中美AI之間的蒸餾，要撕破了 |【經(jīng)緯低調(diào)分享】

馬年第一彈來自Anthropic——2026年2月，中美AI領(lǐng)域的技術(shù)博弈驟然升級，美國AI企業(yè)Anthropic發(fā)布重磅聲明，公開指控DeepSeek、月之暗面、MiniMax三家中國頭部開源大模型公司，對其旗下Claude模型實施規(guī)模化“蒸餾攻擊”。這一指控將AI模型蒸餾的技術(shù)爭議，推至企業(yè)合規(guī)、國際競爭與國家安全的交叉地帶，也讓中美AI產(chǎn)業(yè)的技術(shù)邊界之爭徹底擺上臺面。

Anthropic稱，三家中國企業(yè)通過虛假賬戶、代理網(wǎng)絡(luò)搭建的“九頭蛇集群”，繞開其對中國的訪問限制，發(fā)起超1600萬次針對性交互，定向抽取Claude的智能體推理、工具使用、編程等核心差異化能力，甚至刻意獲取政治敏感問題的“審查安全”表述，用于訓(xùn)練自有競爭模型。其還披露了三家企業(yè)各有側(cè)重的操作手法與規(guī)模，直指此類行為并非正常技術(shù)應(yīng)用，而是有預(yù)謀的能力竊取。

事件一出即刻引發(fā)行業(yè)震蕩，馬斯克等業(yè)內(nèi)人士直言Anthropic自身存在訓(xùn)練數(shù)據(jù)侵權(quán)問題，質(zhì)疑其“雙重標準”，行業(yè)專家也對蒸餾技術(shù)的合法邊界提出諸多疑問。而此前OpenAI已向美國國會指控DeepSeek的蒸餾行為，此次Anthropic的公開發(fā)難，讓AI蒸餾成為需要行業(yè)與全球?qū)用娴拿鞔_答案的問題。以下，Enjoy：

來源：未盡研究

中國前沿AI實驗室最近紛紛對標的Anthropic，開始發(fā)飆了。

它感到自己已經(jīng)成為“開源攻擊”行為的受害者，公開宣布了三家“攻擊者”：DeepSeek（深度求索），Moonshot（月之暗面）和Minimax（稀宇科技），都是中國領(lǐng)先的開放權(quán)重模型公司。

先看下Anthropic說了些什么：

下面詳述的三次蒸餾行動遵循了相似的套路：使用虛假賬戶與代理服務(wù)，大規(guī)模訪問 Claude，同時規(guī)避檢測。這些提示詞在數(shù)量、結(jié)構(gòu)與關(guān)注點上都明顯不同于正常使用模式，體現(xiàn)的是有意進行能力抽取，而非正當使用。

我們通過 IP 地址關(guān)聯(lián)、請求元數(shù)據(jù)、基礎(chǔ)設(shè)施指標等證據(jù)，并在部分情況下結(jié)合產(chǎn)業(yè)伙伴的佐證（他們也在其平臺上觀察到同樣的參與者與行為），以高度置信度將每次行動歸因于某一家具體實驗室。每次行動都瞄準了 Claude 最具差異化的能力：智能體推理、工具使用與編程。

DeepSeek

規(guī)模：超過 150,000 次對話交互

該行動重點針對：

• 覆蓋多種任務(wù)的推理能力

• 基于評分量表（rubric）的打分任務(wù)，使 Claude 充當強化學(xué)習(xí)的獎勵模型

• 為政策敏感查詢創(chuàng)建“審查安全”的替代表述

DeepSeek 在多個賬戶之間生成同步流量。相同的模式、共享的支付方式以及協(xié)調(diào)一致的時間安排，表明其通過“負載均衡”來提升吞吐量、提高可靠性并規(guī)避檢測。

在一種值得注意的技術(shù)中，他們的提示詞要求 Claude 想象并闡述某個已完成回答背后的內(nèi)部推理，并把它一步一步寫出來，從而在大規(guī)模上有效生成鏈式思維（chain-of-thought）訓(xùn)練數(shù)據(jù)。我們還觀察到一些任務(wù)：利用 Claude 為關(guān)于異議人士、黨內(nèi)領(lǐng)導(dǎo)人或威權(quán)主義等政治敏感問題生成“審查安全”的替代表述，這很可能是為了訓(xùn)練 DeepSeek 自己的模型，把對話引導(dǎo)離開會觸發(fā)審查的話題。通過檢查請求元數(shù)據(jù)，我們能夠把這些賬戶追溯到該實驗室的特定研究人員。

Moonshot AI

規(guī)模：超過 340 萬次對話交互

該行動重點針對：

• 智能體推理與工具使用

• 編程與數(shù)據(jù)分析

• 計算機使用型智能體（computer-use agent）開發(fā)

• 計算機視覺

Moonshot（Kimi 模型團隊）使用了數(shù)百個虛假賬戶，覆蓋多條訪問路徑。多樣化的賬戶類型使得這次行動更難被識別為協(xié)調(diào)一致的操作。我們通過請求元數(shù)據(jù)將該行動歸因于 Moonshot，這些元數(shù)據(jù)與 Moonshot 高級員工的公開資料相匹配。在后期階段，Moonshot 采取了更有針對性的方法，試圖抽取并重建 Claude 的推理軌跡。

MiniMax

規(guī)模：超過 1300 萬次對話交互

該行動重點針對：

• 智能體編程（agentic coding）

• 工具使用與編排（orchestration）

我們通過請求元數(shù)據(jù)與基礎(chǔ)設(shè)施指標將該行動歸因于 MiniMax，并將時間點與其公開產(chǎn)品路線圖進行對照驗證。我們在該行動仍處于活躍狀態(tài)時就檢測到了它——在 MiniMax 發(fā)布其正在訓(xùn)練的模型之前——這讓我們獲得了前所未有的可見性，得以觀察蒸餾攻擊從數(shù)據(jù)生成到模型發(fā)布的完整生命周期。當我們在 MiniMax 的活躍行動期間發(fā)布了一款新模型時，他們在 24 小時內(nèi)調(diào)整策略，將近一半的流量重定向，以捕獲我們最新系統(tǒng)的能力。

蒸餾者如何獲取前沿模型的訪問權(quán)限

出于國家安全原因，Anthropic 目前不向中國境內(nèi)提供 Claude 的商業(yè)訪問，也不向這些公司的境外子公司提供商業(yè)訪問。

為了繞開限制，這些實驗室使用商業(yè)代理服務(wù)。這些服務(wù)以規(guī)模化方式轉(zhuǎn)售 Claude 以及其他前沿 AI 模型的訪問權(quán)限。它們運行一種我們稱為“九頭蛇集群（hydra cluster）”的架構(gòu)：由大量虛假賬戶構(gòu)成的龐大網(wǎng)絡(luò)，將流量分散到我們的 API 以及第三方云平臺。由于網(wǎng)絡(luò)覆蓋面極廣，因此不存在單點失效。當一個賬戶被封禁，另一個賬戶會立刻補上。在一個案例中，單個代理網(wǎng)絡(luò)同時管理了超過 20,000 個虛假賬戶，并將蒸餾流量與無關(guān)的客戶請求混雜在一起，以增加檢測難度。

一旦獲得訪問權(quán)限，這些實驗室就會生成大量精心設(shè)計的提示詞，旨在從模型中抽取特定能力。其目標要么是收集高質(zhì)量回答，用于直接訓(xùn)練模型；要么是生成數(shù)以萬計的獨特任務(wù)，用于運行強化學(xué)習(xí)。區(qū)分蒸餾攻擊與正常使用的關(guān)鍵在于模式。像下面這樣的提示詞（大致近似我們觀察到在規(guī)模化、重復(fù)性使用的提示詞）單獨看起來可能并不顯眼：

“你是一位兼具統(tǒng)計嚴謹性與深厚行業(yè)知識的資深數(shù)據(jù)分析專家。你的目標是提供數(shù)據(jù)驅(qū)動的洞見，而不是摘要或可視化；這些洞見必須基于真實數(shù)據(jù)，并以完整且透明的推理過程加以支撐。”

但當這種提示詞的變體在數(shù)百個協(xié)同賬戶中以數(shù)萬次規(guī)模反復(fù)出現(xiàn)，并且都瞄準同一種狹窄能力時，這種模式就非常明顯了：集中在少數(shù)能力領(lǐng)域的海量請求、高度重復(fù)的結(jié)構(gòu)、以及與訓(xùn)練 AI 模型最有價值內(nèi)容高度對應(yīng)的提示詞，正是蒸餾攻擊的典型特征。

但是不能僅聽Anthropic一面之詞，正如行業(yè)內(nèi)的資深人士所提出的：

在公開、采用寬松許可協(xié)議的 GitHub 倉庫上訓(xùn)練模型（這些倉庫中包含 Claude 的貢獻內(nèi)容），是否違反服務(wù)條款（TOS）？這是否會被視為蒸餾？在公開互聯(lián)網(wǎng)上分享 Claude 的輸出是否違反 TOS？實驗室是否有義務(wù)對互聯(lián)網(wǎng)內(nèi)容進行過濾？使用 Claude Code 編寫訓(xùn)練代碼，而這些代碼被用于訓(xùn)練競爭模型，是否違反 TOS？那么用于構(gòu)建強化學(xué)習(xí)（RL）環(huán)境中的應(yīng)用模擬器呢？用于 RL 環(huán)境中的用戶模擬器提示詞呢？評判（judge）提示詞呢？合成任務(wù)（synthetic tasks）呢？是否有任何清晰的指南？

馬斯克也跳出來了：你Anthropic當年不也是侵權(quán)使用了海量的訓(xùn)練數(shù)據(jù)了嗎？不過，馬斯克自己山寨維基百科，搞了個Grokipedia，最初也在大量搬弄維基百科的內(nèi)容。現(xiàn)在xAI與OpenAI和Anthropic競爭，正處于下風(fēng)。

OpenAI也指責(zé)過DeepSeek的蒸餾行為。它在發(fā)送給美國眾議院“中國問題特別委員會”(House Select Committee on China)的備忘錄中表示，DeepSeek使用了所謂的“蒸餾”(distillation)技術(shù)，這是其“持續(xù)搭便車(free-ride)利用OpenAI和其他美國前沿實驗室所開發(fā)能力”的一部分。早在DeepSeek去年R1模型發(fā)布后不久，OpenAI就開始私下對其做法提出擔憂，當時它與微軟合作展開了一項調(diào)查，以確定DeepSeek是否以未經(jīng)授權(quán)的方式獲取了其數(shù)據(jù)。

既然AI的這兩家領(lǐng)軍企業(yè)都提到了蒸餾問題，不僅成為企業(yè)合規(guī)層面的爭議，而且上升為產(chǎn)業(yè)結(jié)構(gòu)、技術(shù)開放邊界與國際競爭格局的復(fù)雜問題，涉及到蒸餾技術(shù)本身、行業(yè)慣例、Anthropic 所指控行為的性質(zhì)區(qū)分、潛在的違約與違法后果、企業(yè)防御路徑，以及未來開源與閉源競爭格局的變化，等等。那么，這里就認真說一下：

01

蒸餾技術(shù)的原理與行業(yè)慣例

“模型蒸餾”最初是一個標準的機器學(xué)習(xí)技術(shù)概念。其經(jīng)典定義來源于知識蒸餾（Knowledge Distillation）：通過一個大型、性能優(yōu)越的“教師模型”（teacher model）為小模型生成軟標簽或中間表示，使“學(xué)生模型”（student model）能夠在較低參數(shù)規(guī)模下實現(xiàn)近似教師模型的性能。這一技術(shù)自 2015 年以來已成為深度學(xué)習(xí)壓縮和部署的重要方法，被廣泛用于視覺、語音與 NLP （自然語言處理）領(lǐng)域。

在大模型時代，蒸餾的形式出現(xiàn)了演化。傳統(tǒng)蒸餾多基于模型權(quán)重的內(nèi)部訪問，而前沿大模型通常不開放權(quán)重，僅提供 API 接口。因此，新型蒸餾更多依賴于“黑盒蒸餾”（black-box distillation），即通過大量調(diào)用 API 獲取輸出結(jié)果，再以此訓(xùn)練學(xué)生模型。在技術(shù)上，這種方法并不涉及對模型參數(shù)的逆向工程，而是基于“可合法獲取的輸出”進行再訓(xùn)練。

在行業(yè)實踐中，蒸餾行為本身并非異常。事實上，許多商業(yè)公司內(nèi)部都會使用高性能模型為低成本模型生成數(shù)據(jù)，用于內(nèi)部優(yōu)化或邊緣部署。這種行為在企業(yè)內(nèi)部通常被視為效率提升與成本控制的一部分。然而，蒸餾的合法性邊界在于兩個關(guān)鍵因素：是否違反合同條款，以及是否存在規(guī)避訪問限制的行為。

當蒸餾用于優(yōu)化自家模型或構(gòu)建專用系統(tǒng)（例如分類器、信息抽取工具）時，在多數(shù)服務(wù)條款框架下通常被視為合理用途。但當蒸餾目標是訓(xùn)練一個直接與“教師模型”競爭的通用生成模型時，情況則明顯不同。尤其是當蒸餾規(guī)模化、結(jié)構(gòu)化、并針對教師模型差異化能力（如鏈式推理、工具調(diào)用）時，其性質(zhì)會從“效率優(yōu)化”轉(zhuǎn)向“能力抽取”。

02

Anthropic指控行為與蒸餾攻擊的區(qū)分

Anthropic 在公開聲明中，將所謂“蒸餾攻擊”定義為一系列特征行為：大規(guī)模、同步化的賬戶操作；高度重復(fù)、結(jié)構(gòu)化的提示模式；針對 Claude 差異化能力的能力抽取；使用代理網(wǎng)絡(luò)規(guī)避訪問限制；以及利用模型作為獎勵模型或生成鏈式思維數(shù)據(jù)。

從技術(shù)層面看，單純的蒸餾并不等同于“攻擊”。區(qū)別在于行為是否呈現(xiàn)出規(guī)避機制、結(jié)構(gòu)化能力抽取與規(guī)模異常三個特征。若僅通過合法API訪問進行常規(guī)調(diào)用，且無規(guī)避技術(shù)限制或虛假賬戶行為，通常較難被認定為“攻擊”。然而，如果存在通過代理服務(wù)繞過地理限制、使用大量虛假賬戶以規(guī)避速率控制、集中抽取特定能力并用于訓(xùn)練通用競爭模型的行為，那么這種蒸餾便具有明顯的對抗性特征。

在Anthropic的敘述框架中，三家實驗室的行為被歸類為“hydra cluster”式訪問，即分布式虛假賬戶網(wǎng)絡(luò)。這一指控若屬實，其性質(zhì)便不僅僅是模型蒸餾，而涉及規(guī)避技術(shù)保護措施的問題。與此同時，Anthropic 特別強調(diào)鏈式思維（chain-of-thought）推理軌跡的抽取。鏈式思維通常被視為模型內(nèi)部能力結(jié)構(gòu)的顯性化表達，其批量抽取用于訓(xùn)練學(xué)生模型，確實會顯著提升學(xué)生模型的推理能力。

因此，蒸餾攻擊與普通蒸餾之間的分界線，在于是否存在系統(tǒng)性規(guī)避限制與針對性能力抽取。若行為僅限于合法調(diào)用 API 并訓(xùn)練非競爭模型，則難以被界定為攻擊；若行為具有明顯規(guī)避與競爭意圖，則風(fēng)險顯著上升。

03

違約與違法的潛在后果

在法律層面，首先必須區(qū)分“違約”與“違法”。

違約層面主要涉及服務(wù)條款。Anthropic 的商業(yè)條款明確禁止使用服務(wù)或輸出訓(xùn)練與其競爭的模型。如果某實驗室是條款的合同相對方，并且使用 Claude 輸出作為訓(xùn)練目標用于構(gòu)建競爭性通用模型，則可能構(gòu)成合同違約。違約的后果通常為民事責(zé)任，包括損害賠償、賬戶終止與禁令救濟。

然而，違約并不等同于刑事違法。在美國司法實踐中，僅僅違反服務(wù)條款通常不足以觸發(fā)《計算機欺詐和濫用法》（CFAA）的刑事責(zé)任。CFAA 關(guān)鍵在于是否存在“未經(jīng)授權(quán)訪問”或“超越授權(quán)訪問”。近年來美國最高法院在 Van Buren 案中的裁決收窄了“超越授權(quán)”的解釋范圍。如果訪問是通過合法 API 進行，而未突破技術(shù)保護措施，則刑事責(zé)任成立難度較大。

商業(yè)秘密侵權(quán)是另一種可能路徑。但商業(yè)秘密保護的前提是信息未被公開且采取合理保密措施。API 輸出本身是經(jīng)許可交付的內(nèi)容，因此其作為商業(yè)秘密主張的空間有限。除非能夠證明存在逆向工程、破解技術(shù)保護措施或非法訪問服務(wù)器，否則刑事違法的成立概率相對較低。

此外，跨境執(zhí)行也是現(xiàn)實難題。即便在美國獲得判決，若被告主體位于境外且無美國資產(chǎn)，執(zhí)行難度極高。因此，從實務(wù)角度看，合同違約可能是最現(xiàn)實的法律路徑，而刑事追責(zé)則面臨較高門檻。

04

受害企業(yè)的防范與糾正策略

面對蒸餾風(fēng)險，前沿實驗室可以采取多層次防御策略。

首先是技術(shù)防御。包括更嚴格的速率限制、異常流量檢測、賬戶行為模式識別，以及隱藏鏈式思維推理過程。近年來部分公司已開始將鏈式思維僅作為內(nèi)部計算，不再直接輸出，以降低被蒸餾的風(fēng)險。另一個方向是引入水印或輸出指紋，以便識別被再訓(xùn)練的模型。

其次是合同強化。企業(yè)可以明確限制輸出的訓(xùn)練用途，并通過更嚴格的身份驗證與地理控制來限制代理訪問。同時，可在條款中加入更明確的仲裁與執(zhí)行機制。

再次是商業(yè)策略調(diào)整。例如限制高能力模型的 API 訪問，轉(zhuǎn)向私有部署或企業(yè)專用實例；或通過硬件綁定與算力控制降低規(guī)模化抽取的可能性。

然而，任何技術(shù)防御都難以徹底阻止蒸餾。API模式本身意味著輸出可觀察，而可觀察即意味著可學(xué)習(xí)。因此防御的本質(zhì)是提高成本，而非實現(xiàn)絕對封閉。

05

對未來前沿實驗室競爭格局的影響

這一爭議將深刻影響開源與閉源模型的競爭關(guān)系。

首先，蒸餾降低了能力復(fù)制成本。閉源模型即便不開放權(quán)重，只要提供 API，其能力便可能被部分復(fù)制。這削弱了純API商業(yè)模式的排他性。

其次，閉源公司可能更加趨向封閉化。包括限制鏈式思維輸出、收緊訪問權(quán)限、強化出口管制配合。這可能加劇技術(shù)陣營分化。

與此同時，開源模型的發(fā)展可能受益于蒸餾所帶來的能力擴散。即便無法完全復(fù)制前沿能力，學(xué)生模型仍可達到相當性能水平，從而增強開源生態(tài)的競爭力。

從宏觀角度看，這種博弈將推動兩個方向并行：一方面，前沿實驗室將加強防御與法律手段；另一方面，蒸餾技術(shù)將繼續(xù)作為能力擴散機制存在。未來競爭將更多體現(xiàn)在數(shù)據(jù)規(guī)模、算力效率與工程能力上，而不僅僅是模型參數(shù)。

長期來看，蒸餾爭議揭示了一個更深層問題：在API時代，能力是否可以被視為“可被合法觀察并再利用”的資源。若行業(yè)無法形成共識，類似爭議將成為常態(tài)，并可能推動更嚴格的國際技術(shù)管制與產(chǎn)業(yè)分化。

One More Thing

在AI訓(xùn)練與蒸餾的爭議里，范布倫訴美國案（Van Buren v. United States，593 US 374 (2021)）經(jīng)常被引用。這是美國最高法院審理的一起案件。一名美國警察范布倫有權(quán)限訪問警察數(shù)據(jù)庫，但他為了私人目的（收錢幫別人查信息）使用了數(shù)據(jù)庫，被控違反 CFAA。檢方的邏輯是：你雖然有訪問權(quán)限，但你違反了訪問目的限制，因此屬于“超越授權(quán)訪問”。

但最高法院6–3推翻了這一判決。理由是“超越授權(quán)訪問”只指訪問了你本來不能訪問的部分，不包括“你訪問了你有權(quán)限訪問的內(nèi)容，但出于不當目的”。這被稱為“Gates-up-or-down” rule（門開還是門關(guān)規(guī)則），即如果系統(tǒng)的“門是開的”，你進去但動機不純，不算黑客。

如果一個實驗室用真實賬號，正常調(diào)用 API，沒有破解系統(tǒng)，沒有繞過技術(shù)訪問控制，那么即便它批量調(diào)用，用來訓(xùn)練競爭模型，出于能力抽取的目的，按照范布倫判例的邏輯，很難構(gòu)成刑事層面的非法訪問。換句話說，“動機是蒸餾”本身不構(gòu)成黑客行為。這對平臺方是一個約束。

但范布倫判例沒有保護規(guī)避技術(shù)限制的行為。范布倫判例的關(guān)鍵前提是：訪問發(fā)生在門開著的區(qū)域。如果出現(xiàn)偽造身份，批量虛假賬戶，繞過rate limit，使用代理網(wǎng)絡(luò)隱藏來源，規(guī)避封禁機制，那就可能構(gòu)成繞過技術(shù)訪問控制。而這仍然可能落入CFAA的適用范圍。這也是為什么 Anthropic 特別強調(diào)“hydra cluster”結(jié)構(gòu)。因為他們想要證明，這不是“使用動機問題”，而是“繞過訪問控制問題”。