一周 AI 观察（9.5–9.11）：AI 从"产品"变成"基础设施"

> 9 月 10 日到 11 日这 48 小时里，发生了三件互不相关的事：五角大楼在洽谈给一家**自己不拥有一块 GPU** 的公司贷款约 50 亿美元；美国司法部就英伟达一笔 170 亿美元的交易发出了正式调查函；工信部印发了《"人工智能+软件"专项行动实施方案》。 > > 这三件事有一个共同点：**它们全都不关心模型有多强。** 一笔国防贷款看的是电力和冷却设备的产能，一份反垄断调查函看的是资产有没有实质转移，一份产业政策看的是软件企业覆盖率。当 AI 开始被这样对待，说明它的身份已经变了——**从"卖 API 的产品"，变成"要被规划、融资和审查的基础设施"。**

---

一、天花板：能力外溢已经可以逐项记账

Anthropic 9 月 10 日发布的威胁情报报告，是目前为止 AI 公司做过的最详细的一次自我披露。它覆盖 2025 年 12 月至 2026 年 8 月，分网络攻击、影响力操控、监控、诈骗、生物滥用、常规武器、蒸馏七个方向。

但这份报告里最值得记的不是能力有多强，而是下面这句话：报告称，这些入侵没有一起使用了新颖技术——反复出现的全部是被盗凭证和未打补丁的边缘设备。

真正变的是密度和速度：

   过去（2024 前后）              现在（报告描述的形态）
 ──────────────────────      ─────────────────────────
 高级攻击需要高级攻击者        一个人可以并行跑数十个目标
 侦察 / 工具开发靠人          侦察与工具开发交给并行运行的模型
 恶意软件被发现即失效         模型自动改写并重新编译植入物直到绕过检测
 AI 的角色：助手              AI 的角色：执行者

我的判断：AI 没有让攻击变强，它让攻击变便宜、变密集。 这是一个比"AI 制造了新型威胁"重要得多的结论——因为它意味着防守方的瓶颈变了：不再是"能不能挡住这一招"，而是**"能不能在这种密度下维持响应速度"**。

同一周的另一个细节可以作为佐证：英伟达 CEO 黄仁勋在高盛科技大会上表示，网络安全极可能成为 AI 的下一个重要应用领域，理由是 AI 自动化编程正在同时加快漏洞利用与修复的节奏。攻防两侧被同一项技术同时提速，这件事的结果取决于谁的单位成本降得更快。

这份报告里与"模型能力被搬走"直接相关的部分（七家实验室的蒸馏活动、跨会话重放攻击），我们放在同日的另一篇技术文章里单独拆。这里只看它对攻防经济学的改写。

---

二、地板：软件正在被重新定义

如果你想知道"AI 变成基础设施"在产业侧长什么样，9 月 11 日工信部印发的这份方案是最清晰的样本。它不是鼓励性文件，是一份带数字的两阶段路线图：

配套的另一个数字：有关部门预测，中国 AI 相关产业到 2030 年合计规模将超过 10 万亿元。

同日开幕的 2026 中国算力大会（9 月 11 日至 13 日，河北廊坊）主题为"共织算力网 智启新未来"，将集中发布国产算力芯片、智能体、绿色算力等成果，并推动算力网作为国家级基础设施的建设。

注意这两个动作的组合方式：一个是"软件要智能化"，一个是"算力要成网"。 前者定义需求侧，后者定义供给侧，中间夹着"智能体软件"这个新名词——它既不是传统软件，也不是模型，而是"能被 AI 调用的确定性接口集合"。

同一天，OpenAI 把 Agents API 推进公开 beta，把这件事在商业侧补完了。官方描述是：它暴露了托管的 Codex harness，由平台负责会话管理、编排、上下文压缩（context compaction）和故障恢复，开发者只需要提供工具并选择执行环境，内置沙箱执行代码、文件编辑与 MCP 支持。

   传统软件        →    智能体软件（政策口径）
 ────────────────────────────────────────────
 人写确定性逻辑    →    人定义工具与验收，模型负责编排
 价值在代码        →    价值在接口的确定性与可组合性
 交付物：功能      →    交付物：可被调用的能力单元

这意味着中间层被抽走了。 当编排、上下文压缩、故障恢复都由平台托管，应用开发者的护城河就不再是"我会写 Agent"，而是"我有别人调不到的东西"——专有数据、专有流程、专有责任承担。

---

三、暗线：三种钱、三种审查，同一周进场

3.1 国家资本：五角大楼从"客户"变成"债主"

据《华尔街日报》9 月 10 日报道（路透社同日确认），五角大楼战略资本办公室（Office of Strategic Capital）正在洽谈向 AI 云初创公司 Fluidstack 提供约 50 亿美元贷款。

关键在于这笔钱的用途和这家公司的形态：

• Fluidstack 不拥有一块 GPU。 它 2017 年成立，模式是从数据中心运营商那里租算力、再转租给 AI 实验室，更像一个专业的地产开发商而非科技公司。客户名单里有 Meta、Anthropic、Mistral 和 Character.AI。
• 这笔钱不建数据中心。 目标是本土电力设备与冷却设备的制造产能——也就是真正决定"美国能以多快速度建成 AI 基础设施"的那一环。
• 估值变化很快：几个月前刚以接近 70 亿美元完成一轮；今年 4 月曾传以 180 亿美元估值洽谈 10 亿美元融资。谷歌为其数据中心租约义务提供了 18 亿美元背书，并讨论过入股。

五角大楼此前在这一角色上的先例是 2025 年 7 月给 MP Materials 的 1.5 亿美元贷款（10 年期国债收益率 +1 个点、12 年期、无抵押），外加 4 亿美元股权——这让国防部成为该公司最大股东，并锁定了十年 100% 的磁体采购。该办公室已向国会申请 2027 年度超过 200 亿美元的贷款额度。

   <span>2023</span><span>–2025</span>        <span>五角大楼</span> <span>=</span> <span>算力客户（向英伟达、微软、AWS、SpaceX</span> <span>采购）</span>
        <span>│</span>
        <span>▼</span>
   <span>2026-09-10</span>       <span>五角大楼</span> <span>=</span> <span>算力债主（向</span> <span>Fluidstack</span> <span>放贷）</span>
        <span>│</span>
        <span>▼</span>
   <span>差别：客户只看交付，债主看资产负债表</span>

方向的变化比金额重要。 采购关系可以随时终止，债权关系不能。

3.2 反垄断：司法部第一次正式检验"反向收购式雇佣"

据《纽约时报》报道并经路透社独立证实，美国司法部已就英伟达与 AI 芯片公司 Groq 的 170 亿美元交易发出正式调查函（formal request for information）。

这笔 2025 年 12 月宣布的交易结构是：非独家技术许可 + 核心人才转移（Groq 创始人 Jonathan Ross、总裁 Sunny Madra 等入职英伟达），Groq 本身名义上保持独立。因为没有股权易手，英伟达的立场是它不触发并购申报义务。

司法部想检验的是另一个问题：是否"法律标签"不重要，而"有经济意义的资产是否实际转移"才重要。

据相关报道，这类"技术许可 + 人才转移"的结构在 AI 领域已经导流了超过 1000 亿美元资本，同时绕开了强制并购审查。司法部这次动的是整个模式的合法性，不是单笔交易。

3.3 硬件绕道：绕开 HBM 成为一条独立融资赛道

同一周，芯片公司 Positron 完成 8.75 亿美元 C 轮，投后估值 50 亿美元（3.75 亿美元一档由 NEA、Atreides、Valor、Andra Capital、SemiAnalysis Capital 共同领投，另有最高 5 亿美元的 C-1 档由网景联合创始人 Jim Clark 领投）。其 Asimov 芯片的设计要点是不使用 HBM，内存配置 288 GB 至 2304 GB。

而 Groq 的路线是另一个极端：LPU 完全用片上 SRAM 取代 HBM。据公开资料，Groq 3 LPX（2026 年 8 月全面量产）搭载 500 MB 片上 SRAM，内部带宽约 150 TB/s，约为 H100 显存带宽的 45 倍——而常规 HBM 方案约在每秒 3 至 3.35 TB 量级。

为什么两条路都在绕开 HBM？ 因为 LLM 推理的 decode 阶段是内存带宽受限的：每生成一个 token，都要把整个权重矩阵从内存里读一遍。当推理需求总量超过训练需求，带宽就取代算力成为瓶颈，而瓶颈位置就是融资故事的位置。

   瓶颈迁移：  算力(FLOPS)  →  显存带宽(HBM)  →  供电与冷却
                                  ↑                  ↑
                          Groq/Positron 绕道    五角大楼贷款投向

注意这条链路的终点：五角大楼那 50 亿美元，贷的正是电力和冷却设备。 从芯片架构到国防贷款，指向的是同一个瓶颈。

3.4 规则层：两处正在成形的边界

• 加州：州长 Newsom 于 9 月 10 日签署了 Adam Raine 法案，对聊天机器人及 16 岁以下用户的推荐流（feed）施加限制。
• 联邦层面的口径分歧：据报道，特朗普在被问及是否担心 AI 导致人类灭绝时回答"完全不担心"，并把风险重新框定为"输给中国"，称美国领先"约一年"；而同一周，Sam Altman 对 OpenAI 员工表示，如果反垄断法允许行业范围的协调，公司愿意放慢前沿开发。一个把风险定义为竞争，一个把风险定义为需要集体减速——这两种口径目前没有调和的迹象。

---

四、四个判断

**判断一：AI 的竞争单位已经从"模型"变成了"链路"。**这一周的所有大额动作都不指向模型能力：国防贷款指向电力设备，反垄断指向资产转移，产业政策指向软件企业覆盖率。谁能交付一条稳定、可审计、可融资的链路，谁才有定价权。

判断二：攻防的经济账被改写了，防守方要按"密度"而不是"强度"做预算。Anthropic 报告里"没有使用任何新颖技术"这句是全年最重要的一句安全结论。如果威胁来自密度，那么投入应该转向响应速度与自动化处置，而不是更强的单点检测。

**判断三：中间层正在被抽走，价值向上（专有数据/流程）和向下（芯片/电力）两端迁移。**OpenAI 托管编排层、工信部推广智能体软件、五角大楼直贷电力设备产能——三件事合力把"写应用的中间层"压薄了。留给应用团队的是责任与领域知识，不是工程。

**判断四：反向收购式雇佣（reverse acquihire）的合规窗口正在关闭。**司法部这次的动作针对的是结构而非金额。任何依赖"许可 + 招人"规避并购审查的安排，都应该重新评估法律风险敞口——这个模式在过去两年导流了超过 1000 亿美元。

---

结语：三个可以立刻自问的问题

1. 你的安全预算是按"能不能挡住这一招"算的，还是按"一小时能处置多少起"算的？——如果是前者，你防御的是上一个时代。
2. 你团队现在写的这些代码里，有多少价值来自"编排逻辑"，有多少来自"只有你有的接口和数据"？——前者的价值正在被平台托管层免费化。
3. 你的供应商把你的请求转发出去了吗？——这一问题在同日的另一篇文章里有可执行的自查清单。

---

数据来源说明：本文事实与数据来自新华社 / 人民日报、路透社、《纽约时报》、《华尔街日报》、Anthropic 官方威胁情报报告（2026 年 9 月）、OpenAI 官方发布、AWS 官方公告、PR Newswire、DefenseScoop、TechCrunch、界面新闻、每日经济新闻、证券时报等公开报道，时间跨度为 2026 年 9 月 5 日至 11 日。

需要降级处理的信息：五角大楼与 Fluidstack 的贷款仍在谈判阶段，可能改变形态或未能落地；Anthropic 报告中的内容系该公司单方面披露，其归因与判断未经独立第三方核实；涉及若干公司的具体行为指控，相关方尚未公开回应，本文仅作转述。

本文不构成任何投资建议，也不代表对任何指控的认定。