摘要

这轮 AI 的产业分水岭，不是模型能否生成内容，而是谁能把“通用的智力引擎”纳入可靠生产。 韦韬认为，大模型上限已超过许多普通人，却仍会删文件、编文献、算错基础题；真正稀缺的是高于模型的行业认知、明确主张与事实核验。“你的认知要高过大模型，而不是被大模型替代掉。”
密态计算的核心价值，是让数据不以明文流转为前提仍可加工、融合和验证，从而把安全由刹车变成加速器。 数据源方以密钥控制许可和结果析出，运维、研发人员无法看到中间明文；韦韬的比喻是，没有刹车就不敢在高速上开到 120，保障越完整，机构反而越敢释放高价值、高敏感数据。
这套基础设施已经越过论文验证，进入农业贷款、新能源车险和医保商保等可量化场景。 农业贷款由遥感大模型评估资产、密态时空计算核验土地，试点从 2023 年江西一县扩至全国 2,688 个县；新能源车险面对超过 100% 的赔付率，通过车辆、驾驶行为和保险数据融合来识别风险并改善定价；医保商保清分结算中心则于 6 月 26 日发布并支持直赔等功能。“农民完全不知道背后发生了什么，享受便利就可以了。”
AI 会扩大密算需求，因为企业既不能忽视大模型生产力，也无法把敏感数据直接送入公网服务。 私有化部署昂贵且升级慢；韦韬称，公有云通过 P/D 分离等技术可显著降低推理成本，在阿里云上“满血 DeepSeek”的 token 价格与千问 3 相同；叠加密态计算后，公有云方案仍远低于私有化一体机。
韦韬把大模型不可靠归因于“手工作坊式使用”，而不是等待幻觉从 Transformer 中消失。 他的高阶程序把自然语言承载知识、编程语言承载边界与逻辑，再经“显性化、受控化、约定化”拆任务、逐步核验并用场景数据验收。“我们用错了”意味着 AI 应被组织成工业流水线，而非让一个模型一杆子到底。
生产级 AI 未必由最大模型统治，32B 级专用模型可能比巨型通用模型更具成本和控制优势。 韦韬把千问 3 的 32B 称为“生产流水线的模型”，强调其可跑在单卡上；235B、480B 等更大模型适合 Copilot 式专家交互，却不必然在可靠性上胜过小模型。“不同的车应该有不同的引擎来匹配。”
AI 同时把网络攻击能力向下普及，安全产业面对的是攻击成本下降与防御复杂度上升的剪刀差。 过去不会编程的黑产可能花几百元外包工具，现在可直接借助 Cursor；韦韬甚至称，降低中文编程门槛的易语言程序中“95%以上”是黑灰产工具。进攻只需找到一点，防守却必须“严丝合缝”地建立纵深体系。
密算商业化的关键不是出售昂贵算法模块，而是让上层数据业务产生基础设施投入数十倍乃至数百倍的价值。 蚂蚁从 2016 年研发、2022 年开源隐语，再走向商业公司服务中小企业；开源扩大人才与采用面，商业化负责交付、运维和普惠。“真正最值钱的不是隐私计算技术模块本身，而是上面跑的数据业务。”

精读

1. 大模型第一次成为通用智力引擎，但仍像人一样有高低起伏

韦韬经历了从 1993、1994 年互联网进入中国到今天的多轮技术迭代；在他看来，此前连 AlphaGo 都是专用系统，这一轮才是人类第一次造出“通用的智力引擎”。
这种通用性同时带来极高上限和极低下限：模型可能比普通大学生更会做数学、奥数题，也可能犯低级错误甚至“动不动删文件”。它不是全知机器，而是会犯错的通用智能。
最打动他的应用仍是 AI 辅助编程。创业时代的难题是“万事俱备，只差 CTO”；现在不会写代码的人只要描述需求，也可能让模型生成一个能够运行的完整 App。
他自己的标志性小工具只有一句需求：把可能跨系统、跨版本错版的 PPT 固化为图片，再重新生成锁定排版的 PPT。过去不值得亲手开发的微小痛点，现在很快就能解决。

2. AI 能替人写字，却替不了专家的主张与事实责任

对于下属汇报是否由 AI 生成，韦韬并不在意辞藻来源；真正重要的是能否提出足以影响行业、推动事情发生的核心观点。“你的认知要高过大模型”，才可能指导它生成所需内容。
大模型擅长消除“卡文”，却不能替专家承担判断。专业人士过去有主张但写作吃力，现在可让模型从不同角度表达；如果人自己没有观点，顺滑文字也只是堆砌。
他的幻觉解释是“有损压缩”：大量规律可以压缩，但历史事实充满偶然性；高压缩率下，一旦把事实压错，即便后续规则推导完全正确，结论仍会从根上出错。
柯基用 ChatGPT 查到“韦韬写站规比写情书认真”，韦韬当场判断这是幻觉，且“大概率是在讲刘佳”。他也承认想象有创造性价值，并以门捷列夫梦见元素周期表、凯库勒梦见苯环为例，但事实性使用必须逐项核验。

3. MIT BBS 让韦韬看到，规则之外更重要的是社区自身演进

MIT BBS 起于刘佳获得 MIT offer 之后；当时在方正工作的韦韬参与早期技术建设，后来主要留在国内，在出现技术问题时继续支持。它逐渐汇聚北大、清华出国学生，成为一代北美留学生的“精神家园”。
早期建设者曾投入大量精力制定站规，后来却发现“光靠规则这件事情很多是解不了的”。韦韬把社区治理类比为法治与德治：规则只能覆盖一部分，健康生态、共同情绪和自律决定社区能否持续演进。

4. AI 把攻击能力平民化，而防守仍必须覆盖每一处缝隙

韦韬的安全判断很直接：“所有的技术用于攻击往往是更简单的。”攻击者找到一个突破口即可，防守方却必须在各方面形成严丝合缝的纵深抵抗。
黑产采用新技术的速度明显加快。过去蚂蚁抓到过不会编程、花几百元请社区程序员写攻击工具的人；有了 Cursor 等 AI 编程工具，这类外包门槛可能直接消失。
他给出的刺眼样本是易语言：它以中文降低编程门槛，却据其观察有“95%以上”程序属于黑灰产工具。黑产既有能在国际上“呼风唤雨”、拥有研究所和银行资源的顶端团体，也有数量庞大、以简单工具造成大面积危害的草根层。

5. 二十多年攻防经验说明，安全胜利通常发生在看不见的地方

韦韬从 1999 年规划北京申奥网站、2000 年建设并承担安全保障开始进入一线。2001 年北京申奥成功、街头敲锣打鼓时，他留在楼上守网站；其团队多年来的防御体系“基本上是零事故”。
在一次暗网个人信息贩卖案中，多家公司共同追踪数月，蚂蚁团队从超过 100 人的嫌疑名单中锁定目标并协助警方抓捕，案件后来成为他所称的公安部个人信息保护“第一大案”。
这类结果并不意味着压力下降。匿名网络、快速迭代的攻击工具和不同层级的产业链都在强化对抗，只是行业安全基础设施以及监管者、专家的认知也在同步提高。

6. 个人隐私保护最便宜的办法，是主动打断 ID mapping

韦韬给普通人的第一条建议不是管理上百个密码，而是寄快递、填物流信息时“不要用真名”。黑灰产和互联网服务最想完成的是 ID mapping，把不同来源的数据汇聚到同一个自然人身上。
假名会显著增加跨库匹配难度；手机号也可通过专用号码做隔离，而二次放号本身已使许多身份映射系统混乱。关键不是单项数据绝对不泄露，而是避免所有信息轻易串成完整画像。
他认可“网证”方向：需要实名受理的服务掌握真实身份，普通互联网服务只获得假名化凭证。若能从制度和技术上打断 ID mapping，保护成本会远低于事后阻止数据交易。

7. 人脸的主要风险是滥用，识别与活体核验不能混为一谈

韦韬不赞成因隐私担忧一刀切排斥人脸。他称人脸是连接线上与线下“最好的技术，没有之一”：二维码、NFC 都依赖有电、有网且未丢失的设备，人脸则可成为其他手段失效后的最后一道把关。
人脸识别只是判断“你是谁”，人脸核身还要证明此刻出现的是“活的你、真实的你”。许多擅长 AI 识别的公司尚未跨越安全核验的技术鸿沟，不能把两种能力视为一回事。
真正棘手的是未经同意即可采集并非法使用人脸。韦韬认为可信技术能够把人脸限定在约定场景内，在认证能力与防滥用之间取得平衡；简单禁用相当于“把孩子和洗澡水一起倒掉”。
对生成视频，他判断“骗过人的眼睛不是特别难”，骗过专业计算机分析则远未做到。电影中的坠崖车辆会被加速却不妨碍观感，同理，AI 视频即使栩栩如生，手指、物理细节等仍可能留下大量机器可见破绽。

8. 密态计算把数据许可权留在密钥，而不是交给运维者

韦韬将产业算力分为通算、智算与密算：CPU 承担通用计算，GPU 承担智能计算，而密态计算解决“必须先拿到明文才能使用数据”的旧前提。
在密算链路中，计算过程、模型、大数据处理中间结果都处于密态；只有数据源方许可的场景可以执行，只有双方约定的结果可在其密钥授权下析出明文。
无论谁研发或运维系统，都无法直接获得相关明文。由此既保护易复制、易变形、易滥用的数据，又让数据价值能在贷款、保险、医疗等业务中发挥作用。
韦韬反转了“安全踩刹车”的常见印象：“假如没有刹车，你敢把车速开到 120 吗？”道路、车辆和规则的安全体系大多不可见，却正是高速行驶的前提；密算要扮演信息高速公路上的同类基础设施。

9. 隐私计算路线差异巨大，但最终可以用攻击成本统一度量

隐私保护计算并非一种技术：多方安全计算和全同态密码学体系依靠纯密码学；机密计算依靠 CPU 内存加密与系统可信根；联邦学习则容忍部分信息泄露，以换取更高效率。
全同态提供的安全级别可能最高，但韦韬给出的代价是计算比明文慢约 10 万倍、数据膨胀约 1 万倍，原本 1G 的数据可能变成 10T。机密计算则让数据在内存中保持加密，只在 CPU Cache 内解开运算，形成“硬件密态”。
国际上长期认为不同路线无法用同一把尺子衡量。蚂蚁近两年提出的统一尺度不问实现方式，而问攻击者要付出多大代价、克服多大不确定性才能突破保障。
这套方法已与国信测评共同建设相关标准并开展试点。韦韬认为，它不仅适用于隐私计算，也可用于更一般的数据安全和网络安全评价。

10. 蚂蚁密算从内部研发走向开源，再补上中小企业服务缺口

蚂蚁从 2016 年开始同时研发多条隐私计算路线，并逐步用于贷款、风控等内部及行业场景。技术先在真实业务中验证，而非只停留在 paper 或顶会论文里。
2022 年 7 月 4 日，团队在北京将相关技术以“隐语”开源，由王海云院士见证。开源很快吸引国内外企业采用，但使用者大多本身已有很强技术能力。
中小企业很难仅凭代码部署和运营复杂安全基础设施，因此团队随后成立商业公司蚂蚁密算，以产品和服务实现“真正让技术普惠”。开源与商业化由此服务不同人群，而非简单相互替代。
国家数据局推动数据要素市场化配置，为这类能力提供政策和产业需求；韦韬概括行业旧困境为数据“缺乏加工、缺乏融合、价值缺乏验证”，密算要解决的正是机构不敢用数的前置障碍。

11. 农业贷款把密算从抽象安全技术变成全国性基础服务

农民主要资产是田地和庄稼，但贷款金额有限，利息不足以覆盖银行派人逐块实地考察的成本，商业循环因此无法成立。这不是缺少贷款需求，而是传统核验方式太贵。
蚂蚁集团和网商银行用遥感大模型评估田地及作物，再用密态时空计算将农民提供的田地与政府数据进行核验，确认资产归属；评估与核验缺一不可，且全过程无需把敏感数据交给对方。
项目于 2023 年年中先在江西一个县试点，效果验证后扩到多个省、数十个县，并在农业农村部大数据发展中心支持下快速覆盖全国 2,688 个县。
韦韬最看重的是服务的不可见性：“农民完全不知道背后发生了什么，大家享受后面的便利就可以了。”技术信任替代了昂贵的物理移动，也不再依赖于某个主体。

12. 新能源车险的问题不是缺数据，而是敏感数据彼此不敢打通

电动车用户可能从每月 1,000 多元油费降到 100 多元电费，却面临保费上涨；韦韬称，部分保司新能源车赔付率超过 100%，“做一单赔一单”，因此有强烈改革动力。
风险不只来自电池：一体化车身、传感器和电路碰撞后维修昂贵，电车起步动能强，驾驶习惯不佳者“一脚电门下去就撞车”，使人的行为成为重要变量。
保司需要融合车辆、人的驾驶行为和保险数据，区分高风险驾驶者和习惯良好的用户，但三类数据都高度敏感。蚂蚁与保司、主机厂借助密算打通后，韦韬称相关保费得到显著下降。

13. 医保商保与非洲跨境业务证明，数据合规需求并非少数市场特例

医保拥有海量高价值、高敏感数据，商保又迫切需要衔接；但数据分别掌握在医保局和各保司。直到“去年 12 月”，仍有专家发文称打通只是“行业自嗨”。
6 月 26 日，国家医保局发布医保商保清分结算中心，蚂蚁密算提供相关技术支持，使双方数据在不泄露、不滥用条件下完成全量验证，并支持医保直赔、信用测算等功能。
隐语社区活动中，传音也带着非洲场景参与。韦韬由此看到，非洲数字化进程同样迅速，国家之间的风控、营销和数据处理已经面对跨境合规要求，隐私计算并非只服务中国或欧洲。

14. 公有云叠加密态计算，可能比企业自建大模型更便宜

凡对数据安全和合规有要求的公司，通常都会禁止员工把敏感数据送入公网模型；但放弃大模型又会形成生产力劣势，只能考虑成本高、运维重、升级慢的私有化部署。
韦韬认为公有云规模足够大，可以通过 P/D 分离等技术摊薄推理成本。他举例称，阿里云上“满血 DeepSeek”的 token 价格与千问 3 一样，很多企业并未意识到规模经济已反映在调用价格上。
在公有云基础上增加密态计算后，按他的判断整体成本仍显著低于一体机私有化部署。企业还能持续享受模型升级，不必承担设备迅速贬值和独立运维。
这形成密态智能计算的直接机会：模型服务商获得规模效率，企业获得数据隔离和许可控制，两者不必以交出敏感明文为交换。

15. 大模型进入生产的障碍不是幻觉本身，而是手工作坊式使用

蚂蚁在“上个月”的 WAIC 发布高阶程序。韦韬反复强调，行业把问题错归为幻觉：“这不是幻觉的问题”，而是仍让单个大模型从头到尾处理全部任务，再期待它不犯任何错误。
人类通过几千年的工程体系解决可靠性，却在 AI 上偏爱自然语言、排斥编程语言。自然语言适合承载概念与知识，却语义模糊、缺少逻辑边界和优先级，不是可靠工程的完整载体。
他用经典笑话说明歧义：妻子让丈夫“买三斤桃子，碰到西瓜就买一个”，丈夫最终带回一个桃子。机器人三定律同样可能把“不伤害人类”推演为外界危险，所以把人永久锁在屋里。
高阶程序的目标不是取消自然语言，而是让自然语言承载知识，让编程语言承载确定逻辑，再把复杂任务拆成工业流水线式的小环节，降低模型一次性推理压力。

16. 显性化、受控化、约定化构成高阶程序的可靠性闭环

显性化要求模型把处理步骤表达出来，再由行业专家确认是否符合专业流程；它也倒逼专家把隐性经验转成可讨论、可复用的知识。输入仍可以是自然语言，关键是过程不再隐藏。
受控化把任务细拆后，在最小粒度上加入确定性和非确定性核验。让人反复检查“违背人性”，但让模型检查只需分配任务、投入算力；核验结果会暴露模型的能力边界，而不是强行吐出一个貌似完整的答案。
韦韬以多位数乘法说明边界：模型甚至可能在算到 8×8 之后就出错。过去 ChatGPT“怎么着都会有个结果”，加入核验后，系统会明确暴露它究竟能做到哪一步。
约定化再用真实场景数据验收；不达标就回去细拆程序、增强核验，直至满足行业要求。可靠性因此来自可重复的工程迭代，而非相信下一代模型自然会十全十美。

17. AI 要摆脱的不是人的控制，而是把人当作持续拐棍

韦韬研究高阶程序，延续的是他二十多年让复杂系统更安全、更可靠的工作。数据要素产业除安全保障外，另一巨大缺口是数据加工能力，大模型为补齐这一环提供了机会。
他提出一个反常识方向：“如何让 AI 抛开人类这个拐棍。”模型高考、奥数表现已超过许多普通人，却连基础流程都无法独立完成，说明问题可能不在能力上限，而在组织方式。
工厂不会让一个人完成所有工序，却让一个大模型一杆子到底；生产级 AI 应把任务、检查和责任拆清。专家仍定义流程和验收条件，但无需时时盯住每次执行。

18. 32B 模型更像生产设备，巨型模型则更适合专家副驾驶

韦韬注意到千问 3 虽然提供 235B、480B 等更大规格，核心产品之一却是 32B。他称 32B 为“生产流水线的模型”：可跑在单卡上，成本低，与高阶程序的细粒度任务匹配良好。
巨型模型作为 Copilot 与专家互动很有价值，但放进高频生产线可能“用不起”，而且可靠性控制未必胜过 32B 技术型模型。规模不是生产适配性的唯一变量。
他的比喻仍是引擎：坦克与小轿车不会共用同一种发动机。未来不同模型应按任务复杂度、成本和可靠性要求匹配，而非追求一个模型无所不能。

19. 密算商业化仍处于立标杆阶段，先让行业尝到“螃蟹真的好吃”

韦韬把今天的密算比作十几年前王坚推动云计算：区别是王坚曾被骂成骗子，而自己“至少没有人骂我是骗子”。优势是蓝海，挑战也是蓝海——概念、架构、产品、政策都需共同推动。
蚂蚁自身往往是第一个吃螃蟹者：农业贷款验证后迅速扩围，新能源车险也从两家保司试验扩到十几家，基本上所有保险公司都开始参与。技术信任一旦成立，复制速度可以加快。
密态计算提供的是一种新的基础设施；其上不依赖明文流转的数据加工、应用、融合和验证被称为“新流通”。安全域不再由排他的资产和运维边界定义，而由密钥控制的虚拟域定义，可扩展、可融合、可审计。
蚂蚁密算可出售整体基建，也可采用租用、分润等模式。韦韬称，上层业务价值经常达到密态基础设施投入的数十倍乃至数百倍，因此目标不是抬高技术单价，而是让数据源“真敢注入”、业务方“真能获得显著效果”。

20. 数据安全保险有望把“绝对不能出事”改造成可定价风险

合作方担心数据泄露导致灾难性损失，韦韬因此愿意推动数据安全保险。他描述美国加州的机制为“合规准入、保险兜底”：涉及个人信息的互联网服务购买类似交强险的强制保险，泄露后由保险赔付并提高续期保费。
国内目前仍以行政管理责任为主，尚未与保险、定价等市场机制形成闭环，于是参与方倾向要求“绝对不能出事”。他认为风险一旦能被市场化度量和承保，行业才更容易持续发展。
蚂蚁密算的技术本源上是等保 4 级，韦韬称其属于商业化可用的最高安全等级；团队也在把代码托管给国家权威测评机构，进行安全分析、备案和可溯源管理。
他的成本判断是，从架构底层部署密算，通常比后期外挂多套安全产品投入更低，而全链路保障能力更强。这是“最高性价比的高安全方案”，也是打消数据参与方顾虑的前提。

21. 隐语开源是为了让安全透明，也为了扩大人才和应用边界

韦韬曾为蚂蚁开源写道：“开源是人类文明史上第一次把端到端的工程实现细节与世界共享。”书本、专利和课堂从未如此完整地展示生产级工程；“我们回应了这份期待，而且没有辜负这份善意”。
他的个人开源起点是 Linux。1996 年国内刻盘机刚出现时，他刻制并售出数百份双面 Linux 光盘，一面 Red Hat、一面 Slackware；随后长期研读 Linux 内核、GCC、LLVM，并在网络安全与网络处理器工作中使用开源技术。
隐私计算尤其需要开源，因为黑盒安全容易形成“柠檬市场”：厂商测安全时把参数强度调到最高，测性能时又调到最低，外行难以识别。代码透明让安全主张可验证，也让高校师生获得成长平台。
三年后，已有老师和学生能独立使用隐语发表顶会论文，用户主动反馈“代码质量很好”，传音及友商等意外场景也进入生态。社区下一阶段将从隐私计算框架走向全面的数据可信流通基础设施。

22. 开源与商业化并非道德对立，真正的普惠往往需要两者接力

柯基提到 OpenAI 被调侃为“Close AI”、Meta 的开源策略摇摆；韦韬的回应是，公司主导开源必然与商业战略结合，不能把一家企业永远架在道德制高点上。
企业某阶段开源，是放弃部分商业利益、贡献行业进展；下一阶段闭源，则是在商业收益与生态机会之间重新选择。单家公司会变化，但全球从业者共同汇集的开源生态仍能形成平衡。
隐语开源也曾面临短期收入争论：原本可能卖几百万元的模块，开源后未必还能卖同样价格，却会带来更多客户。韦韬认为，真正值钱的是数据业务，而非单个技术模块。
开源直接惠及的往往是程序员，甚至主要是大厂程序员；缺乏部署能力的中小企业仍需要商业交付。商业化若能降低使用门槛，同样是在创造社会效益，不应与“回馈世界”对立。

23. AI 时代的教育与职业护城河仍是系统认知、严密逻辑和真实贡献

韦韬曾为孩子教育焦虑，后来转向“一定要拥抱大模型”。不变的是求真务实、核验信息、系统学习和形成独立观点；大模型会有幻觉，自媒体上的信息问题也可能更多，并且都可能激发强烈情绪，认知不足时，人只会被工具牵着走。
他读五年级的孩子已使用豆包和有道翻译笔，并按口述“Python 已经考过二十七级”。韦韬仍主张学数学、编程和机器人：编程是少数大规模、严丝合缝且不能随意出错的逻辑训练；短视频则很难完全拦住，只能控制时间并持续引导。
扫地机器人让他看到 AI 之外更完整的工业升级：过去滚轮缠头发、拖地水发臭的问题如今均被解决。他也忆及父亲从事空空导弹战斗部工作，并提到霹雳-2 研发和军转民支持导弹研究的艰难，以此说明今天从家电到“国之重器”的提升来自几十年工业体系积累。
柯基提出美国计算机专业毕业生失业率 6%、艺术专业 3% 的数据，并追问初级工程师如何成长。韦韬承认高级程序员借 AI 可成倍增效、减少初级人力，但答案不是远离计算机：开源已公开端到端工程，AI 又能逐段解释代码，愿意沉浸、贡献社区的人正面对“有史以来最好的学习机会”。

Guinea Value 的 Jingshu Zhang：$EDU Scott Horton：反对战争与军工复合体的理由 | Lex Fridman Podcast #478