开源模型公开以后，先变脆的是版本锁定

开源模型公开以后，最先松掉的通常是固定版本，权重文件反而常常最稳。

仓库名还在，模型名也还在，真正拿来跑评测、做回归、接线上流量的那份输入，往往已经不是同一个东西。今天拉到的是 main，下周还是这个路径，但 tokenizer、模板、量化包、默认 dtype，甚至 README 里的推荐参数，已经换过一轮。线上看见的不是“模型消失”，而是“同一模型名变成了另一份交付物”。

接过几次模型接入，会发现最容易被忽略的是默认值。权重文件通常有人盯着，默认 tag、默认镜像、默认模板、默认缓存目录却经常没人管。等到某个同步窗口被卡住，或者镜像站只同步了权重没同步配置，团队会突然发现，手里拿着的不是一个可复现的版本，而是一串会漂移的名字。

默认入口比权重更容易漂

权重文件是静态的，入口不是。

model-name:latest 这种写法看起来省事，问题在于它把“什么时候更新”这件事交给了外部。上游改了一次 tokenizer，补了一次 chat template，或者把量化包重新打了一次，接入方的行为就会跟着变。评测分数可能只抖一点，线上输出却会悄悄换口气。排查的时候最折磨人的地方就在这里：日志里看上去一切正常，实际上调用到的已经是另一份输入。

真正难受的不是变更本身，而是变更没有留下边界。只要名字不变，回归、灰度、事故复盘都只能围着结果猜原因。模型名继续挂在那儿，团队手里却没有任何办法确认，今天拿到的和上周跑基线的到底是不是同一份制品。

镜像、模板和量化包要一起冻结

只锁权重不够。

开源模型真正进入工作流以后，通常不只包含一个 .bin 或 .safetensors。还会带上 tokenizer、chat template、推理框架参数、量化文件、下载镜像、启动脚本和缓存路径。它们任何一个漂了，最后都可能表现成“模型变差了”。其实变的往往不是模型，而是交付包。

model:
  repo: example/model
  revision: 8f3c1a2
  tokenizer_revision: 8f3c1a2
  cache_dir: /opt/model-cache

这类配置看起来啰嗦，换来的却是三件事：镜像负责可得性，版本号和 hash 负责可复现性，启动脚本负责一致的推理参数。少掉其中任何一层，所谓“已经公开”的模型都只能算半成品。对接入方来说，最重要的不是能不能下载，而是下来的东西能不能在三周后还跑出同一组结果。

真正要保住的是复现能力

开源模型公开以后，团队要保护的不是某个神秘入口，而是复现能力。

复现能力一旦断掉，评测基线会飘，A/B 结果会失真，事故回放也会失去参照。等到所有人都在用“上周还正常”这种说法讨论问题，版本治理基本已经失手了。此时再去谈模型能力，意义不大；先把固定版本、镜像同步、hash 校验和回滚路径收紧，才有资格继续谈效果。

这类模型最像软件制品，不像网页服务。网页坏了还能看见 500，模型版本漂了，很多时候只会在输出里慢慢变味。表面上仍然是同一个名字，实际上已经换了半个系统。