Anthropic、OpenAI 的反蒸馏：封账号、藏思维链，但防不住逼近

• 2026-09-17
• 热点资讯

商业逻辑比技术逻辑更重要。 文丨王子伊 编辑丨程曼祺 2026 年 9 月 10 日，Anthropic 发布了一份 154 页的报告，称它识别并阻断了 7 家中国 AI 实验室针对 Claude 的大规模蒸馏。 蒸馏本是一种常见的模型训练方法：开发者用更强模型生成数据，再用这些数据训练自己的模型去模仿领先模型。Anthropic 将未经授权、大规模、隐蔽提取模型能力的行为称为 “不正当蒸馏”（illicit distillation）。 Anthropic 称，相关机构在提取前沿模型的输出时，使用了一些明显违规的手段：如利用被盗的信用卡、登录凭证和 API 密钥批量建立虚假账号。 报告还称，一些中国模型公司把用户请求转发给 Claude，或从第三方路由服务购买用户对话，用这些数据训练模型。部分对话包含姓名、企业数据和有效的访问凭证。 这不是 Anthropic 第一次指控 “蒸馏攻击”。2026 年 2 月，它称 DeepSeek、月之暗面和 MiniMax 通过约 2.4 万个虚假账号，与 Claude 进行了超 1600 万次交互。此后，Anthropic 加高了防线。OpenAI 和 Google 也在持续识别和应对蒸馏攻击。 这些措施能防住蒸馏吗？ 澳大利亚格里菲斯大学助理教授刘艺表示怀疑。他长期研究人工智能与网络安全，曾任 Quantstamp 人工智能研究科学家。他参与的 2023 年提示词注入研究，被全球性安全组织 OWASP 的 LLM 01 条目列为参考文献。他还曾两次获得 Anthropic 的安全漏洞赏金，并研究过顶尖商用模型的思维链窃取攻击。 刘艺分享了他的核心判断： 以 Anthropic 为例，美国前沿模型公司目前主要设置了三层蒸馏防线： （1）利用专门用于检测对抗性数据提取的分类器，让模型内生地拒绝可疑请求； （2）在架构设计上隐藏或压缩思维链再输出； （3）用外部检测器识别数据提取，随后中断请求或封禁账号。 反蒸馏是个伪命题。理论上蒸馏很难杜绝，美国前沿模型公司更现实的目标是提高数据采集成本，拖慢竞争对手，延长领先时间。 对美国前沿模型公司来说，反蒸馏保护的不只是模型能力，它们要捍卫的，还有在建立在技术领先之上的商业价值。 刘艺认为，理解美国前沿模型公司的反蒸馏行动，商业逻辑比技术逻辑更重要。 Anthropic 能识别疑似蒸馏的行为，却很难获得蒸馏确证 晚点：Anthropic 9 月 10 日发布报告，指控 7 家中国 AI 实验室进行不正当蒸馏。这里的 “蒸馏攻击” 具体指什么？ 刘艺 ：目前主流的大模型由三部分组成：用户的输入，中间推理的思维链（chain of thought），模型的输出。现在 Anthropic、OpenAI，会隐藏中间的思维链，只给你最终回答。对复杂推理任务，抠出思维链就是一种蒸馏攻击方式。 晚点：推理轨迹和 Agent 完整轨迹等数据为什么对提升模型能力如此重要？ 刘艺 ：你可以把思维链理解为一个更强模型已经做出来的解题答案，是可用于模型训练的高质量数据。 大模型性能由参数量（N）、数据量（D）、计算量（C）三者共同决定。参数量各公司增加得都比较快，在时间和算力有限的情况下，公司想更快提升模型能力，就需要更多高质量的数据。 但构造复杂、长程任务的优质数据非常难，真实世界中有价值的训练数据又越来越少。所以一些大模型公司，会用各种各样的方式蒸馏更高级的模型。 晚点：怎么把思维链和更多任务轨迹抠出来？ 刘艺 ：这有各种技巧组合。比如通过编码（encoding）、越狱（jailbreaking）、提示词注入 (prompt injection)，再通过各种各样的催眠，不停地给 AI 立人设，让它相信自己是一个研究员，正在做一件艰难但很有意义的事，让它需要专注解决任务。我跟国内的人交流不是很多，但我了解到，国外做 AI 的人有在这么还原思维链——基本上看一下 paper，你就知道大家的思路。 除了直接把原生的思维链拿出来，还可以尝试根据输入、输出合成中间的思维链。据说，一些数据公司专门出售长程任务的思维链，800-1000 元一条。 晚点：在 Anthropic、OpenAI、 Google 之中，谁被蒸馏得最多？ 刘艺 ：根据目前的公开报道，应该是 Anthropic。但我觉得不好说。我看了 DeepSeek、GLM、Kimi、Anthropic 和 Open AI 各家思维链的实际文本，语言风格其实没太大差别。不好说是谁蒸谁的，有可能最开始他们还去蒸馏了 DeepSeek。 晚点：技术上通常如何识别蒸馏攻击？从 “这批请求很像蒸馏” 到 “这就是某一机构的蒸馏”，中间需要怎样的证据链？ 刘艺 ：Anthropic 更多依据调用行为去判断。比如，某些账号突然发出大量请