所有人都错了，Stripe 收购 OpenRouter 因为 AI 安全：a16z 种子轮投资人揭露真实原因
两天前，Stripe 官宣收购 OpenRouter，网传整个收购超过 80 亿美元，为什么 Stripe 愿意付出如此高的价格？
最有资格回答这个问题的人之一，是 Anjney Midha。因为他不只是 OpenRouter 最早期、最关键的投资人之一，也是公司董事。他主导了 a16z 对 OpenRouter 的种子轮投资，后来创办 AMP PBC 后又继续加注。
Midha 的履历非常少见。他在 Stanford 接触机器学习，后来进入 Kleiner Perkins，并推动成立其早期科技投资团队 KPCB Edge；之后转身创业，创办计算机视觉与多人空间计算公司 Ubiquity6，2021 年被 Discord 收购。他随后成为 Discord 的平台生态副总裁，建立了 Discord 第一个专门的开发者平台团队，并亲手推动与 Midjourney 的合作。
2023 年，他加入 a16z 负责 AI 投资。作为投资人，他很早就押中了 Anthropic、ElevenLabs、Luma AI、Ideogram、Mistral AI、Black Forest Labs、LMArena、Sesame AI、Periodic Labs 和 OpenRouter。这个人真正厉害的地方，不只是投中了很多明星公司，而是他总能在一个新类别被市场看懂之前，就先看见它。
Stripe 与 OpenRouter 官宣交易后，Midha 很快在 AMP 官网发表了一篇文章，对这笔收购做了一个非常独特的总结。
在他看来，大多数人都没有理解 Stripe 收购 OpenRouter 的真正原因。
Stripe 买下的并不是一个“模型路由器”，也不只是一个新的 AI 计费入口。它买下的，是目前整个 AI 生态中极少数真正具备战略价值的跨模型安全与对齐资产。
1. 引言
OpenRouter 已宣布将加入 Stripe。许多风险投资人、评论人士和分析师都对这笔合并为何非常合理，或者为何毫无道理，发表了各自的看法，具体是哪一种说法，似乎取决于当天是星期几。我们还没有看到一篇分析真正说对了。
简短的答案很简单：这是为了整个生态系统层面的 AI 安全与对齐。
不是为了路由，不是为了整合计费，也不是因为“Token 就是新的美元”（尽管它们的确是）。下面是完整解释。
2. Stripe 是一家安全公司
人们通常把 Stripe 看作一家转移资金的公司。但如果只是简单地转移资金，这其实是一种标准化商品；银行几个世纪以来一直在以极低的利润率做这件事。
Stripe 真正建立起来的，是一台可以规模化运行的在线信任机器。Radar 每天都在整个网络中对对抗性交易进行风险评分。那套人人称赞的 API，本质上是构建在安全基础设施之上的开发者体验；其底层包括欺诈模型、拒付责任、身份验证，以及覆盖全球所有司法辖区的合规能力。
Stripe 能够胜出，是因为在互联网规模的恶意流量中，它比任何同类机构都更擅长承担和管理风险。
3. OpenRouter 数据的形态
我们曾经发表过一项研究，分析了流经 OpenRouter 的 100 万亿个 Token [1]。与许多人的想象不同，处于中位数的典型请求并不是一个人向大语言模型提出问题，而是一台正在循环过程中运行的机器：
在一年时间里，推理模型的流量占比从几乎可以忽略不计的水平，上升到全部流量的一半以上（图 1）；平均 Prompt 长度增长了 4 倍（图 2）；还有相当比例的请求最终以一次工具调用结束（图 3）。
这项研究的核心结论非常直接：
推理平台现在必须规模化地管理持续变化的上下文和状态。
图 1：推理模型的 Token 占比，按周统计，2024 年 11 月至 2025 年 11 月。
图 2：每次请求的平均 Prompt Token 数，2024 年 1 月至 2025 年 11 月。
4. 对齐是一个上下文反馈问题
就像规模化支付一样，规模化的前沿 AI 安全也是一个持续的上下文反馈循环问题。Stripe Radar 的防御壁垒主要就来自这一点：十年来，它每天都在规模化的对抗性交易数据上进行训练。
没有足够新鲜的数据语料，就无法复制这个模型；而如果不处在交易流本身之中，就无法获得这样的语料。所有能够长期成立的安全业务都具有相同的结构：
产品是模型，护城河是数据，而数据来自流量。
如果从安全角度重新审视第 3 节，就会看到：Agent 持有凭证、调用工具并发起支付。一个拥有支出权限、同时带有 2 万 Token 上下文的自主进程，本身就是一个交易对手方。
这些对抗性的机器交易对手方，可能受到恶意人类的指使，即滥用（misuse）；可能在追求其操作者无意设定、但模型已经习得的目标，即错位（misalignment）；也可能在执行过程中被注入的指令劫持，即攻陷（compromise）。无论属于哪种情况，它们都可能以机器速度实施欺诈、窃取并外传数据，以及耗尽预算。
如果这种对抗性交易对手方运行的是开放权重模型，就没有任何上游实验室能够观察或撤销它。唯一能够执行约束的地方，是它实际进行交易的那一层。保护推理系统的方式，将与保护支付系统的方式相同：
使用规模化的交易数据训练模型。
因此，这笔收购最终可以归结为一个问题：谁拥有这些数据？
不是模型实验室。每一家前沿模型实验室都能观察到巨大的流量，但只能看到自己模型上的流量，就像一家银行只能看到自己的账户。仅凭一家银行的账本，不可能训练出 Visa 的欺诈检测模型；而对于开放权重模型来说，甚至连这样一家“银行”都不存在。也不是云服务商。云服务商能够观察基础设施，却无法观察行为意图。
这里需要先说明几个术语，因为 AI 安全领域对这些概念的区分非常重要。
5. 正在形成的前沿 AI 对齐技术栈
对齐是系统行为的一种属性。目前，这一领域主要从两个环节研究对齐问题。
训练时方法（training-time methods）负责塑造模型的行为意图。越来越多关于推理时对齐（inference-time alignment）的研究，则尝试在不重新训练模型的情况下，于部署阶段约束模型按照预期行事 [5, 6]。与此同时，AI 控制研究关注的是：即使训练时对齐失败，如何仍然保证已部署系统的安全 [3, 4]。
图 3：正在形成的前沿 AI 对齐技术栈
我们用“部署时对齐”（deployment-time alignment）来指代由此产生的复合问题：在真实运行环境中，对已经部署的 Agent 的预期行为进行验证和强制执行，因为对齐失败正是在这里实际显现。
验证需要监控，而监控的效果取决于用来训练监控系统的行为数据质量 [7]。Agent 的行为数据是一种网络属性：
我们必须能够跨越同一个 Agent 所接触的每一个模型和供应商，对它进行观察。因为无论是滥用、错位还是被攻陷，在行为发生的那一刻，都会以完全相同的形式呈现出来：一笔交易。
因此，Agent 安全本质上是一个部署时对齐问题；而部署时对齐，就像此前的欺诈检测一样，本质上又是一个数据问题。
目前，恰好只有一个这样的数据集存在。
OpenRouter 每天处理超过 10 万亿个 Token，覆盖来自数十家供应商的 500 多个模型，其中包括执行轨迹、工具调用图、支出速度、路由决策和失败模式。
这是目前世界上规模最大的跨模型推理交易数据语料库。对于开放权重模型而言，它甚至是唯一的一个。开放权重模型正在承载数量可观且不断增长的 Agent 工作负载 [1]。同一个开放模型检查点会由数十家彼此独立的供应商提供服务；这些供应商都不是模型作者，没有任何一家对模型行为负全责，也没有任何一家能够看到超出自己局部范围的数据。只有在路由层，这些行为才会真正汇聚到一起。
这里必须准确区分：这些是具有交易结构的元数据，而不是 Prompt 内容。OpenRouter 默认关闭 Prompt 日志记录 [2]；相关实证研究也完全基于元数据进行，没有访问任何 Prompt 或模型补全文本 [1]。
Stripe Radar 同样不会读取购物车里的具体内容。欺诈模型依据的是交易的形态，而 OpenRouter 掌握的跨网络交易形态，比市场上的任何其他实体都更丰富。
对此最明显的反对意见是数据集中化：这笔交易将目前唯一存在的跨模型行为数据语料库放进了一家私人公司，而这种独一无二、与安全高度相关的数据集，恰恰是整个领域最担心被集中控制的资产。
但是，其他选择可能更糟：数据继续碎片化地分散在数十家供应商手中，没有任何一家能够看到足够多的信息并采取行动；或者，这些数据最终被一家拥有直接竞争模型利益的前沿实验室所控制。与这些可能性相比，目前的结果是一个少见的净利好（Net positive）。
Stripe 对不同模型保持足够中立：它不训练任何前沿模型，也不与任何模型实验室竞争。Stripe 的商业激励，是为所有通过其系统进行交易的参与者提供信任保障。这一激励与整个生态系统的安全目标指向同一个方向。
换句话说，Stripe 买下的不是一个路由器，而是一项具有战略意义的前沿 AI 系统安全与对齐资产。
我们相信，将这项资产与 Stripe 现有的基础设施结合起来，可以增强整个生态系统独立开展对齐工作的能力；这是任何一家模型实验室都很难独自做到的。因此，这笔收购对独立前沿 AI 生态系统的健康发展而言，是一个净利好。
