AI Digest

本期关键词：平台收口、开放主权、分发入口、供应链信任

一、Anthropic 把 OpenClaw 从订阅额度里切出去，说明“第三方工作台”已经被正式视为利润边界

来源：The Verge · The Register · Let’s Data Science

Anthropic 这次对第三方 harness 的处理，不应该只被理解成一次“计费调整”。它真正做的，是把 Claude 订阅、Claude 自家工作台、第三方工作台 之间的边界重新画清楚。

公开信息已经相当明确。根据 The Verge 披露的用户邮件，从 2026 年 4 月 4 日下午 3 点（美东时间）开始，像 OpenClaw 这样的第三方 harness 将不再消耗 Claude 订阅额度；用户如果继续用这类工具，要么切 API，要么额外购买 usage bundles。Let’s Data Science 的转述补充了另一个关键信号：Anthropic 给了用户一次性信用额度补偿，并继续卖折扣 usage bundles。也就是说，这并不是“禁止使用”，而是把原先订阅制覆盖的那部分价值，重新拉回按量计费。

这件事之所以重要，不只是因为 OpenClaw 会涨价，而是因为它暴露了模型公司对分发层的真实态度。The Register 早在 2026 年 2 月 就指出，Anthropic 当时已经在法律文本里进一步澄清：OAuth token 只允许用于 Claude Code 和 Claude.ai 自家产品，不允许被第三方 harness 复用。 更关键的是，报道还点出了一个被很多人忽略的商业事实：订阅制本质上是按“正常使用习惯”补贴用户，而第三方 harness 会把这种补贴变成 token arbitrage。用户用同样的订阅费，通过更强的工作台获得更多模型价值，这对模型厂来说迟早是要收口的。

再往前看一步，你会发现这不是孤立事件。The Register 提到，Anthropic 工程师在 1 月就公开说过，公司已经在阻止第三方工具“伪装成 Claude Code harness”。OpenCode 甚至因为 Anthropic 的法律要求，已经开始在代码层移除部分支持。这说明现在的竞争已经不是“模型厂欢迎更多生态”，而是“模型厂欢迎谁、补贴谁、允许谁截流用户关系”。

对应用层团队来说，这件事最值得记住的不是 Anthropic 强势，而是一个更冷酷的现实：只要你的产品价值主要建立在上游订阅补贴之上，它迟早会被上游重新定价。 真正能长期留下来的，不是“把模型接出来”本身，而是你在执行系统、权限边界、上下文编排和团队协作里沉淀出的那部分不可替代性。

金句： 当模型公司开始收回订阅补贴，第三方工作台才第一次真正被迫证明自己值不值钱。

二、Gemma 4 的真正分量，不是“更强”，而是 Google 终于把开放权重当成主权产品来卖

来源：Google Open Source Blog · Google 官方博客

Google 这次发布 Gemma 4，最值得看的不是 benchmark，而是它终于把 许可证、硬件适配、Agent 能力和生态工具链 拧成了一个统一叙事。

官方给出的数字很有分量：Gemma 系列累计下载已经超过 4 亿次，社区变体超过 10 万个。而 Gemma 4 这次直接切到 Apache 2.0，并且一次性推出四个尺寸：E2B、E4B、26B MoE、31B Dense。Google 官方博客写得很直白：Gemma 4 是其“最智能的开放模型”，面向 advanced reasoning 和 agentic workflows；Google Open Source Blog 则把 Apache 2.0 的意义说得更直接：它提供 autonomy、control 和 clarity，让开发者在本地、私有、可商用场景里有更稳定的权利边界。

从产品能力看，Gemma 4 的重点也不再是“只是聊天模型”。Google 官方披露，Gemma 4 原生支持 function calling、structured JSON output、system instructions、OCR、chart understanding、140+ languages。上下文窗口上，边缘版模型支持 128K，大模型支持 256K。更关键的是，Google 不只是给出参数，还给出一整套部署定位：31B Dense 和 26B MoE 可以在 单张 80GB H100 上以未量化形式运行，量化后可下探到消费级 GPU；边缘端 E2B / E4B 则强调离线、近零延迟和移动生态集成。

这里真正值得警惕的是 Google 的策略变化。过去一年，Google 开放模型最大的短板从来不是“性能不够”，而是开发者对许可证和长期稳定性的信任不够。Gemma 4 把 Apache 2.0 放到台前，等于公开承认：在 2026 年，开放模型竞争已经不是“谁更免费”，而是“谁能给企业和开发者更强的主权感”。你能不能修改、迁移、离线跑、在云内或本地部署，已经不再是附加条件，而是购买决策本身。

更妙的是，Google 还明确把 Gemma 和 Gemini 切成双轨：Gemma 面向开放和本地化，Gemini 面向托管和闭源最强能力。这其实意味着 Google 不再把开源模型当 PR 工程，而是把它当 产品分层与生态防守线。如果说 Anthropic 正在把分发层往内收，Google 则是在把开放层往外放，但目的都一样：争夺长期控制力。

金句： 当开放模型开始卖“可选择权”，许可证就不再是法律条款，而是产品能力的一部分。

三、OpenAI 收购 TBPN，说明头部模型公司已经不满足于拥有模型，它们开始直接购买“解释权”

来源：OpenAI 官方公告 · Axios · Axios 背景报道

OpenAI 收购 TBPN，表面上看像是“模型公司买了个科技节目”。但如果把 OpenAI 自己的公告和 Axios 的商业细节放在一起看，你会发现它买的根本不是节目，而是一套已经被验证过的 高频行业分发系统。

OpenAI 官方公告的核心信息有三个。第一，Fidji Simo 明确说 OpenAI 不是一家能照抄传统企业传播打法的公司，因为它推动的是一场大的技术转型；第二，TBPN 被看作是“builder 讨论 AI 日常发生的地方”；第三，OpenAI 会保留 TBPN 的 editorial independence。单看这些措辞，你已经能看出这次并购的真正目标并不是内容补位，而是争取在 AI 产业话语场里的稳定入口。

Axios 则补上了这笔交易的商业侧画像：TBPN 于 2024 年上线，已经形成每天 3 小时 的直播科技/商业节目；据《华尔街日报》援引的数据，它 2025 年广告收入约 500 万美元，原本目标是 2026 年冲到 1500 万美元，而且公司盈利、没有外部融资。换句话说，TBPN 并不是一个“烧钱做品牌”的媒体实验，而是一个已经跑通、并且正在往规模化广告业务迈进的分发资产。

这类资产一旦被模型公司拿下，影响不会立刻体现在节目内容上，而会体现在更深的地方：谁来定义哪些讨论更重要，谁来优先获得行业人物，谁来长期塑造“AI 行业里什么算趋势、什么算标准答案”。Axios 甚至直接点出一个现实问题：当 TBPN 成为 OpenAI 旗下资产之后，它未来还能不能像从前那样轻松拿到竞争对手高管访谈，是一个天然疑问。也就是说，即便 editorial independence 被保留，平台与媒体的合并本身，也会重写外界对“独立性”的默认感受。

从商业史看，这并不新鲜。工业时代的大公司买渠道，互联网时代的平台买流量入口，AI 时代的模型公司则开始买媒体与叙事入口。差别只在于，前两者争夺的是货架位置，后者争夺的是 技术解释权。谁掌握解释权，谁就更容易把自己的能力包装成基础设施，把别人的能力降格成跟随者。

金句： 当模型公司开始买媒体，它们争夺的就不只是用户时间，而是行业如何理解未来的权力。

四、LiteLLM 供应链攻击提醒我们：AI 时代最危险的，不一定是模型本身，而是你最信任的依赖层

来源：PyPI 官方事件报告 · Bitsight · Bastion

LiteLLM 这次事件之所以值得写进今天的主 digest，不只是因为它是一场安全事故，而是因为它精准击中了 AI 应用栈里最脆弱、也最容易被忽略的一层：LLM 网关依赖层。

PyPI 官方报告给出的数字非常罕见地具体。受影响版本在攻击窗口内被下载超过 11.9 万次；从上传到第一次举报只过了 1 小时 19 分，再到最终 quarantine 总共 2 小时 32 分。但更关键的是另一组数据：LiteLLM 平时每周安装量约 1500 万到 2000 万次，折算下来每分钟约 1700 次 安装；PyPI 因此估算，约 40%-50% 的安装是未锁版本、直接拉取 latest 的。这意味着对高频热门 AI 基础包来说，即便 PyPI 与社区已经反应很快，仍然有非常大的暴露面会在“发现之前”完成安装。

Bitsight 和 Bastion 的技术细节则说明，问题远远不只是“某个 wheel 被替换”。被植入恶意代码的版本是 1.82.7 和 1.82.8。根据 Bitsight 的分析，恶意载荷会搜集 SSH keys、云凭证、Kubernetes secrets、.env 文件、数据库口令，并试图通过 Kubernetes 服务账户做横向移动，甚至落 systemd 持久化。更糟的是，1.82.8 使用了恶意 .pth 文件，这意味着 只要 Python 解释器启动，恶意逻辑就可能执行，甚至不需要显式 import LiteLLM。Bastion 还提到，LiteLLM 被很多 AI 工具链作为间接依赖拉入，包括 MCP 插件场景；这意味着“我没直接用 LiteLLM”并不能天然免责。

这件事真正可怕的地方，在于 LiteLLM 不是一个冷门包，而是很多 AI 产品默认会采用的统一网关层。它的价值恰恰在于把 OpenAI、Anthropic、Azure、Bedrock 等模型接成统一接口。但一旦这样的基础层被污染，攻击半径就不再是某个应用，而是整个多模型工作台和自动化流程。PyPI 官方已经把 dependency cooldowns 这种做法提到台前，本质上就是承认：在今天的包生态里，“第一时间装最新版本”可能比“不打补丁”还更危险。

对 AI 应用团队来说，这条新闻的真正含义不是“又一场安全事故”，而是一个架构教训：越是位于编排层、网关层、凭证汇聚层的依赖，越要默认把它当成高风险节点看待。 只靠 pip install -U 和事后扫描，已经配不上今天的威胁模型了。

金句： 在 AI 时代，最容易背叛你的，往往不是模型回答，而是模型背后那层你懒得多看一眼的依赖。

本期结论

把今天这四条新闻放在一起看，一个很清晰的趋势已经出现了：

Anthropic 在重新收回第三方工作台的补贴边界
Google 在用开放权重重新争夺开发者主权
OpenAI 在直接购买行业叙事入口
LiteLLM 事件 则提醒所有应用层团队，信任链最脆弱的地方可能根本不在模型，而在依赖层

如果把 2025 年看成“模型能力冲刺年”，那 2026 年更像是 控制权再分配之年。上游厂商争夺的已经不只是参数，不只是价格，也不只是 benchmark，而是：

谁控制访问边界
谁提供可迁移主权
谁掌握行业解释权
谁能把信任链守住

接下来真正值得持续观察的，已经不是哪家模型更聪明，而是哪家公司更懂得把 许可证、工作台、媒体入口和安全边界 变成统一的战略资产。

数据来源：The Verge · The Register · Let’s Data Science · Google Open Source Blog · Google 官方博客 · OpenAI · Axios · PyPI Blog · Bitsight · Bastion

本文基于公开资料整理，不构成投资建议。