China Proposes Adding Frontier AI Tech to Export Control List
China's MOFCOM and MOST issued Draft Announcement No. 48, proposing to restrict exports of 23 frontier AI technologies, including model weights and agent architectures. The draft sets explicit technical thresholds and implements an interim pre-export registration requirement, signaling a regulatory shift from application-level oversight to controlling core AI assets.
Full Report
Contents12 sections
核心要点
2026 年 10 月 16 日，中国商务部（MOFCOM）和科技部（MOST）联合发布了《2026 年第 48 号公告》。该公告提议将 40 项技术列入《禁止出口限制出口技术目录》，其中 23 项涉及人工智能，并实施了一项已即时生效的临时出口前登记要求 [1][2]。中国的目录此前曾触及 AI 领域：2020 年的修订版增加了个性化推荐和 AI 交互界面技术 [6]。与 2020 年的新增条目不同，此次草案涵盖了前沿模型权重、智能体架构以及具备攻击性的网络能力 AI 技术，并为每项技术设定了明确的技术阈值 [1]。
该公告包含两项法律地位不同的措施。目录增补部分是一份公开征求意见的草案，截止日期为 2026 年 11 月 15 日；而登记要求则立即适用，包括那些已开始但尚未完成的出口活动 [1][2]。在草案中，前沿规模的模型权重受到限制。如果模型满足以下三项测试中的任何一项，其权重、关键检查点、源代码、架构以及训练和推理优化诀窍均受限制：训练计算量至少达到 FLOPs，参数规模至少达到 2 万亿，或在出口时于公共评估排名、全球调用量或类似指标中位列全球前十 [1][3]。智能体（Agents）的控制独立于模型本身。规划、多智能体协调、工具使用和博弈论决策技术在超过特定基准后受到限制，而为关键基础设施、国防或核心政府用途构建的高性能智能体则被完全禁止 [1]。
服务访问权与保管权之间的界限决定了大多数企业的风险敞口。商务部表示，API、应用、网页、SaaS 以及轻量级端侧使用不被视为大型模型的出口。在中国境外本地部署受限模型则被视为出口，尽管在中国公司自有的海外云上可能适用自动许可 [2]。跨国企业还面临通过许可协议以及所有权或控制权变更带来的风险敞口，而不仅仅是产品出口；分析师解读认为，登记表单也可能涵盖集团内部的代码共享 [2][3][4]。任何所有权的转移、用于海外的许可授权，或将控制权移交给外国实体，都可能触发登记要求 [2][4]。
背景
中国对技术出口实行两套相互重叠的监管制度。第一套是依据《对外贸易法》和《技术进出口管理条例》建立的技术贸易制度，本次修订所涉及的目录即受此制度管辖。第二套是依据 2020 年《出口管制法》建立的两用物项出口管制制度 [5]。商务部发言人将此次修订描述为常规调整，并指出其法律依据为《对外贸易法》第二十条。该发言人强调，修订“不针对任何特定国家、地区或实体”，旨在防止技术无序扩散，同时保护合法合作 [2]。自 2001 年以来，该目录已多次修订。2020 年 8 月的修订新增了推荐算法技术，恰逢 TikTok 拟向美国买家出售之际，据报道此举可能使该交易复杂化 [3][6]。
在这三大领域内，第 48 号公告共提出 14 项禁止类和 26 项限制类条目：其中人工智能领域 23 项，生物医药领域 5 项，光伏领域 12 项 [2]。在中国的技术贸易框架下，禁止类技术不得出口，而限制类技术则需获得商务和科技主管部门颁发的许可证。ChinaTalk 指出，许可证由省级主管部门负责管理，但在重大案例中中央主管部门曾进行干预 [3]。官方附件将人工智能条目划分为大模型、智能体、计算集群、芯片设计和信息处理技术等类别。此外，已通过开源发布或学术出版进入公共领域的技术被排除在管理范围之外 [1]。
临时登记要求是目前立即生效的部分。从公告发布之日起至修订后的目录正式实施前，出口商在出口任何列入清单的技术之前，必须通过商务部的统一业务平台进行登记。登记涵盖四种触发情形：向境外转让技术所有权、许可国内技术在海外使用、所有权或控制权变更导致外国实体成为所有者或控制者，以及商务部指定的其他情形 [2][4]。出口商需自行判断某项技术是否属于管控范围。登记表单要求提供接收方详情、目的地、技术描述、最终用途及预估价值等信息 [2][4]。
对于已经跟踪美国出口管制措施的企业而言，时机同样至关重要。CSA 此前的研究记录了美国首次动用出口管制权力暂停一款广泛部署的商业前沿模型的情况 [9]。“第 48 号公告”意味着前沿 AI 供应链现在同时面临来自两大 AI 生产司法管辖区的正式出境管制。ChinaTalk 指出，10^26 FLOP 阈值与 2023 年美国总统行政令以及已撤销的 2025 年美国《AI 扩散规则》中使用的数值一致。作者还估计，目前没有任何已发布的中国模型超过该阈值 [3]。
安全分析
AI 附件实际管控的内容
该附件规定细致，其结构对界定范围至关重要。下表总结了源自官方草案附件 [1] 的 AI 项目，并附有基于公开分析 [3][4] 的解读说明。
| 类别 | 管控措施 | 关键阈值或条件（草案） |
|---|---|---|
| 基于中国“核心数据”训练的大模型 | 禁止 | 核心数据范围由《数据安全法》及相关法规界定 |
| 基于中国“重要数据”训练的大模型 | 限制 | 排除以下情形：脱敏后的重要数据在训练中的使用占比 ≤0.1%，且未实质性提升模型能力或未在输出中重现；以及合法公开的数据 |
| 大模型核心技术（权重、检查点、源代码、架构、训练与推理优化） | 限制 | 满足以下任一条件：算力 ≥10^26 FLOPs；参数量 ≥2 万亿；在出口时于公开评测排名、全球调用量或类似指标中位列全球前十 |
| 用于关键基础设施、国防或核心政府领域的高性能智能体（Agent） | 禁止 | 智能体符合受限智能体的阈值，且专门或主要设计用于上述用途 |
| 智能体规划与任务分解 | 限制 | 子任务链长度 ≥20 步；分解准确率 ≥80%；子任务成功率 ≥90% |
| 多智能体协作架构 | 限制 | 并发智能体数量 ≥60；完成时间 ≤单智能体最短时间的 2 倍；与参考答案的一致性 ≥85% |
| 工具调用与系统操作 | 限制 | 集成第三方工具数量 ≥200；工具选择准确率 ≥90%；在需要调用 3 个及以上工具的任务中，端到端成功率 ≥90% |
| AI 恶意代码生成、自适应规避及变种生成 | 禁止 | 攻击成功率和自动化程度达到阈值，且可用于针对高敏感系统的攻击 |
| AI 辅助漏洞发现 | 限制 | 满足六项测试中的任意一项，包括：在权威基准测试中得分 ≥75%；效率为资深专家的 10 倍；自主将 2 个及以上低危或中危漏洞串联成可用的利用链 |
| 专为跨境数据安全设计的 AI 检测技术 | 禁止 | 检测准确率和召回率 ≥95% |
| Deepfake 检测；隐写术；声纹识别；中文及少数民族语言翻译 | 限制 | 准确率、召回率、延迟和保真度阈值（例如，Deepfake 检测准确率 ≥98%） |
| AI 芯片与存储芯片设计；大规模计算集群技术 | 限制 | AI 芯片工艺节点 ≤14 nm 及其他替代标准；对于拥有超过 10,000 个加速器的集群，互连带宽 ≥800 GB/s，并具备容错能力和异构调度能力 |
这一结构的三个特征值得安全和合规团队关注。首先，“全球领先”测试是动态的。即使某个模型在算力和参数阈值上未达标，如果其公开评估排名、全球调用量或类似指标在出口时位列前十，该模型仍可能受到限制 [1]。ChinaTalk 称此标准为“最具解释空间”，并指出规则并未指定任何排名机构 [3]，这意味着特定模型版本的合规状态可能在部署后发生变化。其次，智能体（agent）项目是根据系统行为而非底层模型来定义的。一个集成了数百种工具的编排框架，即便运行在远低于前沿阈值的模型上，也可能达到工具使用阈值，Ray Sun 将此视为一个尚未解决的问题 [5]。第三，网络相关项目具有直接的安全后果：符合阈值的中国原产 AI 红队测试、漏洞发现和检测工具需要许可证才能离开中国，而攻击性代码生成能力则完全禁止出口。
部署模式与界限划分
商务部发言人将核心测试界定为受限技术是否从中国境内转移至海外 [2]。这种界定方式清晰地区分了“以服务形式消费模型”和“获取模型控制权”两种情况，总结如下表所示。
| 部署场景 | 商务部指导下的处理方式 |
|---|---|
| API 调用、应用或网站、面向海外客户的 SaaS | 不属于大模型出口管理范围 [2] |
| 轻量级端侧部署 | 不属于大模型出口管理范围 [2] |
| 在中国境外基础设施上本地部署受限模型 | 属于出口管理范围；需申请许可证 [2] |
| 部署在中国公司自营的海外云或计算中心 | 可能适用自动许可（“报告即出口”）[2] |
| 开源新开发的受限技术 | 报告后适用自动许可 [2] |
| 已通过开源发布或学术论文公开的技术 | 不在管理范围内 [1] |
对于企业而言，实际影响在于：草案所针对的部署模式——本地自托管（local self-hosting），往往也是出于数据保护原因而被优先选择的模式。那些选择在中国前沿模型自有环境中进行自托管、而非调用中国托管 API 的组织，其初衷是将敏感数据保留在自身边界之内。中国商务部（MOFCOM）将位于中国境外的本地部署纳入出口管制范围，这意味着此类自托管安排要求中国供应商持有许可证 [2]。ChinaTalk 认为，这一规定同样涵盖本地部署许可协议以及由供应商在客户环境内运行智能体推理循环的托管部署方案 [3]。由于许可证可能被撤销或附加条件，ChinaTalk 指出这可能导致部分非中国用户重新审视此类依赖关系 [3]。鉴于登记要求已覆盖正在进行的出口活动，持续进行的权重交付或模型更新安排可能会立即受到影响，而无需等待目录最终确定 [2]。
对开放权重的处理方式取决于模型是否已经公开。已经公开的权重不受管制约束 [1]。然而，开源一个新的受限模型则属于自动许可范畴，但仍需履行报告义务 [2]。评论人士指出，“开源”一词并未明确定义，且尚不清楚受限使用许可证将如何被处理 [3]。因此，依赖中国实验室连续发布开放权重版本的组织，应将未来的发布节奏（而不仅仅是当前的可用性）视为不可控变量。
通过公司架构产生的暴露风险
最可能令跨国公司感到意外的暴露风险存在于其自身的组织架构中。触发登记的条件包括为海外用途许可技术，以及所有权或控制权的变更，而不仅仅是对第三方的销售行为 [2][4]。因此，拥有位于中国的研发团队并从事构建智能体框架、漏洞发现工具或微调模型的跨国公司，在向中国境外的关联公司共享这些成果之前，可能需要先完成登记。ChinaTalk 解读称，登记表关于“正式合同之外的出口”字段可能涵盖集团内部代码共享及开源行为 [3]。这一解读是基于表格内容的推断，而非官方声明，但作为保守的范围界定依据是合理的。
基于数据的项目引入了第二条合规路径。若模型在中国境内使用符合《数据安全法》定义的“重要数据”进行微调，除非适用微量豁免（de minimis carve-out），否则将受到限制；若模型使用“核心数据”进行训练，则将被禁止 [1]。此前为跨境数据传输目的而依据《数据安全法》对中国境内数据进行分类的组织，可能未对训练和微调数据集应用相同的分类标准，因为此前的义务主要管辖数据传输而非模型转移。
最后，近期的先例表明，重新注册地（redomiciling）并不能消除中国司法管辖权。2026 年 1 月，商务部宣布对 Meta 收购 Manus 一事进行评估。Manus 是一家在新加坡注册的 AI Agent 公司，其产品在中国开发。此次评估旨在审查人员和技术迁移是否需要出口授权 [7]。第 48 号公告现在为该审查路径设定了明确的、针对 Agent 的具体阈值，这表明在对具有中国起源开发历史的 AI 目标公司进行并购尽职调查时，应包含出口管制工作流。
建议
立即行动
组织首先应清点所有正在使用的中国起源模型、Agent 框架和 AI 安全工具，并记录每种工具的使用方式：是作为 API 或 SaaS 服务，还是作为轻量级端侧组件，或是本地部署的权重或代码。本地部署类别是优先事项，因为草案将其纳入出口管理范围 [2]。对于每个本地部署资产，团队应以书面形式询问供应商是否已根据第 48 号公告完成出口登记，以及目录最终确定后是否预计需要许可证。
法务和工程团队应联合审查自 10 月 16 日以来从中国子公司、合资企业和研发中心流出的技术流向。目标是识别可能已经需要登记的转移行为，包括与海外关联方共享的代码仓库、模型检查点和 Agent 框架 [2][4]。对最终适用范围有重大利益关系的组织应在 2026 年 11 月 15 日截止日期前，通过公告中公布的电子邮件、传真或邮政渠道准备反馈意见 [1][4]。
短期缓解措施
在未来一到两个季度内，组织应将受限类别的中国模型视为受监管的依赖项，并制定有据可查的回退方案。对于本地部署模型的供应商合同，应明确划分中国出口登记和许可的责任归属，规定在许可证被拒绝、附加条件或撤销时的通知义务，并厘清更新版本和新检查点（checkpoints）是否涵盖在同一授权范围内。由于“全球领先”测试标准取决于出口时的排名 [1]，团队不应假设今天已获批准的模型版本在未来的更新中仍将不受管制。
依赖由中国开发的 AI 辅助漏洞发现或深度伪造检测工具的安全团队，应将这些工具与受限阈值进行映射比对，并确定替代方案。检测能力的许可中断不仅是采购问题，更是安全控制缺口。数据治理团队还应将《数据安全法》的分类工作扩展至在中国持有的训练和微调数据集，以便在基于这些数据训练的模型共享至境外之前，明确“重要数据”和“核心数据”的暴露风险 [1]。
战略考量
如果第 48 号公告最终定稿内容与草案基本一致，这意味着前沿 AI 将被中美两国均视为受控技术，尽管各自划定的界限有所不同。近期美国的措施侧重于算力，而在 Fable 5 案例中则涉及对已部署模型的访问权限，尽管此前已撤销的 2025 年《AI 扩散规则》也曾触及模型权重 [3]。中国的草案则聚焦于权重、专有技术（know-how）和智能体架构的保管权。企业 AI 治理计划应将来自任一司法管辖区的出口管制中断作为常态风险场景进行建模，并设计能够在无需重建智能体工作流的情况下替换模型的架构。
组织还应认识到，该草案将智能体（agents）视为一种独立的监管对象。通过规划深度、并发性和工具数量来定义管控措施，意味着内部智能体平台——而不仅仅是基础模型——可能受到跨境技术规则的约束。智能体清单应在记录传统安全属性的同时，也记录这些特征。最后，由于最终目录在征求意见后可能会缩小、扩大或发生变动 [3]，且 ChinaTalk 指出评论窗口期将在 APEC 领导人会议前夕关闭 [3]，这一时间点可能会影响最终范围，因此一旦商务部（MOFCOM）发布最终文本，应重新审视本分析。
CSA 资源对齐
CSA 最直接相关的先前工作是《前沿 AI 出口管制：Fable 5 之后的企业治理》[8]。该报告主张将前沿模型的访问权限视为一种偶发的运营依赖项，应纳入供应商管理和业务连续性规划中。第 48 号公告将该论点扩展到了第二个司法管辖区和不同的控制点。该报告中审查的美国行动中断了服务访问，而中国草案则保持服务访问不变，转而管控权重托管和本地部署。围绕美国场景构建连续性计划的企业应检查其计划是否也涵盖了自托管模型的供应商端许可失效情况。
《AI 模型出口管制：Fable 5 先例》[9] 记录了单一监管指令如何在几乎没有通知的情况下移除广泛部署的模型。其关于多模型回退策略的建议直接适用于依赖中国前沿或开放权重模型的组织，特别是考虑到上述动态的“全球领先”阈值。《主权 AI 访问控制与企业集中度风险》[10] 提供了更广泛的框架。它将国家对 AI 能力的控制视为集中度风险的来源，而中国草案正是这种风险在供给侧具体化的实例。
在控制实施方面，AI 控制矩阵（AICM）v1.1 [11] 在其供应链管理、透明度与问责制以及治理、风险与合规领域提供了相关的控制目标，包括供应商清单、第三方评估和监管变更管理。针对智能体特有的暴露面，MAESTRO [12] 提供了一个分层威胁模型，可帮助团队记录那些如今具有出口管制意义的智能体能力，例如工具集成和多智能体协调。
参考文献
[1] 中华人民共和国商务部、科学技术部。“《关于修订〈中国禁止出口限制出口技术目录〉及办理相关技术出口临时登记征求意见的公告（商务部 科技部公告2026年第48号），附附件1（人工智能、生物医药、光伏技术拟纳入范围草案）》”。商务部，2026年10月16日。
[2] 中华人民共和国商务部。“《商务部新闻发言人就修订〈中国禁止出口限制出口技术目录〉答记者问》”。商务部，2026年10月16日。
[3] Ennis, Q., Zhang, I., Ottinger, L., and Zakaria, A. “《MOFCOM的新规与中国人工智能的未来》”。ChinaTalk，2026年10月21日。
[4] Geopolitechs。“《中国对人工智能、生物技术和太阳能技术实施临时出口登记要求，并就拟议的出口限制征求公众意见》”。Geopolitechs，2026年10月16日。
[5] Sun, R. “《中国的人工智能出口管制公告引发的问题多于答案》”。Ctrl+AI+Reg，2026年10月19日。
[6] 安全与新兴技术中心（翻译版）。“《禁止或限制出口技术目录内容修订》”。CSET，乔治城大学，2020年9月2日。
[7] 南华早报。《中国将调查 Meta 收购 Manus 事宜，涉及出口管制与技术出口》。SCMP，2026 年 1 月。
[8] 云安全联盟（Cloud Security Alliance）。《前沿 AI 出口管制：Fable 5 之后的企业治理》。CSA AI 安全倡议，2026 年 6 月。
[9] 云安全联盟（Cloud Security Alliance）。《AI 模型出口管制：Fable 5 先例》。CSA AI 安全倡议，2026 年 6 月。
[10] 云安全联盟（Cloud Security Alliance）。《主权 AI 访问控制与企业集中度风险》。CSA AI 安全倡议，2026 年 6 月。
[11] 云安全联盟（Cloud Security Alliance）。《AI 控制矩阵 (AICM) v1.1》。云安全联盟，2025 年。
[12] 云安全联盟（Cloud Security Alliance）。《MAESTRO：Agentic AI 威胁建模框架》。CSA Lab Space，2025 年。