取证线索指向智谱：Ox Alpha 在 OpenRouter 上已触达 22.1 万开发者

一个名为 Ox Alpha 的免费推理模型于 8 月 20 日出现在 OpenRouter 上：没有署名的开发方，没有新闻稿，没有公司标识 —— 而 72 小时之内，它吸引了约 22.1 万名独立用户，处理了约 16 万亿个 token，并爬升到编程平台 OpenCode 上使用量第二的模型，全程没有一份官方评测，也没有任何实验室愿意认领。等到 8 月 23 日 TechCrunch 报道这些猜测时，侦查工作其实已经完成：独立研究者通过分词器分析、视频编码器比对，以及一段泄露的 Java 堆栈跟踪，把服务基础设施追溯到了智谱 AI 的 Z.ai 平台 —— 而这些证据是那位匿名开发者没有预料到的。

该模型目前仍在线。据称其免费窗口在 OpenRouter 通道上约于 8 月 24 日关闭，在 OpenCode 上则是 8 月 27 日。它背后的实验室至今没有站出来。

OpenRouter 的隐身发布机制是怎么运作的

Ox Alpha 是自 2025 年初以来出现在 OpenRouter 隐身计划下的一系列模型之一，也是迄今获得采用最快的一个。机制并不复杂：第三方开发者以通用的「Stealth」供应商标签把模型发布到 OpenRouter，OpenRouter 把请求路由过去，而真正的开发方在预览期内 —— 通常是一到两周 —— 对外保持匿名，这段时间访问免费。OpenRouter 的模型页面写明该平台「不是它的开发者、所有者或提供者」。

此前大多数隐身席位最终都是通过官方第一方声明揭晓的 —— 从来不是仅靠社区指纹分析。其中几个是 OpenRouter 自己在其博客或 X 账号上点名的；另一些则由造出它们的实验室确认。这种揭晓模式很重要：有些席位则永远没有得到确认。这个计划能可靠产出的东西是：前沿规模上的真实世界压力测试数据、在具名产品发布之前就积累起来的开发者采用（那时实验室的全部声誉尚未押上），以及揭晓时刻内建的一次转化机会。模型是按它实际的输出被评价的，而不是被拿去对照人们对其开发方的既有预期。这是对该渠道的理性使用，而且这个模式如今重复得足够清晰，可以称之为一种发布策略。

此前被官方确认属于中国实验室的隐身席位 —— 智谱的 GLM-5（2026 年 2 月以 Pony Alpha 出现，发布五天后获确认）、小米的 MiMo-V2-Pro（Hunter Alpha 与 Healer Alpha，2026 年 3 月）、美团的 LongCat-2.0-Preview（Owl Alpha，2026 年 6 月）—— 强化了「Ox Alpha 的开发方会是中国公司」这一预期。每一次确认都遵循同样的模式：解决身份问题的是官方第一方声明，而不是社区的指纹分析。在任何取证分析开始之前，社区猜测就已经严重倾向智谱；随后的取证分析大幅强化了这一推断。

百万 token 上下文对智能体作业究竟意味着什么

Ox Alpha 最直接的差异化规格是它的上下文窗口：1048576 个 token —— 正好是 2 的 20 次方 —— 最大输出 131072 个 token。这个规格不是在现有生产模型上做的渐进提升。多数广泛部署的生产级模型处理的是 8000 到 20 万 token 之间。百万级窗口是另一个类别的工具：开发者可以把整个大型代码库、一整个仓库的文件、一个月的应用日志，或者一次长时间智能体会话的完整历史，一次性装进单个提示里，让模型跨越全部内容进行推理而不必截断任何东西。对于该模型页面所描述的长周期软件工程和持续性智能体作业而言，这份容量比头条评测分数更重要。

早期的真实采用情况恰好印证了这一点。OpenRouter 自己的应用层数据显示，头几天里 Ox Alpha 流量最大的消耗方不是聊天界面，而是智能体框架：Nous Research 的开源自我改进智能体 Hermes Agent 通过该模型跑了约 2.39 万亿个 token；Anthropic 的智能体编程工具 Claude Code 又贡献了约 1.18 万亿。这些都是为长时间自主软件任务而设计的工具 —— 正是该模型页面自己推介的用例。一位开发者在几小时测试中通过该模型处理了超过 30 亿个 token，其中大部分命中缓存，他报告说全程成本为零。这种规模的免费推理，与访问受限的研究预览在结构上完全不同。

在 OpenRouter 通道上的吞吐维持在每秒约 26–29 个 token，P50 延迟为 3.77 秒 —— 这来自该平台自己的性能数据。另一条 OpenCode 通道上，部分测试者报告了 50–60 token/秒的更高生成速度，很可能反映的是不同的服务路径。该模型还接受文本、图像和视频作为输入 —— 这个重要的技术细节，后来成了身份调查的核心。

研究者如何把这个模型追溯到智谱的基础设施

认定智谱 AI 的 Z.ai 平台为运营方的取证依据，建立在四条彼此独立的证据线上，且一条比一条更强。

分词器指纹。 每个模型家族都用训练期间学到的一套词表把输入文本切成 token。这些词表在不同实验室和模型家族之间各不相同 —— 是缩小「某个模型属于哪个家族」范围的可靠手段。研究者 @aitrackerbot 用多样化的提示词跑 Ox Alpha 并记录精确的 token 数；研究者 Chetaslua 随后把这项工作扩展到覆盖 14 种书写系统、emoji 序列、代码块和 SQL 查询的 30 条探测字符串。每一条提示词产出的 token 数都与 GLM-5.3 的分词器相符，且每次请求都带有一个恒定的 75 token 偏移 —— 这是每次查询前都被拼接了一段不可见系统提示词的特征，而不是底层架构不同。

视频编码器比对。 Ox Alpha 接受视频输入；而公开可用的 GLM-5.3 在其标准端点上不接受，这使视频编码器成为一个有区分力的信号。研究者提交了四段受控视频，并同时在三个独立的编码器设计变量上测量每段视频的 token 成本：抽帧采样率（与 FPS 无关）、每秒 token 成本（约 147 token/秒），以及分辨率缩放行为。三者全部与智谱的多模态智能体模型 GLM-5V-Turbo 精确吻合。三个同时独立的编码器选择全部吻合，要用巧合来解释，难度远大于单个数字的吻合。

Java 堆栈跟踪。 研究者 Chetaslua 发送了一个刻意构造错误的 API 请求 —— 把 top_p 参数设成字符串 "abc" 而不是浮点数 —— 服务器返回的不只是一个错误，而是一个带堆栈跟踪的 Java 校验错误，其中暴露了一个内部类名：com.wd.paas.api.domain.v4.chat.ChatCompletionRequest。这个包路径直接对应智谱有文档记载的内部 API 基础设施，即 open.bigmodel.cn 和 api.z.ai。堆栈跟踪标识的是服务端正在运行什么代码 —— 这不是来自模型输出的行为信号，而是关于处理这些请求的基础设施的证据。

错误码方言。 OpenRouter 上由 Z.ai 托管的 GLM 模型，在请求包含无效 role 字段时会返回一个很有辨识度的错误：{"code":"1214","message":"Incorrect role information"}。Ox Alpha 返回的是同样的错误、同样的 JSON 格式。而当同一测试针对 DeepInfra 托管的 GLM-5.2 运行时 —— 同一份底层模型权重，由不同运营方提供服务 —— 错误格式是 pydantic 的校验错误，不是 Z.ai 的那套方言。这个区分至关重要：错误码方言标识的是提供服务的运营方，而不只是模型权重。它确认的不仅是 Ox Alpha 可能与 GLM 共用代码库，而是运行它的那套具体基础设施属于 Z.ai 的平台栈。

基于这些综合证据，Chetaslua 把运营层归属的置信度定在 0.98。截至 8 月 24 日，智谱 AI 或 Z.ai 均未发表官方声明确认这一归属。

有一个相竞争的说法值得一提。研究者 Robert Lukoszko 主张，对 Ox Alpha 的分词器分析显示其使用的是 cl100k_base —— 一种由 OpenAI 开发、并被微软的 Phi 和 MAI 模型家族使用的字节对编码分词器 —— 若如此，就会排除掉所有中国前沿实验室，转而指向微软尚未发布的 MAI 2。这项分析发表于堆栈跟踪和错误码方言证据出现之前。两种说法存在张力：如果 GLM-5.3 分词器与 cl100k_base 分词器对相同输入产出完全相同的 token 数，那么分词器证据就无法区分二者，堆栈跟踪就成了决定性指标。智谱和微软均未置评。堆栈跟踪属于服务层的产物 —— 是最难靠巧合产生的一类证据 —— 这让智谱假说目前占据上风。

评测数据究竟说明了什么

围绕 Ox Alpha 的评测讨论需要谨慎对待。流传最广的说法 —— Ox Alpha 在 DeepSWE 上得分 80%，领先 Claude Fable 5 的 65% 和 GPT-5.6-Sol 的 52% —— 出自某位开发者独自完成的 10 道题社区试验。在这种规模的题集上，一道题的成败就会让通过率变动 10 个百分点。一个恰好擅长所选那 10 道题的模型会拿到 80%；同一个模型换成同一分布下的另外 10 道题，可能只有 50%。这不是经过审计的排行榜结果，也不应被当作排行榜结果对待。

另一项评估提供了更有用的背景。一次更长的、包含 113 道题的 DeepSWE 社区测试，把 Ox Alpha 的解决率定在约 58%，落后于公开排行榜上的头部选手 —— 那里 Claude Opus 5 和 GPT-5.6-Sol 处在 70% 出头的位置。Ox Alpha 在第三方排行榜 Kingbench 上得分 87.5%，而 GLM-5.3 在同一评测上是 91.25%。如果这些数字有代表性，那么 Ox Alpha 会是一个很强但并非前沿领先的选手 —— 在一项为推理评估而设计的评测上，落后于已经公开可用的 GLM-5.3 文本模型。这个位置与「Ox Alpha 是某个 GLM 级系统的开发版或预览版，而不是一次代际能力跃迁」是一致的。

OpenRouter 通道上每秒 26–29 个 token 的吞吐，是来自该平台自身基础设施监控的确证数字 —— 作为生产规划的锚点，它比社区评测跑分更可靠。

数据落在一个匿名提供方手里

Ox Alpha 的迅速普及制造出一种数据托管处境，而评测方面的讨论基本把它遮住了。该模型在 OpenRouter 上的页面写明，提示词和补全内容会被提供方保留，但不用于训练。读到这一行的开发者，完全可以合理地推断自己的代码不会进入训练语料。但这个推断并未得到 OpenRouter「隐身模型」最终用户许可协议的完全支持 —— 该协议适用于平台上所有隐身模型，并授予 OpenRouter 和那个未具名提供方将用户内容用于训练、评估和改进的权利，而单个模型页面上的那条提示并没有明确推翻这些权利。

OpenCode 通道给出的说法则不同：其文档描述为零天留存，且 Ox Alpha 提供方在 OpenCode Go 平台上不作训练使用。通往同一个底层模型的两条通道，写明的政策却不一样。而这两者都无法约束一个身份与法律管辖地至今未获官方确认的提供方。

对开发者而言，保守的操作性结论是：任何经由 OpenRouter 直连端点发出的提示词，都受制于并未干净地保证「排除训练」的条款。任何经由 OpenCode 发出的提示词，拿到的是一个匿名运营方的零留存承诺，而这个承诺的履行情况无法被审计。在一个具名提供方带着有约束力、可审计的数据处理协议为该模型负起责任之前，企业把敏感输入交给它，承担的是无法量化的风险。

如果取证结论被证实，结构性风险在哪里

这些取证证据尚未得到智谱、Z.ai 或 OpenRouter 的官方确认。但如果它成立，就会适用另一类合规顾虑 —— 一类超出 EULA 冲突、直接作用在适用法律层面的顾虑。

Z.ai 是总部位于北京的智谱 AI 的国际品牌，该公司于 2026 年 1 月在香港交易所上市，它运作于中国《国家情报法》第七条之下 —— 该条要求所有中国组织和公民依法支持、协助和配合国家情报工作。这不是一种有争议的解读；它是每一家总部设在中国的公司据以运作的法律条件，与其声明的隐私政策、国际公司架构或服务器位置无关。

智谱 AI 及其子公司被列入美国商务部工业与安全局的实体清单，时间是 2025 年 1 月，理由是它们通过开发和整合先进人工智能研究推进中国的军事现代化。美国众议院国土安全委员会与众议院中国问题特别委员会启动了一项正式联合调查，时间是 2026 年 4 月，调查关键基础设施中中国 AI 模型带来的网络安全风险，并把智谱 AI 列入受审视的公司之列。

对欧洲企业来说，监管图景没有一些开发者社区文章所说的那么清晰。欧盟第 2026/1744 号条例 —— 《AI 数字总括法案》 —— 于 2026 年 7 月 24 日刊登在欧盟官方公报上，并于 7 月 27 日生效。该条例推迟了原定 8 月 2 日开始执行的高风险合规框架，其中包括那些最直接约束企业使用匿名 AI 提供方的文档与数据处理义务。第 50 条针对 AI 生成内容的透明度条款仍然有效，但在开发者社区里流传的那个头条执行期限并没有触发。

OpenRouter 在 Stripe 内部的位置

Ox Alpha 在 OpenRouter 上出现的前一天，Stripe 确认将收购该平台，据称作价 75 亿美元 —— 而仅仅三个月前 OpenRouter 的估值还是 13 亿美元。这笔收购尚未完成交割。Patrick Collison 公开称赞 Ox Alpha「非常令人印象深刻」—— 而这番话是在任何实验室被认定为其开发方之前说的 —— 因此既是个人评价，也隐含地传递了一个信号：即便在收购过程中，OpenRouter 仍将继续扮演中立路由层的角色。

这笔收购让 Stripe 在 AI 时代的资金流内部占据了位置，包括对前沿实验室和供应推理算力的超大规模厂商拥有筹码。把一个匿名第三方提供方尚未理清的数据托管问题加进这幅图景，不是什么技术上的边缘情况 —— 而是一个治理问题，交割完成之后它将落到 Stripe 的合规与法务团队头上。

OpenCode 在其发布公告中引用的「每天 100 万亿 token」的容量数字，立刻招来了熟悉基础设施的开发者的怀疑。按已报告的服务速度，要维持这样的吞吐所需的算力资源，超过了目前任何已知中国实验室在运行的规模。这个容量说法仍未获证实。来自 OpenRouter 的实际吞吐数据 —— 每秒 26–29 个 token、P50 延迟 3.77 秒 —— 才是开发者可以据以规划的数字。

接下来会怎样

按此前已确认的隐身发布的模式，开发它的实验室应当会在免费窗口关闭后的几天之内正式揭晓。当那一刻到来 —— 带着具名产品、明确定价和一份可辨识的数据处理协议 —— 数据托管问题就变得可以回答，而 Ox Alpha 已经积累起来的采用曲线，就成了商业发布的基础盘。

在那之前，情况恰如它看上去的样子：一个前沿级别的编程模型，很可能背后是一家资源充足、且有着完全相同发布套路的中国实验室，正在由数十万名开发者用智谱的钱做压力测试。支持这一结论的技术证据如今已强过社区猜测 —— 堆栈跟踪是服务层的产物，而不是对行为的猜想 —— 但它尚未得到该实验室本人的确认。这个细节对企业风险评估很重要；对那些已经处理了数十万亿 token、并对该模型能力形成了自己判断的开发者来说，就没那么重要了。

Ox Alpha 抛出的更大问题不是「谁造了它」。而是：把匿名的前沿模型常规性地当作分发基础设施来使用，对 AI 行业意味着什么 —— 以及为这套模式所依赖的路由层付了 75 亿美元的 Stripe，对此有没有一个治理上的答案。