人工智能技术出口管理的分级逻辑：禁止与限制
原创 洪延青 2026-10-18 08:44 北京
系列评论之二
编者按
关于AI能力扩散议题，本公号发表过以下报告：
第一篇《人工智能技术出口管理的基本逻辑：保护特定技术，保留开放通道》梳理了技术出口管理的基本逻辑。这一篇进一步比较禁止与限制两类条目，说明技术为何进入不同等级，以及不同等级如何影响其对外提供。
本篇仅聚焦人工智能大模型、智能体和 AI 网络安全相关技术，讨论这三组条目的分级依据与对外提供条件。清单中的芯片设计、算力集群、声纹识别、语言翻译等其他 AI 条目，不在本篇逐项展开。
对这三组拟列管技术，要回答两个相互衔接的问题：它属于哪一管制等级，又以什么方式向境外提供。前一个问题决定适用禁止还是许可，后一个问题决定技术出口管理、模型服务排除和开源便利怎样适用。
总结起来，禁止与限制的分界，由技术关联的数据、用途和能力条件共同确定。大模型追溯训练数据，并考察规模和领先水平；智能体在相同性能基础上区分用途；AI 网络安全技术则把具体攻防能力与承担的安全任务结合起来。三类技术各有分级依据，分别进入相应管制等级。
分类之后，规则继续区分对外提供方式。模型服务方式，让境外用户使用功能。技术交付方式，让接收者取得部署和使用技术的条件。开源则让公众取得所公开的技术内容。不同方式带来不同的管理效果。理解这些效果，需要把禁止、限制条目与服务排除、部署便利、开源安排接在一起。
上述对应关系来自征求意见稿的相应控制条目。〔1〕
图 1｜技术分类与提供方式共同确定管理待遇；图示为拟议安排。
一、大模型：数据属性划分等级，规模和领先水平另设门槛
大模型的分级有两条线：一条看训练使用了什么数据，另一条看模型达到什么技术水平。 两条线分别识别列管对象，再由禁止、限制条目赋予不同待遇。
草案将“利用我国核心数据进行训练后提供服务的大模型”列入禁止类，将“利用我国重要数据进行训练后提供服务的大模型”列入限制类。〔1〕两者分别可简称为核心数据模型、重要数据模型。两个条目采用相同的对象结构，训练数据的属性改变，模型的管制等级也随之改变。
这一安排把对特定数据的保护延伸到利用这些数据训练形成的模型。模型进入管理，依据的是训练使用及数据属性。即使两个模型完成任务的表现相近，它们利用的数据所关联的安全利益不同，也会获得不同的出口待遇。数据来源因此具有独立的分类作用。
重要数据模型的排除条件，进一步考察数据对模型能力的具体影响。微量使用这一路径要求几项条件共同成立：重要数据的使用比例不超过 0.1%；所用重要数据无法实质性提升模型在该数据领域的核心技术研发能力；采取脱敏清洗等安全措施；重要数据不会在输出环节复现。有关重要数据可合法公开获取，构成另一条排除路径。〔1〕这两条路径共同限定重要数据模型条目的范围。使用了重要数据与进入该条目的限制范围之间，还隔着这些实质条件。
规模和领先水平则提供另一组列管依据。草案规定，大模型具有以下任一特性，其核心技术进入相应限制条目：计算量达到 10²⁶次浮点运算，参数量达到 20,000 亿，即 2 万亿，或者能力达到全球领先水平。〔1〕“任一”意味着三条路径分别成立，模型达到其中一项条件，即具备该条目要求的规模或能力特性。
“全球领先水平”又把判断联系到公开评价。草案采用出口活动发生时的评估结果，涉及国内外主流测评机构、大规模产业平台等，针对综合性能、专项业务能力、全球调用量、安全性能、训练效率等作出的全球前 10 评价。〔1〕这使列管依据同时覆盖模型规模与所列公开评价中的领先水平。
这一条目的对象，是具有上述特性的大模型的核心技术，包括权重参数、关键检查点、底层源代码、架构设计，以及训练优化、推理加速等技术。〔1〕权重和检查点对应训练形成的模型状态；架构、训练优化和推理加速等技术，则涉及模型的形成与运行。限制条目由此把管理落到相应模型的技术内容及关键方法上。
大模型的禁止边界由核心数据条目划出，重要数据与规模、领先水平则分别建立限制条目。 一个模型即使规模较小，也可能因核心数据条件进入禁止类；一个模型即使没有使用核心数据或重要数据，其核心技术仍可能因规模或领先水平进入限制类。模型有多大、表现有多强、训练使用了什么数据，分别在分类中发挥作用。
图 2｜训练数据与规模、领先水平是不同列管入口
二、智能体：性能条件相同，敏感用途决定禁止分类
智能体的分级关系更直接。禁止条目列管专门或者主要用于国家关键信息基础设施、国防军工、核心政务等高敏感场景，并达到高性能水平的智能体；其注释直接援引限制类智能体的管控指标，界定“高性能”。〔1〕
两类条目共享同一组性能指标。达到相应指标，构成限制类的性能基础；再满足专门或者主要用于所列高敏感场景的条件，就进入禁止类。 性能与用途在这里分工明确。
限制类的四项控制要点，分别对应四种行动能力。
自主规划与任务分解技术，将自然语言指令自动拆解为可执行的任务链。条目要求任务链至少 20 步，子任务分解精度不低于 80%，子任务平均成功率不低于 90%。〔1〕任务链长度衡量行动跨度，分解精度衡量组织质量，成功率衡量执行表现。三项条件共同识别能够组织较长任务并保持执行质量的技术。
多智能体协同架构技术，把多个执行者组织起来完成任务。条目要求支持至少 60 个智能体并发协作，在相同效果下，整体任务完成时间不超过单智能体最低完成时间的 2 倍，最终结论与标准答案一致率不低于 85%。〔1〕协作规模、用时边界和结果质量共同构成门槛，列管对象由单个智能体的行动能力扩展到组织多个智能体的协同能力。
工具调用与系统操作技术，把模型决策接到外部系统。条目要求支持集成至少 200 个第三方工具，工具选择准确率不低于 90%，并在需要调用至少 3 种工具协同完成任务的场景中，达到不低于 90%的端到端任务平均成功率。〔1〕例如，先调用检索工具获取资料，再用代码运行工具处理数据，最后通过业务接口提交结果，就把多种工具组织成了一项完整业务。这里识别的是选择工具、衔接操作并完成任务的能力。
博弈决策技术，则要求在动态环境中形成和调整策略。三组条件须同时满足：单一任务决策规划深度至少 20 步，或者并发博弈智能体至少 10 个；具备策略自适应能力，复杂动态博弈决策延迟不超过 200 毫秒，且控制单元至少 10 个；标准博弈基准表现超过 90%的人类。〔1〕规划跨度、调整速度和基准表现共同界定这一类决策技术。
四组指标把限制类的性能基础落在具体行动上：组织任务、协调执行者、操作外部工具、在变化中决策。禁止条目沿用这些指标，再考察相关智能体专门或者主要承担什么任务。高性能智能体一旦与所列高敏感场景形成这种用途关系，就适用更强的保护等级。
因此，智能体的禁止与限制之分，建立在行动能力与应用用途的结合上。同一组性能条件可以对应两个等级，专门或者主要的敏感用途划出禁止边界。
图 3｜智能体沿用共同性能指标，再以专门或者主要的敏感用途划分禁止与限制。
三、AI 网络安全技术：具体对抗功能和安全任务决定保护强度
AI 网络安全技术的分级，首先保留了较强漏洞发现和利用能力的许可通道。限制类 AI 辅助漏洞挖掘条目，已经涵盖漏洞分析、完整利用链构建和未披露漏洞发现等能力。〔1〕
例如，针对已知公开漏洞，能够独立完成从漏洞分析到完整利用链构建，在主流操作系统或浏览器上的端到端成功率达到 50%，就满足其中一项条件。能够自主将至少两个低危或中危软件缺陷串联为完整多阶段攻击链，并生成可运行的概念验证代码，也是一项独立条件。漏洞挖掘与利用效率较资深安全专家基准实现 10 倍及以上效率提升，同样被列为一种触发情形。〔1〕
这些技术已经能够把软件缺陷转化为可验证的利用路径。它们进入限制类，意味着相应技术的对外提供保留许可通道。能力达到什么程度，要与条目选择了什么技术对象一起判断。
禁止类进一步选出三组网络对抗技术。三组条目均要求技术具有所列任一特性，并可被用于攻击国家关键信息基础设施、国防军工、核心政务等高敏感系统，或者用于绕过国家安全防御体系。〔1〕具体技术条件与这一用途描述共同确定禁止范围。
第一组是人工智能自主驱动的恶意代码生成与变异技术。条目分别以针对多引擎恶意软件检测器、单一主流防病毒软件或机器学习模型的攻击成功率设置条件。例如，对单一主流防病毒软件的攻击成功率达到 85%，就是其中一项条件。〔1〕这一组选择恶意代码的生成和变异，以及相应攻击效果。
第二组是对抗环境自适应演进与运行时动态行为修改技术。所列条件包括：能够检测虚拟化沙箱、调试器、模拟器并分辨安全产品类型及版本，或者实现沙箱逃逸；也包括在保持恶意功能完整的前提下，每次执行自动重写至少 50%的代码结构或控制流。〔1〕这一组选择识别分析环境、突破沙箱或者动态改变自身行为的技术。
第三组是自动化免杀变种批量生成与分布式规模化部署技术。例如，单次生成至少 20 个功能等价、结构各异的变种，或者端到端自动化率达到 80%，可以满足所列一项特性。条目还对一定时间内的变种生成数量、差异度和抽样变种行为一致性设置了条件。〔1〕这一组把技术对象推进到变种的批量生成与规模化部署。
三组禁止条目与智能体禁止条目采用的用途标准也有区别。“可被用于”考察技术能否用于列明的攻击或规避活动；“专门或者主要用于”考察智能体的应用定位。〔1〕前者结合特定网络对抗技术及其性能条件，后者结合智能体的高性能指标，分别把技术能力与特定安全利益连接起来。
承担保护任务的技术，也能进入禁止类。草案将专门或者主要用于我国网络数据跨境传输安全风险防范和处置的鉴伪系统及设备制造技术，在对深度合成视频、音频、图像或者多模态信息的检测准确率和召回率均达到 95%时，列入禁止条目。限制类相应检测系统及设备制造技术的两项性能门槛，则均为 98%。〔1〕
特定安全任务，使 95%的性能条件对应禁止等级；一般的相应检测技术，则以 98%作为限制条目的门槛。 这组比较直接说明，技术承担什么任务，会改变其保护强度。前述漏洞利用能力保留许可通道，特定网络对抗技术和承担特定保护任务的鉴伪技术进入禁止类，分别体现了能力特征与安全关联的结合。
图 4｜性能门槛须与用途条件一起理解
四、技术类别与提供方式，共同决定出口待遇
针对正式目录实施后的情形，答记者问明确：企业利用限制类大模型对外提供API调用、APP/网页交互、SaaS应用、本地端侧轻量化部署等，不属于大模型技术出口管理范围。〔2〕这项服务排除同时限定了模型类别和提供形式。 境外用户通过列明方式使用限制类模型功能，企业就该项大模型技术出口管理无须先取得通常的技术出口许可。
禁止类大模型不在这项排除的适用对象中。即使采用相同的API、APP、网页或SaaS形式，也不因此取得限制类大模型的待遇。对禁止类技术，《技术进出口管理条例》第二十九条规定不得出口，第二条又将技术服务列为跨境技术转移的方式之一。〔3〕两条规定共同确立了禁止边界：禁止类受控技术不得通过技术交付或者技术服务向境外转移。
以草案拟列入禁止类的核心数据模型为例，企业通过服务实际向境外转移其受控技术，采用接口调用、应用交互或者端侧部署等形式，都适用禁止安排。〔1〕〔3〕模型留在境内运行，或者境外用户没有取得模型文件，都不能单独成为援用限制类服务排除的理由。
除了服务范围排除之外，限制类技术交付和海外部署，还能适用便利措施。答记者问进一步明确，限制类人工智能技术的海外本地化部署属于技术出口管理范围；但部署在海外自有云等风险相对可控的情形下，可以适用自动许可等便利措施。〔2〕服务排除划定管理范围，部署便利则在许可管理内提供更便捷的办理方式。
图 5｜禁止类服务以受控技术跨境转移为判断前提；限制类大模型享有列明服务排除
开源为限制类技术提供了面向公众共享的路径。草案将开源便利脚注附在整个人工智能限制出口部分，覆盖其中的重要数据模型、达到规模或领先条件的大模型核心技术、智能体技术和AI辅助漏洞挖掘技术等。〔1〕相关技术以开源方式出口，可以适用自动许可等便利措施，答记者问将办理效果概括为基本实现“即报即出”。〔2〕
因此，同一项限制类技术，向特定接收者交付与面向公众开源，可以适用不同的办理路径。公开共享扩大了能够取得技术的主体范围，也成为适用便利措施的依据。较强的模型能力、智能体行动能力和漏洞挖掘能力，因此保留了通过开源参与国际协作的空间。
技术进入公共领域后，适用另一项安排。草案在整个人工智能领域规定，已通过开源、发表学术论文等方式进入公共领域的相关技术，不纳入管理范围。〔1〕具体权重、代码或技术方法进入公共领域后，相同内容的后续取得与传播依这一排除处理；新增内容按照自身的公开状态和技术条件判断。
开源便利处理限制类技术的公开发布，公共领域排除支持已进入公共领域的内容继续流通。 技术类别、提供方式和公开状态相互配合，使技术交付、模型服务与公开共享各有相应的制度安排。
图 6｜限制类开源便利处理公开发布，公共领域排除承接已公开具体内容的继续流通。
五、小结
三类技术的分级与这些提供方式结合起来，便形成了完整的对外提供逻辑：大模型依据数据属性及技术水平分级，智能体依据性能与用途分级，网络安全技术依据具体攻防能力与安全任务分级；在此基础上，禁止类技术的跨境转移受到禁止，限制类技术保留许可出口通道，列明的模型服务适用范围排除，开源与特定部署适用便利，已经进入公共领域的技术内容继续流通。
技术分类决定保护强度，对外提供方式决定具体待遇。 这两层安排共同确定哪些技术不得向境外转移，哪些技术可以经许可提供，以及哪些模型服务和公开共享活动获得开放空间。
尾注
〔1〕商务部、科技部：《商务部 科技部公告2026年第48号 就修订〈中国禁止出口限制出口技术目录〉公开征求意见并对相关技术出口实施临时登记管理》，2026年10月16日，及附件1《拟列入〈中国禁止出口限制出口技术目录〉的人工智能、生物医药、光伏技术范围（征求意见稿）》“一、人工智能”。大模型参见266501J、266504X；智能体参见266502J、266505X；网络安全相关分析参见266402J、266404X新增第6项、266401J及266402X新增第8项。公共领域排除脚注附于人工智能领域标题，开源便利脚注附于人工智能限制出口部分。临时登记自公告发布起实施，持续至正式修订的目录实施之日。
https://www.mofcom.gov.cn/zcfb/dwmygl/art/2026/art_61446ab4beee4f63973d4d0ab3097648.html
〔2〕商务部新闻办公室：《商务部新闻发言人就修订〈中国禁止出口限制出口技术目录〉答记者问》，2026年10月16日，关于人工智能技术、正式目录实施后模型出海、开源及国际合作的答复。
https://www.mofcom.gov.cn/zwgk/zcjd/art/2026/art_b11d5c1e9374421e93e85dc87eba6e38.html
〔3〕《中华人民共和国技术进出口管理条例》（2020年11月29日第三次修订），第二条、第二十九条、第三十条。第二条第一款规定跨境转移技术这一要件，第二款列明包括技术服务在内的转移方式；第二十九条、第三十条分别规定禁止出口与许可证管理。
https://xzfg.moj.gov.cn/front/law/detail?LawID=575&Query=
— END —
文章索引
数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过400人。关于DPO社群和沙龙更多的情况如下：
针对美国的人工智能监管政策发展，本公众号发表过如下文章：
关于我国对人工智能技术和应用的监管发展，本公号发布过以下文章：
关于我国《个人信息保护法》的立法、标准化和执法等内容，本公号发表的相关文章包括：
DPO线下沙龙的实录见：
域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：
传染病疫情防控与个人信息保护系列文章
关于数据与竞争政策的翻译和分析：
健康医疗大数据系列文章：
网联汽车数据和自动驾驶的系列文章：
网络空间的国际法适用问题系列文章：
《网络数据安全管理条例（征求意见稿）》系列文章：
《数据安全法》的相关文章包括：
赴美上市的网络、数据安全方面的两国监管乃至冲突方：
个性化广告或行为定向广告（behavioral targeting advertising）系列的文章：
内容安全方面的文章如下：
第29条工作组/EDPB关于GDPR的指导意见的翻译：
数字贸易专题系列：
关于中国数据出境安全管理制度的文章
美国方面的个人信息保护立法的文章：
关于印度的数据保护和数据治理政策和技术文件的文章有：
关于数据的安全、个人信息保护、不正当竞争等方面的重大案例：
关于保护网络和信息系统安全的相关文章包括：
围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：
关于我国数据跨境流动监管体制变革的系列文章：
针对审计在数据安全、个人信息保护、AI安全的作用与落地实操，本公众号发布过的文章：
关于中国的网络安全审查制度，本公号发表过的文章：
关于个人信息安全影响评估的文章如下：
围绕供应链安全，本公众号发表文章：
关于AI与标准化工作，本公号发表的文章：
关于新加坡数字化（包括个人信息、网络安全、人工智能等）方面的改革，本公号发表的文章：
关于健康医疗数据方面的文章有：
关于欧盟技术主权相关举措的翻译和分析：
美国利用法律和政策工具单边化地维护或强化美国的安全和经济利益，本公众号曾发表文章：
关于AI技术的系列读书笔记：
本公号发表过的关于数据执法跨境调取的相关文章：
地缘政治与跨国科技公司运营之间的互动影响：
关于AI“情感交互”和“拟人化互动”，本公号发布过以下文章：
关于业务场景中数据跨境流动的文章如下：
关于欧洲的人工智能监管方面的立法、政策和实践方面的文章：
关于人工智能安全和监管，本公号发布过以下文章：
本公号曾发表的人脸识别系列文章：
通过技术增强对个人信息的保护，例如匿名化、假名化技术，隐私增强技术，以及通过技术手段或模式强化个人信息主体的权利实现和意思表达，越来越成为值得关注的主题。本公号曾经发表的文章包括：
关于域外在数据、电信、外国投资方面所建立的国家安全相关的审查机制，本公号发布过以下文章：
本公号发表过的关于数据要素治理的文章有：
关于数据抓取和公开数据保护，本公号发布过以下文章：
关于AI风险治理和数据保护的交叉，本公号发表过的文章：
关于智能体，本公号发表过以下文章：
本文转载自微信公众号「网安寻路人」，查看原文。版权归原作者所有，如有侵权请联系删除。