过去两年，「AI 主权」在大部分会议室里只有一个意思：服务器在哪。数据在不在国内？模型是不是我们自己的？那条线缆通向哪里？
这个问题不算错。它只是已经不是那个问题了。在刚刚过去的十一天里，三个国家回答了真正的问题——谁有权决定 AI 干什么——用了三种完全不同的办法。三种都跟服务器放在哪无关。
01主权到底是什么意思
如果要我把一句话放到董事会桌上，我会这么说：AI 主权，是别人决定你不该继续干活的那一天，你还干得下去的能力。它不是机器放在哪，是「断供那天你还剩下什么」。
一家公司可以完全合规、完全国产、完全「部署在自己机房」，然后照样被一封邮件停掉。服务器就在你楼里，可它跑的那个模型每天早上要向厂商报到——这不管用。模型你已经下载到本地了，可全公司只有三个人会跑，这三个人一走——这也不管用。
主权是在出事之后的那个早上被测量出来的，不是画在架构图上的。
02三个国家，三件工具，十一天
10 月 16 日到 10 月 29 日，十一天。美国、中国、加拿大先后出手，三件事发生在同一个窗口里，彼此没有协调，也没有互相回应。但把它们并排放在一起看，会发现三个国家在回答同一道题：当 AI 已经强到能决定一件事该不该做的时候，这个决定权该放在谁手上。
三个国家给出的答案完全不一样。一个把东西拿掉，一个决定什么能过境，一个直接买进去坐到桌边。三种手法的快慢、精度、可验证性各不相同，代价也各不相同——下面这张时间线把三次动作按真实天数排开，先看发生了什么，再一件一件拆。
三个国家在十一天里，用三种完全不同的办法回答了同一个问题。来源见 [1][3][4]。
第一种答案：禁掉
10 月 20 日，美国下令联邦民事机构把 DeepSeek 从系统里移除 [3]。这道命令管的不只是新采购，还包括已经在用的系统——意思是，各机构得回头去把已经在跑的东西拆下来。
这个逻辑简单、也诚实：不想依赖它，就别用它。没有谈判，没有授权条款，没有数据协议要扯。能力直接没有了。
你换来的是一条干净的线。凌晨三点没人需要为它做判断，因为那个工具不在那儿。你付出的是能力。被禁掉的那个东西走了，不管它是不是当时最合适的工具。
还有一笔账更难看见：禁令消灭不了需求，它只消灭许可。真需要这个能力的人，会找更安静的办法去用，而更安静的那些办法，恰恰是没人审的。所有人都遵守的规矩叫边界；所有人都绕着走的规矩，是一个边界形状的洞。
第二种答案：管住
10 月 16 日，中国就《禁止出口限制出口技术目录》的修订公开征求意见，其中新增了人工智能专项 [4]。说白了，它把 AI 技术分成三个筐：一部分禁止出境，一部分需要许可证，剩下的自由流动。
而分类不是按公司分，是按能力分——草案给出的参考指标是算力达到 10 的 26 次方量级，或者参数超过两万亿，再加上是否面向关键基础设施、国防军工、核心政务这类高敏感场景。这些是草案中的参考指标，不是最终规则。
最有意思的是几乎没人会注意的那一句：文件明确说，管的是底层技术，不是产品和服务。权重、训练数据、源代码、算法文档、算力系统的核心设计——这些管。但一家企业通过网络接口卖服务给海外客户，或者把行业方案卖出去，不需要出口许可。
这个区分做得很讲究，值得停一下想想。它划的是配方和这顿饭的线。配方不许递出去，饭照卖。
你换来的是一个阀门：技术的流动可以开大关小，而不用把生意整个停掉。你付出的是精度。写在数字上的门槛，永远比它描述的技术慢一代。而且这份文件还得给「开源」单开一个口子——因为把权重公开出去这件事，同时是慷慨的、也是收不回的。一个文件发出去，就再也撤不回来了。
第三种答案：买下来
10 月 29 日，加拿大政府宣布，作为一轮目标 70 亿加元、估值 357 亿加元的融资的一部分，它将最多出资 16 亿加元入股 Cohere——一家多伦多的 AI 公司 [1][2]。总理府自己的公告里管这叫「对安全、主权 AI 的里程碑式投资」。
这是三种里最新的一种，也是最不被理解的一种，因为它看上去根本不像主权——它像一笔生意。但你看看政府把钱和什么绑在了一起。到 2030 年，Cohere 必须在加拿大创造至少 1000 个高薪技术岗位，在加拿大境内追加投入至少 17 亿加元的算力基础设施，保持加拿大注册、加拿大总部，并继续与加拿大 AI 安全研究所合作 [1]。
把这四条再读一遍。这些不是投资条款，这是伪装成投资条款的主权条款。「总部留在这儿」是国籍条款，「算力建在这儿」是基础设施条款，「在这儿造 1000 个岗位」是能力条款。政府买下的是一票，也是不许这家公司搬走的权利。
真正的主权，取决于我们能不能按自己的方式去建设、采用和治理 AI。
加拿大总理，官方公告原文 [1]
你换来的是留在国内的真实能力，加上一个不希望它离开的股东。你付出的是一个没人愿意公开问的问题：政府持有一部分股份，它还监管得下去吗？一个在监管对象里有股份的监管者，是一个有利益冲突的监管者。这不是针对加拿大——这是这条路本身的结构性特征，早晚会显形，显形的时候，诚实的答案往往对纳税人很贵。
还有第二笔更安静的账。入股是一次性决定，之后是好几年的盯。承诺到 2030 年。如果没做到呢？文件说会定期汇报进展，没有说爽约要付什么代价 [1]。
03一张没人放在一起的对照表
这三件事在新闻里是分开报道的：一条是安全新闻，一条是贸易新闻，一条是融资新闻。分开看，每条都合理。放在一起看，才看得出它们是同一道题的三个解。
所以值得把它们摆进同一张表里，按同样的几个维度过一遍：这一招具体在干什么、谁才做得了、换来什么、付出什么、将来会从哪儿裂开、以及多久能见效。下面先用一张图看三种做法各自擅长什么，再用一张表逐行对照。
定性比较，不是量化评分：每格五个位置代表五个档位，实心数表示该做法在这一维上的相对强弱。依据为三份政府公告 [1][3][4]。
| 禁 | 管 | 买 | |
|---|---|---|---|
| 动作 | 从系统里拆掉 | 决定什么能过境 | 入股，附条件 |
| 谁能做 | 政府 | 政府 | 有钱的政府 |
| 你得到 | 一条干净的空线 | 一个能开能关的阀门 | 留在国内的能力 |
| 你付出 | 你本需要的能力 | 一年就过时的精度 | 一个同时是股东的监管者 |
| 怎么失效 | 大家安静地绕过去 | 门槛永远慢一个版本 | 承诺到期，无人担责 |
| 多快 | 一夜之间 | 起草几个月 | 宣布一天，验证几年 |
每种做法换来了什么、付出了什么、怎么失效。
看最后一行。禁是快的、钝的；管是慢的、准的；买是宣布得快、验证得慢。这是三种完全不同的擅长。
再看那张表缺了什么。没有一列叫「一家公司这么干了」。因为公司这三件一件都做不了。一个二十人的小公司，禁不了供应商，写不了出口目录，也入股不了任何东西。
04公司只有一条路：自己拿着
不是国家的人，这三件工具一件都用不上。剩下能做的只有一件事，它没有上面三件那么有力量，但它也是唯一一件不需要任何人批准的。
自己拿着。干活的机器、它读的和写的文件、以及那个记得发生过什么的东西——全在你自己手里，而且是你能打开、能带走的形式。不是租的，不是「在我们的安全云上」。有四样东西必须属于你。大多数团队至少租着其中两样，而且自己不知道。
真正在思考的地方。租的，就是别人机房里的一台机器，速度还按套餐限。自己的，就是你办公室里的一个盒子。
你的文档和指令落下去的地方。租的，留存多久由别人那页政策决定。自己的，就是一块你能拔下来的硬盘。
由哪个模型来回答。租的，一家公司说了算，而且它随时可以换。自己的，你可以在几个之间切换，包括跑在你自己机器上的那些。
系统关于你这份工作学到的东西。这是大家最容易忘的那一样，也是最贵的那一样。如果过去六个月做过的所有决定，都存在别人的登录后面，你不是拆掉了单点故障——你是把它挪了个地方。
还有第五样，它比前面四样加起来都值钱，而几乎没人在签字之前问过：你攒下来的那套活儿。你调了几个月的指令，你的助手们已经习惯的目录结构，关于什么能发生、什么不能发生的那些规矩。它没有任何标准格式，没有任何东西会把它导出来。你去问一个厂商：如果我走了，这个怎么办？诚实的回答从「你可以一条一条复制出去」到沉默，就这两种。两种都不叫迁移方案。关于这一点，我们在记忆跟着分身走，不跟着模型走里讲得更细。
四样必须属于你的东西，加上最容易被忽略的第五样：你攒下来的那套活儿。右列是 KarmaBox 的实现方式 [7]。
前面三个国家的故事讲了六种代价。它们不是抽象的风险，每一条都对应着某个具体早上会发生的事。下面这一节，把这六条一条一条对上 KarmaBox 的实现方式 [7]。
05KarmaBox 怎么把这六件事一件一件接住
这六条不是我们事后凑出来的卖点，是前面三个国家的故事里真实留下的六个缺口：断供、影子使用、共享内存、规矩失效、带不走、以及只能全开或全关。每一条都对应着某个具体早上会发生的事。
KarmaBox 这套东西就是照着这六条做的。判定不放在提示词里，而是放在模型之外——下面这张图画的就是这个结构：左边六股问题，中间收窄的地方是判定发生的位置，右边是对应的六处设计。再往下，一条一条展开讲。
六类问题的出处：前三类来自 10 月三份政府公告 [1][3][4]，第四、五类来自产品迁移的常见失败，第六类来自权限设计的常见抱怨。右侧是 KarmaBox 的对应设计 [7]。
| 前面提出的问题 | KarmaBox 的对应设计 |
|---|---|
| 一封邮件就能停掉整个团队 | 机器在你自己这边；模型、文件、记忆都不经过厂商登录 |
| 禁令只消灭许可，不消灭需求——影子使用没人审 | 每一次动作都被记录，包括被拒绝的那些 |
| 共享服务里，你的数据留在别人马上要用的地方 | 一台机器只服务你，不做多人共用同一套推理 |
| 规矩写在提示词里，换个模型就失效 | 四类动作在模型之外判定，模型换了它不换 |
| 你攒了几个月的活儿带不走 | 记忆是一份你能打开、备份、删除的文件 |
| 只能全信或全不信，没有中间档 | 每个动作可设三档：自动、先问、拒绝 |
前面提出的六类问题，与 KarmaBox 对应的六处设计 [7]。
断供那天，什么都不会停
前面说，主权是在出事之后的那个早上测出来的。那就把那个早上拿出来看。机器在你自己这边：一台放在办公室的机器，约 128GB 内存，功耗 170 瓦左右——差不多一个大功率灯泡加一点。两台连起来是 256GB，可以一边跑更大的模型一边干别的活。这台机器不走任何厂商的登录，所以没有「账号被停」这件事 [7]。
模型可以是你自己的。机密材料和高频重复的活，交给跑在这台机器上的模型，一个字节都不出这个房间。真正难的推理，照样可以调最好的云端模型——但走哪条路由是你定的。这一点我们在按任务路由模型里拆得更细。
记忆是一份文件。这一点值得单独说，因为它最少被问到。系统对你这几个月的了解，是一个存在你磁盘上的文件，不是一个藏在别人项目里的会话。你能打开它、读它、备份它、删掉它。客户问「你的 AI 对我这份合同做了什么」，答案是去查一份记录，不是「它总结了一下」。
所以回到那个问题：如果厂商明天关门，什么会停？答案是那些你主动送去云端、并且知道自己在送的部分。剩下的照常跑。
每一次动作都留痕，包括没做成的那些
前面说，禁令最麻烦的副作用是——大家会绕着走，而绕着走的那些部分没人审。这个问题的根子不在禁令，在于默认不记录。系统只留下「做成了什么」，你就永远看不到「想做什么但被拦下了」。
在我们的设计里，模型提出一个动作之后、这个动作触到外面世界之前，中间有一道检查。每一个被提出的动作都会进日志，包括被拦下的那些 [7]。这件事的价值在一个月后才显出来：你手上会有一张地图，画的是你的助手们试图做什么——这张图比「它们成功做了什么」有用得多，因为前者才是你真正的风险轮廓。
一台机器只服务你
10 月 26 日，Cloudflare 公开说明了它托管的一个 AI 模型出的一次故障 [6]。大约两周时间里，少数客户收到的回答里，带着别的客户对话里的内容。一共发生了 155 次。
原因不是攻击，也不是什么高明的花招。是这个：AI 算东西要用一块草稿纸。一个请求结束，草稿纸就交给下一个请求用。按理说要先擦掉。这一次，有一部分没擦干净——于是下一个人看见了上一个人刚才在写什么。Cloudflare 在自己的报告里写了一句我觉得所有人都该看到的话：
请求之间，这些内存页目前是不清零的。
Cloudflare 事故复盘，2026 年 10 月 26 日 [6]
那么——共享服务为什么会有这个问题？因为共享服务，按设计，就是一台机器服务很多客户。它便宜的全部原因，就是硬件在被反复用。而这恰恰就是「上一个人的残留」会成为一个风险类别的原因。
一台只服务你的机器，没有这种故障。不是因为它做得更好，是因为出问题的那个东西，就是「共享」本身。你的数据躺在别人马上要用的内存里——这一整类风险，在一台只服务你的机器上根本不成立。
规矩坐在模型外面，换模型它不跟着变
写在提示词里的规矩，等于一个措辞很客气的建议。原因很实在：提示词里的规则能不能生效，取决于三件事——模型有没有被训练成听话、上下文里别的材料有没有把它挤掉、以及后面接的第二个第三个助手看不看得见这句话。这三件事你都不完全控制，而且换一个模型，它们全都要重新成立一次。
我们的做法是把判定挪到模型外面。四类动作——发送、发布、花钱、删除——在服务器上判定，发生在模型提出动作之后、事情真正发生之前。结论跟这次是哪个模型在回答无关 [7]。
我见过这个区别在一个具体场景里显形。一个团队在提示词里写死了「不许碰价格表」，守了六周。第七周他们为了省钱换了个模型，第二天助手就把竞争对手的报价页总结进了给客户的方案里。提示词一个字没改，是执行那句话的东西变了。
你攒下来的那套活儿，是文件不是黑箱
前面说第五样东西最贵，也最没人问。在我们这里，那套活儿落在文件上：你调过的指令、你的助手们习惯的目录结构、你定的那些「什么可以发生」。它们在磁盘上，不在一个你打不开的地方。这意味着两件很简单的事——你能备份它，你能带着它走。
不是全信或全不信，中间有两档
最常见的抱怨是：AI 要么什么都得盯着，要么完全放手。这两种都不好用。我们把每个动作设成三档 [7]。
留给失败代价小、能反悔的事。读一个文件、起草一份文档、查一下资料。错了删掉重来。
留给会离开这台机器的动作。发邮件、发帖、花钱。模型把动作准备好然后停住，你收到通知——在外面就是手机通知——上面写清楚要做什么、发给谁。点一下通过，点一下拒绝，拒绝要填一句原因，这句话会进日志。
留给这个角色根本就不该做的事。一个做研究的助手不给它发客户邮件的资格。不是因为它一般不会这么干，是因为这个问题不该到它面前。
三档里最有设计含量的是中间那一档，因为它同时是保护和人力的账。一个每天要看四百张审批卡的人不是在审批，是在点确定。所以档位要按人配，不是按功能配。
还有一层：干活的和检查的不是同一个
如果一份东西错了，你需要能定位到错在哪——是指令错了，还是文件错了，还是这道工序本身就不该这么做。所有事都塞在一个助手身上的时候，每次修改都是一次可能弄坏另外四个行为的冒险。
我们的做法是把角色分开，每个 AI 分身有自己的活儿、自己的边界、自己能碰到的工具。这样做还有个直接好处：负责干活的那个，和负责验收的那个，不是一个。让自己给自己打分，那个分基本没有意义。
06常见问题
服务器放在国内，是不是就等于有主权了？
不等于。位置只回答数据落在哪，不回答断供那天你还剩下什么。一家公司可以完全合规、完全国产、完全部署在自己机房，然后照样被一封邮件停掉——只要那台机器上跑的模型每天还要向厂商报到。主权是在出事之后的那个早上测出来的。
那三个国家的做法，企业能学哪一种？
一种都学不了。禁、管、买都是政府的工具：一个二十人的公司禁不了供应商，写不了出口目录，也入股不了任何东西。三种做法回答的是「权力归谁」，公司能回答的是另一个问题——「风险归谁」。
共享的云端 AI 服务，具体会出什么问题？
2026 年 10 月 26 日 Cloudflare 公开的一次故障是个具体例子：大约两周里，少数客户收到的回答带着别的客户对话里的内容，一共 155 次。原因是推理用的内存页在请求之间没有被清零 [6]。这不是攻击，是共享本身的结构性特征——硬件被反复用，正是它便宜的原因。
把规矩写进提示词，为什么不够？
因为提示词里的规则能不能生效，取决于模型听不听话、上下文有没有把它挤掉、后面接的助手看不看得见这句话——这三件你都不完全控制，换一个模型全都要重来。把发送、发布、花钱、删除这四类动作的判定放在模型之外，换模型时那条线才不跟着动 [7]。
换供应商的时候，最容易丢的是什么？
不是数据，是你攒下来的那套活儿：调了几个月的指令、助手们习惯的目录结构、关于什么能发生什么不能发生的规矩。它没有标准格式，也没有任何东西会把它导出来。签字之前值得问清楚这一样东西怎么带走。
07最后
三个国家的故事里，有一个共同点值得带走：它们都在决定「权力归谁」。那三件工具，一个二十人的公司一件也用不上。公司能回答的是另一个问题——风险归谁。
把机器、文件、模型、记忆和那套攒下来的活儿，放在你自己能打开的地方。这不是一个比国家更强的姿态，但它是一个不依赖任何人做出对你有利的决定的位置。
如果明天你的 AI 供应商给你发一封邮件，你希望清单上有几件事会停下来？
文中每一项政府动作都读自一手公告。加拿大的数字（最高 16 亿加元、本轮目标 70 亿、估值 357 亿，以及四项 2030 年承诺）取自总理府公告原文 [1]；中国的门槛（10 的 26 次方、两万亿参数）是草案中的参考指标，该文件目前为征求意见稿 [4]。所有来源链接于 2026 年 10 月 30 日逐条访问核验，点击文中编号可直接打开原文。