2026年8月31日，五角大楼宣布在 GenAI.mil 平台上接入 OpenAI 的 ChatGPT Mil 与 xAI 的 Grok for Government，向 300 多万国防部人员开放。就在一周前，旧金山的一名联邦法官刚刚裁定，五角大楼把另一家 AI 公司 Anthropic 列为"国家安全供应链风险"的决定"非法且毫无依据"。按照常理，法院既已翻案，Anthropic 的模型 Claude 应当重新进场。现实是，它至今仍被锁在平台门外，等待一场上诉的后续。

同一周里，一家被请进门，一家被判清白却出不了门。这两件事并置在一起，说明真正的问题不在"买哪家模型"，而在"国家凭什么决定哪家私人 AI 可以碰它的战争机器"。

从一把"钥匙"到一只"开关"

国家对手里技术的管控欲，并不新鲜。上世纪九十年代，强加密算法一度被美国列为"军需品"管制出口，因为政府要保留解密的"钥匙"；1978 年首颗 GPS 卫星上天后，全精度信号长期只给美军，民用拿到的是降级版，直到 2000 年才放开。这两种做法的共同点是：国家通过认证与采购，握着"给使用者什么版本"的开关。

GenAI.mil 的运作方式几乎是 GPS 开关的 AI 翻版。ChatGPT Mil 通过 Impact Level 5 认证、可处理"受控非机密信息"，运行在独立于商业模型的加固环境里，提示词会被剥离元数据与单位标识，模型版本被冻结、任何更新都需重新认证。表面上，这是一套安全设计；往深里看，这是国家把私人模型驯化为自身权力装置的操作界面。

但今天的模型，和当年的加密算法、GPS 卫星有一个根本不同：它带着行为价值观进场。加密算法没有"意愿"，GPS 没有"拒绝"。而大模型有 refusal——它可以被设定为不参与某些用途。正是这一点，让这场采购超出了以往任何一次军备交易。

那只在产品里的"不参战"按钮

2026年2月，国防部长 Pete Hegseth 将 Anthropic 标记为供应链风险。公开记录显示，导火索是 Anthropic 要求书面保证：其模型 Claude 不得被用于完全自主的武器，也不得用于大规模国内监控。五角大楼开出的条件相反——它要的是"对所有合法用途的无限制访问"，并设下 2月27日的期限。Anthropic 没有让步，于是被踢出局、并诉诸法院。8月27日，法官 Rita Lin 用 59 页判决推翻了这份认定，措辞是"illegal and baseless"；可行政分支并未恢复合作，而是让 Anthropic 继续等在门外。

把一个细节摊开来看：以往国家向军火商买导弹，卖方从不需要表态"我愿意被用在哪场战争"。如今一家 AI 公司仅仅因为保留了"不用于自主武器"的拒绝条款，就被国家以安全风险为由排除。这意味着，模型公司第一次手握一种国家无法在交易里剥夺的私人否决权——它嵌在产品本身，而不是写进合同。国家对此的回应是禁运，就像当年对加密算法的出口管制一样，只不过这次的管制对象变成了同属本国的私人企业。

卡尔·施密特（Carl Schmitt）在《政治的神学》里那句常被引用的判断——"主权者乃是决断例外状态之人"——在这里有了新注脚。在战争这种例外状态中，国家不愿被任何私人主体限制其使用手段的自由；当一家公司以 refuse 的形式设置了国家不愿接受的边界，国家就动用了它的主权决断，把对方定义为风险、再将其拒之门外。

"只是办公软件"这个反方

一种常见的宽慰是：ChatGPT Mil 不过是写报告、理后勤、做规划的非机密工具，离"战争机器"远得很，换掉一家供应商也和买飞机没有区别。这个解释能说明现状里的文书用途，却解释不了一个缺口：平台方自己说得清楚，GenAI.mil 只是切口，面向机密网络与作战用途的"separate efforts"正在推进；而 xAI 的 Grok 已被五角大楼在法庭文件中描述为，曾在伊朗战争中"96 小时内向 2000 个目标投放 2000 多枚弹药"的支撑工具（这是部门单方面说法，尚缺独立核实，但它至少表明作战方向已被打开）。

更要紧的是，把 Anthropic 的出局解读为"普通采购风险管理"，会漏掉真正的变量：被替换的原因不是价格、不是性能，而是那家公司的价值观表态。买飞机不会遇到"供应商拒绝被用在某类战争"这回事；遇到这件事，恰是因为模型首次把"是否参战"的决策权，部分地留在了私人公司手里。

对投资者的痛点：这场准入之争，把 AI 公司的"拒战条款"变成了政府收入的物质性风险因子。愿意接受无限制条款的 OpenAI、xAI，换来了 300 万用户的国防分发渠道，以及通过总务署（GSA）以 42 美分价格提供至 2027年3月的政府采购价；拒绝者失去的不是一个订单，而是一整块主权级市场。模型企业的估值里，从此多了一项"国家准入溢价"——它取决于公司与国家权力在 refusal 上的妥协程度，而不只是技术领先性。随之而来的，是一个可能裂开为全球两半的 AI 市场：一边是美国可管控的"合规模型"，一边是经由开源权重流通、不依赖美国云主权的"非合规底座"。

数据守住了，模型没守住

另一个容易被忽略的错位，藏在"主权"这个词里。GenAI.mil 反复强调：数据留在政府环境、不用于训练商业模型。这确实守住了数据主权。但模型的权重、先验与 refusal 行为，仍然在 OpenAI 与 xAI 手里。国家用"隔离环境 + 不拿数据训练"换来了数据保护，却没有换来模型控制权——它接入的是一只它不能改写的黑箱。

这就是当下最真实的非对称依赖：国家获得了把私人模型当作国家装置使用的资格，私人公司保留了决定模型"能做什么、拒绝做什么"的最终权力。当战争越来越依赖这些模型，而模型公司又保留了"不参战"的按钮，国家会容忍这种私人否决多久，是一个绕不开的问题。

把视野抬一层看：这本质上是国家与平台之间权力争夺的新前线。过去二十年，人们对"平台权力过大"的担忧多集中在内容审核与数据垄断；AI 模型的 refusal 把矛盾推进到了"谁能决定认知与暴力工具的边界"这一层。福柯（Michel Foucault）所说的"知识/权力装置"在此刻格外贴切——GenAI.mil 不只是一个效率工具，更是国家把私人知识装置纳入自身权力结构、并试图抹去其独立意志的接口。

真正的问题不在采购单上

回到开头那两个并置的事实。如果只把它看作一次供应商轮换，就会错过整件事的重心：五角大楼对 Anthropic 的禁令、对 OpenAI 与 xAI 的放行，真正裁决的不是"哪家的模型更好用"，而是"在战争的例外状态中，哪家私人 AI 被允许成为国家暴力装置的一部分，以及它必须遵守什么条款"。

当战争越来越依赖由私人公司掌握、且自带"不参战"开关的模型，国家与资本围绕这个开关的拉锯，才刚刚开始。技术改变的是可能性空间，最终决定模型归谁所有的，仍然是制度与权力的安排——而不是模型自己。