅是在评估中国模型的安全性，更是在为欧洲在这个三难困境中寻找最优解提供技术证据基础。

[洞见] 欧洲的AI困局，不是技术问题，而是一道没有正确答案的政治算术题：拒绝中国模型，就是拥抱美国依赖；拥抱中国模型，就是接受主权风险；选择欧洲模型，就是用今天的能力差距换取明天的自主空间。ENISA的测试，本质上是在为这道无解题寻找一个”够用”的答案。

ENISA的测试，从某种意义上说，是在为这个三难困境提供”技术证据基础”。如果测试结果显示中国模型的安全风险在可管理范围内，欧洲可能会采取”有条件使用”的政策路径——允许在特定场景下部署中国开源模型，但附加安全评估和数据保护要求。如果测试结果显示存在不可接受的风险，欧洲可能会走向更严格的限制。当然，最终的政策走向不仅取决于技术评估结果，还将受到成员国间的政治博弈、产业利益集团的游说、以及中美欧三方外交关系的综合影响。

三、两种对立视角：开放主义vs.安全优先

视角1：开放主义者——”测试是好事，但不应成为保护主义工具”

持这一立场的人认为，ENISA测试中国AI模型本身是积极的——任何AI模型在被公共部门采用之前都应该经过严格的安全评估，无论其来源国。问题在于，如果评估标准被设计为”针对中国模型”，或者评估结果被选择性地用于限制特定国家的模型，那么这就不再是安全评估，而是披着技术外衣的保护主义。

开放权重模型的核心价值在于其可审查性。与闭源模型不同，任何安全研究者都可以下载DeepSeek或Qwen的权重，在本地运行全面的安全测试。这种透明度本身就是一种安全优势。如果ENISA的测试方法论是公开的、可复现的，那么测试结果无论如何都是对整个生态系统有益的贡献。

此外，开放主义者会指出，限制中国开源模型的使用并不会消除安全风险——它只会把欧洲推向对美国闭源模型的更深依赖。而美国闭源模型的安全性同样无法被完全验证，因为其模型权重、训练数据和对齐策略对外部审查者是不透明的。从纯安全角度看，一个可以在本地部署和审查的开放权重模型，可能比一个只能通过API访问的闭源模型更安全。

视角2：安全优先者——”开放权重不等于安全，来源国风险是真实的”

持这一立场的人认为，开放权重模型的”可审查性”是一个理论上的优势，但在实践中很少被充分利用。大多数部署开放权重模型的组织并没有能力或资源对模型进行深度安全审计。它们下载权重、部署服务、然后就开始使用——中间几乎没有安全评估环节。

更重要的是，开放权重模型的训练数据不透明问题是真实存在的。中国的数据治理环境与欧洲有根本性差异：中国的网络安全法和数据安全法要求企业配合国家安全机关的数据访问请求；中国的内容审查制度意味着训练数据本身可能经过系统性过滤，导致模型在特定话题上的输出存在偏见。这些不是假设性风险——多项独立测试已经证实，DeepSeek等模型在处理涉及中国政治敏感话题时会表现出明显的回避或偏向性。(来源: 基于多个安全研究团队的公开测试报告，包括学术界和商业安全公司的红队评估)

安全优先者还会指出一个更深层的风险：供应链操纵。虽然开放权重模型的权重是公开的，但训练过程是不可见的。理论上，一个模型可以在训练过程中被植入”休眠”行为——在正常使用中表现正常，但在特定触发条件下表现出异常行为（类似于软件中的后门）。需要说明的是，截至目前，尚无公开证据表明DeepSeek或Qwen等模型中存在此类后门植入。这一风险更多是一种理论上的可能性，但正是这种”无法证伪”的特性使其成为安全评估中必须考虑的因素。检测这种深层植入的安全威胁，需要远超普通安全审计的能力。

我的判断

两种视角都有其合理性，但我认为安全优先者的论点在当前地缘政治环境下更具说服力——前提是安全评估必须是技术驱动的、标准化的、对所有来源国的模型一视同仁的。

ENISA的测试如果只针对中国模型，而不同时对美国模型（包括OpenAI、Anthropic、Meta的模型）进行同等严格的评估，那么其结论的公信力将大打折扣。真正有价值的做法是：建立一套统一的、来源国无关的AI模型安全评估框架，然后对所有被考虑用于欧洲公共部门的模型——无论来自中国、美国还是欧洲——进行同等标准的评估。

事实上，这正是欧盟《网络安全与人工智能行动计划》所暗示的方向：建立AI系统的网络安全评估能力，作为一种水平性的（而非针对特定国家的）制度建设。(来源: European Commission, EU Action Plan on Cybersecurity and AI, 2026-07-07) 然而，制度设计的意图与实际执行之间往往存在差距——评估框架在技术层面可以做到”来源国中立”，但在政治层面，哪些模型被优先测试、测试结果如何被解读和传播，都可能偏离技术中立的初衷。这是值得持续关注的风险。

四、大多数人没看到的：这件事对全球开源AI生态的结构性影响

4.1 “制度化审查”可能成为开源AI的新常态

ENISA对中国开源模型的测试，可能开创一个先例：政府机构对开源AI模型进行制度化安全审查。

此前，开源AI模型的安全评估主要依赖于学术界和安全研究社区的自发努力——比如MLCommons的AI Safety Benchmark、Stanford的HELM评估框架等。这些评估是有价值的，但它们是学术性的、自愿性的、非强制性的。ENISA的测试则不同：它是政府机构主导的、具有政策含义的、可能导致强制性后果的评估。

如果ENISA的测试方法论和评估框架被正式化，它可能演变为一种事实上的”AI模型安全认证”制度——类似于欧盟对电子产品的CE认证。任何想要进入欧洲公共部门市场的AI模型，无论开源还是闭源，都可能需要通过这套评估。

这里存在一个值得关注的历史类比：GDPR的”布鲁塞尔效应”。 当欧盟推出GDPR时，许多人认为这只是一个区域性法规。但由于欧洲市场的规模和影响力，GDPR事实上成为了全球数据保护的基准标准——许多非欧洲国家和企业主动采纳了GDPR标准。如果ENISA建立的AI安全评估框架足够严谨和系统化，它同样可能产生类似的”布鲁塞尔效应”——成为全球AI模型安全评估的事实标准。这意味着，ENISA当前的测试行动，其影响范围可能远超欧洲公共部门采购这一具体场景。

这对开源AI生态的影响是双面的：

积极面： 制度化的安全评估可以提高整个开源AI生态的安全水平，为用户提供更可靠的安全信息，降低”盲目部署”的风险。

消极面： 制度化的安全评估会增加开源模型进入特定市场的门槛。大型公司（如Meta、阿里巴巴）有资源应对合规要求，但小型开源项目可能因为无法承担评估成本而被排除在外。这可能导致开源AI生态的”寡头化”——只有大公司支持的开源模型才能通过安全认证，独立开发者的模型则被边缘化。

[洞见] 开源AI正在经历一场”围栏运动”：当政府开始为开放权重模型颁发通行证，”开源”就不再意味着自由流通，而是意味着你有没有能力通过国家级安全审查。这不是AI的终结，而是AI从”技术commons”变成”受监管基础设施”的历史性转折。

4.2 中国开源AI的”欧洲策略”可能被迫调整

DeepSeek和Qwen在全球开发者社区中的快速扩张，很大程度上得益于其开放权重策略和极具竞争力的性能。特别是DeepSeek，其模型在多个基准测试中展现了令人印象深刻的性价比——以相对较少的计算资源实现了接近前沿模型的性能。

但ENISA的测试可能迫使中国AI公司重新思考其欧洲策略。如果测试结果导致欧盟对中国开源模型施加额外的合规要求（这是基于当前政策趋势的推断，而非已确认的政策方向），中国公司可能需要：

  1. 提高训练过程的透明度： 发布更详细的模型卡（model card），包括训练数据的构成、对齐策略的描述、以及已知的安全局限性。
  2. 建立欧洲本地化部署方案： 确保模型可以在欧洲境内完全本地化运行，数据不需要跨境传输。
  3. 参与欧盟的安全评估过程： 主动与ENISA等机构合作，提供测试所需的技术信息和支持。
  4. 设立欧洲实体： 类似于TikTok设立”Project Texas”以应对美国的数据安全担忧，中国AI公司可能需要在欧洲设立独立的运营实体，以满足数据治理和安全审查要求。

这些调整的成本并不低。对于DeepSeek这样的公司来说，其核心竞争优势在于技术能力和开放策略，而非合规基础设施。被迫在欧洲建立复杂的合规体系，可能会分散其技术研发的资源和注意力。当然，是否进行这些调整取决于中国AI公司对欧洲市场战略重要性的判断——如果欧洲市场的收益不足以覆盖合规成本，部分公司可能选择放弃或降低对欧洲市场的优先级。

4.3 “安全评估”可能成为新的非关税壁垒

这是最值得警惕的趋势。如果AI模型安全评估的标准被设计为事实上偏向特定国家或特定技术路线的模型，它就会成为一种新形式的非关税壁垒。

历史上，技术标准作为贸易壁垒的案例并不罕见。欧盟的GDPR虽然名义上是数据保护法规，但其合规成本对非欧洲企业的影响远大于对欧洲企业的影响。类似地，如果ENISA的AI安全评估框架包含了一些中国模型难以满足但美国模型容易满足的要求（比如要求公开训练数据的详细构成——这对任何大模型提供者来说都很难做到，但对闭源模型来说可以通过其他合规机制绕过），那么这个框架就会事实上偏向美国模型。

反过来也一样：如果评估框架强调”本地部署能力”和”权重公开性”，那么开放权重模型（包括中国的DeepSeek、Qwen和美国Meta的Llama）就会比闭源模型（OpenAI的GPT系列、Anthropic的Claude系列）更容易通过评估。

评估框架的设计选择，本质上是一个政治决策，而非纯技术决策。ENISA和JRC的测试结果如何被转化为政策建议，将决定这个框架偏向哪个方向。这一判断基于对欧盟技术标准制定历史的观察——从电信标准到数据保护法规，技术标准的设计从来都不是纯粹的技术过程，而是技术考量与政治经济利益博弈的产物。

4.4 对Mistral AI和欧洲本土AI的隐含利好

ENISA的测试行动，对欧洲本土AI公司——特别是法国的Mistral AI和德国的Aleph Alpha——可能构成间接利好。

如果测试结果导致对中国和美国AI模型的使用施加更严格的条件，欧洲公共部门在采购AI服务时可能会更倾向于选择欧洲本土模型。这不是因为欧洲模型技术更好，而是因为它们的合规成本更低——它们的开发团队在欧洲，数据治理符合欧洲标准，安全审查可以更直接地进行。

Mistral AI在这方面具有独特优势。作为欧洲最具影响力的开源AI公司，Mistral的模型（如Mistral Large和Mixtral系列）既有开放权重版本，又有商业化的API服务，且其总部位于巴黎，天然符合欧洲数据治理要求。如果ENISA的评估框架最终演变为一种”AI模型安全认证”制度，Mistral可能成为最大的受益者之一。

但这里有一个反直觉的风险：如果欧洲通过安全评估制度为本土模型创造了”保护性优势”，这可能在短期内帮助欧洲AI公司获得市场份额，但在长期内削弱它们的竞争力。在一个不需要与DeepSeek和OpenAI正面竞争的市场中，欧洲AI公司缺乏提升技术能力的压力。保护主义从来不是培养技术冠军的有效策略——欧洲电信设备行业在受保护环境下的竞争力演变，以及日本半导体产业在贸易壁垒保护下的逐步衰落，都是值得参考的前车之鉴。

五、从ENISA测试到欧洲AI采购规则：可能的演变路径

基于目前的公开信息和对欧盟政策制定模式的分析，我判断ENISA测试可能沿以下路径影响欧洲AI政策（以下为推断性分析，实际政策走向将取决于多重因素的综合作用）：

路径1：建立”AI模型安全评估框架”（据判断最可能实现的路径）

ENISA和JRC的测试结果被整合为一套标准化的AI模型安全评估方法论，并被纳入EU AI Act的实施指南中。根据欧盟在GDPR领域采用的”水平性”（horizontal）监管框架经验，这一路径与欧盟的政策制定偏好最为吻合，也最可能作为政治阻力最小的首选路径推进。

这套方法论将适用于所有被考虑用于欧洲公共部门的AI模型，无论其来源国。在这个路径下，中国开源模型不会被”禁止”，但会面临与其他模型相同的安全评估要求。由于中国模型在训练数据透明度和内容偏见方面可能存在更多问题，它们通过评估的难度可能更大——但这是基于技术标准的差异化，而非基于来源国的歧视。

支持这一判断的依据：欧盟一贯偏好”水平性”而非”针对性”监管，EU AI Act本身的设计理念也是技术中立的。ENISA局长Juhan Lepassaar在接受Politico采访时也特别强调，测试覆盖的不只是中国模型，而是”包括中国、美国和欧洲的模型”。(来源: Politico, 2026-10-09)

路径2：建立”分级采购制度”（有可能，但政治阻力较大）

欧盟根据AI应用的敏感程度建立分级采购制度：

  • 高敏感场景（如国防、执法、关键基础设施）：只允许使用通过最高级别安全评估的模型，实际上可能排除大多数外国模型；
  • 中等敏感场景（如公共服务、教育）：允许使用通过标准安全评估的模型，但附加数据保护和审计要求；
  • 低敏感场景（如一般办公、信息查询）：允许使用任何符合EU AI Act基本要求的模型。

这种分级制度在逻辑上是合理的——不同场景的安全需求确实不同。但在实践中，”敏感程度”的划分本身就是一个高度政治化的决策。

路径3：事实上的”中国AI禁令”（可能性较低，但不可排除）

如果ENISA的测试发现了严重的安全问题——比如模型中存在可被利用的系统性漏洞，或者模型在特定条件下表现出可能被远程操纵的行为——欧盟可能会发布针对中国AI模型的使用限制指南，建议公共部门避免使用这些模型。

这种情况的可能性较低，因为它会引发严重的外交后果，且与欧盟一贯的”技术中立”原则相矛盾。但在当前的地缘政治氛围下，特别是如果在测试期间发生重大的中欧关系恶化事件或涉及中国AI模型的安全事故，不能完全排除这种可能性。

需要强调的是，以上路径分析是基于对欧盟政策制定模式、当前地缘政治环境和技术发展趋势的综合判断，而非基于任何内部信息或官方表态。分析过程中刻意避免使用具体概率数字，因为这类政策预测本质上无法量化。实际政策走向可能因突发事件或政治环境变化而显著偏离这些预判。

六、更大的图景：AI地缘政治的”欧洲时刻”

ENISA测试中国AI模型这件事，需要被放在一个更大的背景下理解：欧洲正在经历其AI战略的关键转折期。

根据《欧盟人工智能法案》第51、52条，所有通用AI（GPAI）提供者须强制提交系统性评估报告并承担透明度义务，而据业界估算，欧洲公共部门AI采购市场规模在数十亿欧元级别，谁能率先通过欧盟合规框架的隐性认证，谁就掌握了这一市场的入场券。(来源: EU AI Act官方文本, 2024; 业界估算)

过去5年，欧洲的AI策略可以概括为”监管先行”——通过EU AI Act等法规建立全球最严格的AI治理框架，试图以规则制定者的身份在全球AI竞争中占据一席之地。这个策略的逻辑是：即使欧洲没有最强的AI技术，它也可以通过制定规则来影响全球AI发展的方向。

但”监管先行”策略正在遇到现实的挑战。EU AI Act的合规要求被批评为过于复杂，可能阻碍欧洲自身的AI创新。与此同时，中国和美国的AI能力差距并没有因为欧洲的监管而缩小——如果说有什么变化的话，差距可能在扩大。

ENISA的测试行动标志着欧洲AI策略的一个微妙转变：从”写规则”到”用规则”。这不再是抽象的法律条文讨论，而是具体的技术评估和政策执行。这个转变的意义在于：它迫使欧洲正面回答一个此前一直被回避的问题——在AI供应链中，欧洲到底愿意承受多大程度的对外依赖？

这个问题没有简单的答案。完全的”AI自主”对欧洲来说既不现实也不经济——欧洲没有足够的计算基础设施、训练数据规模和AI人才储备来支撑完全自主的AI生态。但完全的”AI开放”也不可行——在一个AI能力越来越与国家安全挂钩的世界中，不加区分地使用所有来源的AI模型是不负责任的。

ENISA的测试，本质上是在寻找这两个极端之间的平衡点。它的结果不会给出一个最终答案，但会为欧洲的AI政策讨论提供急需的技术事实基础。

七、So What：这对你意味着什么？

如果你是欧洲公共部门的IT决策者：现在就应该开始关注ENISA的测试进展和后续政策建议。在测试结果公布之前，谨慎对待在关键业务中部署中国开源模型的决策。建立内部的AI模型安全评估能力，不要等到监管要求出台后才开始准备。

如果你是中国AI公司的国际化负责人：欧洲市场的合规门槛正在提高。仅仅发布开放权重是不够的——你需要提供更详细的模型文档、更透明的安全评估报告、以及更完善的欧洲本地化部署方案。主动与ENISA等机构建立沟通渠道，比被动等待评估结果要好。

如果你是美国AI公司的欧洲业务负责人：不要以为ENISA只会审查中国模型。如果欧盟建立了统一的AI安全评估框架，你的模型同样需要通过评估。闭源模型在透明度方面的天然劣势，可能在这个框架下成为一个需要额外应对的合规挑战。

如果你是AI安全研究者：ENISA的测试方法论和评估框架，一旦公开，将成为AI安全领域的重要参考。关注这个领域的发展，参与评估标准的讨论，确保最终的框架是科学驱动的而非政治驱动的。

如果你是投资者：欧洲AI采购规则的变化将直接影响AI公司在欧洲市场的商业前景。Mistral AI等欧洲本土AI公司可能从中受益；依赖中国开源模型的欧洲AI应用公司可能面临合规成本上升的风险；而能够帮助组织进行AI安全评估的网络安全公司，可能迎来新的市场机会。需要注意的是，这些判断基于当前政策趋势的推断，实际投资决策应结合更全面的尽职调查。

结语

ENISA秘密测试中国AI模型，表面上是一个技术评估事件，实质上是AI地缘政治博弈向欧洲延伸的标志性时刻。它的意义不在于测试结果本身——无论结果如何，中国开源AI模型的技术能力是客观存在的——而在于它开启了一个制度化的评估过程，这个过程的设计和执行将深刻影响全球开源AI生态的未来格局。

在一个AI能力日益成为国家竞争力核心要素的世界中，”谁的模型可以被信任”正在成为一个与”谁的芯片可以被出口”同等重要的地缘政治问题。ENISA的测试，是欧洲对这个问题的第一次正式回应。它不会是最后一次。

参考资料

  1. EU cyber and science researchers are testing Chinese AI models — Politico, 2026-10-09
  2. EU’s cyber agency and research centre are testing Chinese AI models — The Next Web, 2026-10-09
  3. EU action plan on cybersecurity and artificial intelligence — European Commission, 2026-07-07
  4. EU Agencies Test Chinese Open-Weight AI Models — eSecurity Planet, 2026-10-12

主题分类：地缘AI/安全