摘要：
过去24小时最具冲击力的消息之一，是围绕中国AI企业对美国前沿模型开展大规模知识蒸馏的指控。美国NSA、CISA与FBI在9月8日发布联合网络安全通告，声称DeepSeek、月之暗面、阿里巴巴、MiniMax、阶跃星辰和智谱等企业自2024年以来，通过原生API、云平台、第三方聚合服务及所谓“中转站”提取前沿模型能力；随后媒体又援引Anthropic方面信息，披露更具体的账户与交互规模。相关企业的完整回应和可独立审计证据仍不充分，因此不能把单方指控直接当成司法结论。但事件已经说明，大模型竞争正从芯片、数据和人才延伸到“模型输出是否属于可采集训练资源”，API平台的反滥用也从普通限流升级为国家级技术博弈。
先说清楚：什么是知识蒸馏
知识蒸馏原本是一类常见且合法的机器学习方法。研究者让能力较强的教师模型输出概率分布、标签、解释或合成样本，再训练体量更小的学生模型，使其在较低推理成本下接近教师表现。传统分类任务中，学生不仅学习“正确类别”，还学习教师对其他类别的相对判断；大语言模型时代，蒸馏材料扩展到长文本答案、推理轨迹、代码修复、批评反馈、工具使用记录和多轮对话。
蒸馏本身并不等于盗窃。企业可以蒸馏自有模型、授权模型和公开许可允许的输出，也可以用大模型生成合成数据训练特定业务模型。争议发生在三个条件叠加时：第一，教师模型服务条款明确禁止用输出训练竞争模型；第二，调用方通过大量账户、代理或身份混淆绕开地域、额度或检测；第三，目标不是普通应用使用，而是系统性提取特定能力。此时问题同时涉及合同、反滥用、商业秘密、数据权益和产业政策，远比学术论文里的“teacher—student”实验复杂。
联合通告使用了“industrial-scale distillation”一词，强调规模与组织性。它声称相关活动通过多条路径分散进行，包括官方API、远程云服务、第三方聚合器和中转站，并利用批量订阅、账户共享、自动切换通道和质量评估框架持续获取输出。若这些描述成立，调用模式与普通开发者有明显区别：后者围绕具体产品请求答案，前者围绕能力边界设计提示集，并对返回结果清洗、打分、去重后形成训练语料。
为什么模型输出如此值钱
训练前沿模型的成本不仅来自GPU。高质量数据构造、标注策略、强化学习环境、任务设计和失败案例积累，都是难以直接购买的知识。一个成熟模型的输出，相当于把这些隐性投资压缩成可查询接口。调用者不必知道教师模型内部参数，只要设计覆盖足够广的题目，就可能采集到它在编程、数学、工具调用、客户服务或图像生成上的行为模式。
推理模型进一步提高了输出价值。如果服务返回详细思考过程、批评与修订轨迹，学生模型学到的不只是答案，还可能学到任务分解和错误纠正方式。即使平台隐藏完整链路，调用者仍可要求模型生成教程式解释、多个候选方案或自我校验，间接获得丰富监督信号。蒸馏数据又可以与强化学习结合：先让教师生成候选，再用自动验证器筛选代码、数学和工具任务，最后训练学生复制高分行为。
但“调用多少次”与“复制多少能力”并非线性关系。重复、低质量或分布狭窄的输出价值有限；教师答案可能包含错误与风格偏差；学生模型的基础能力、参数规模和训练方法也决定吸收效率。亿级交互听起来惊人，却不能单独证明某个模型的全部能力来自蒸馏。公开讨论需要避免两个极端：一是认为API输出完全无法传递能力，二是看到相似回答就断言模型整体被复制。
指控中的技术链条可能怎样运作
一个大规模蒸馏系统通常包含任务生成、身份与流量管理、答案采集、质量控制、训练和评测六个环节。任务生成器先从目标能力出发建立题库，例如代码代理需要覆盖仓库理解、补丁生成、测试修复、终端操作和评审回应。为了降低重复，系统会自动改写任务、生成难度梯度，并根据学生模型弱项继续补题。
流量管理层负责把请求发送到教师服务。正常企业客户也会有大规模调用，因此检测不能只看总量。可疑信号可能包括新账户立即打满额度、多个账户使用高度相似的提示模板、固定时间间隔自动调用、请求覆盖大量无业务关联领域、账户与付款方式形成异常图谱，以及在被限制后迅速转移到其他入口。联合通告提到通过代理和聚合服务隐藏元数据，这会使单个平台看到的只是分散片段。
答案采集后需要过滤拒答、错误、重复和低信息量样本。代码可以运行测试，数学答案可以用符号工具或验证器检查，工具调用轨迹可以在沙箱重放，开放问答则可能由多个模型互评。高水平蒸馏不是“把所有回答直接拿来训练”，而是建立一套数据工厂，把昂贵教师调用转成经过选择的课程。
训练阶段可以采用监督微调、偏好优化、强化学习或多轮迭代。学生模型第一次训练后暴露弱项，系统再定向向教师提问，形成主动学习循环。最终还要用隔离评测判断能力是否真正迁移，并防止学生只记住题库。正因为流程包含大量自主工程，来源模型输出只是投入之一，所以能力归因在技术上和法律上都很困难。
API提供方如何发现蒸馏
最简单的限流只能阻止单一账户暴增，无法对抗分布式调用。更有效的方法是把账户、设备、支付、网络、提示语义、调用时间和响应使用行为组合成图。平台可以检测一组账户是否轮流请求同类任务，是否在封禁后出现相似新集群，是否具有不符合其商业场景的覆盖广度。机器学习风控在这里面对与支付反欺诈相似的问题：攻击者不断调整行为，正常大客户又不能被轻易误伤。
提示内容也能暴露意图。蒸馏任务常要求教师提供结构化推理、多样化答案、错误示例、难度标签或大量变体；代码任务可能形成系统性的能力矩阵。不过，教育平台、评测公司和企业数据团队也会提出类似请求。平台若仅凭语义封禁，可能阻碍合法研究。因此需要把提示信号与账户关系、调用规模、授权用途和客户沟通结合。
输出水印常被提出作为解决方案，但文本水印有局限。调用者可以改写、翻译、截断或让另一模型重述，削弱统计特征；对代码和数学答案，允许的表达空间更窄，水印可能影响正确性。更隐蔽的“行为指纹”是向特定账户返回细微差异，再观察学生模型是否复现，但这种做法也面临误判与透明度问题。
联合通告建议对疑似蒸馏请求进行“有针对性的响应变化”，可理解为降低攻击收益而不立即暴露检测规则。技术上可能包括减少详细轨迹、提高输出多样性、对高风险任务限制批量生成，或对可疑集群施加更严格验证。然而，若平台故意返回错误信息来污染训练数据，可能伤害正常用户并引发安全责任。防御必须有清晰边界，尤其不能让医疗、工业或安全相关回答因风控而悄悄变得不可靠。
这场争议有哪些尚未证实之处
美国联合通告是重要的一手政府文件，但它仍代表发布机构的判断，而非经过对抗性司法程序确认的事实。文件给出公司名单、时间范围、目标模型和部分技术手法，却没有公开足以让外界逐条复现归因的原始日志。媒体报道中的交互数量和账户数量也多来自相关模型公司的调查。被指企业是否直接组织、是否由员工个人或第三方服务实施、调用是否获得某种商业授权、输出最终进入了哪些训练过程，都需要更多证据。
“相似能力”也不是充分证据。多个模型可能使用相同公开论文、代码库和基准数据，也可能独立采用相近的后训练方法。模型回答在格式、措辞或特定错误上的高度一致可以提供线索，却仍要排除共同数据来源。更何况前沿模型之间普遍存在互相评测、合成数据和第三方API转售，数据链条可能跨越多家公司。
因此，严谨报道应使用“通告称”“Anthropic指控”“媒体援引”这样的归因语言，同时等待企业回应、合同证据和独立调查。将事件直接扩展为对一个国家全部开源模型的否定，既不符合证据范围，也会遮蔽中国模型在架构、工程、数据和开源生态上的真实创新。反过来，以“蒸馏是行业常规”回避绕过访问控制和违反条款的指控，也不足以回答合规问题。
开源与闭源的边界会被重新定义
AI行业过去常用“开源模型对抗闭源模型”描述竞争，但蒸馏争议说明边界更复杂。一个开放权重模型可能使用了不可公开的合成数据；一个闭源API又可能建立在大量开放论文和开源代码之上。许可证通常约束权重和代码，数据来源与模型输出权利却缺乏统一标准。未来，模型供应商可能提供不同授权层级：普通推理、允许内部分析、允许生成合成数据、允许训练非竞争模型和允许商业蒸馏，价格与审计要求逐级变化。
这会催生“可验证数据谱系”。训练方需要记录合成样本来自哪个模型、基于何种授权、何时生成、经过哪些过滤并进入哪个版本。企业客户也会要求模型厂商证明其训练数据不会带来知识产权风险。类似软件物料清单的“模型物料清单”可能包括基础权重、数据集、教师模型、评测器、人工标注和后训练环境。完全公开所有细节不现实，但至少应让审计方追踪高风险来源。
API聚合服务和中转站将承受更大压力。它们为开发者提供统一接口和跨区访问便利，却也可能削弱原始供应商的客户识别与用途控制。合规聚合器需要验证上游授权、保存足够审计日志、限制账户共享并对大规模训练型流量进行申报。否则，上游可能收紧访问，使正常企业也受到影响。
对中国AI企业的现实启示
无论具体指控最终如何认定，中国模型企业都需要把训练数据合规提升到与算力和算法同等的位置。使用第三方模型生成数据时，应审查服务条款、采购合同、地域规则和下游训练权限；通过代理商购买服务，不能只确认“接口能调用”，还要确认代理商是否有转售权、数据用途是否被上游允许。重大训练项目保留调用记录、授权文件、数据过滤流程和责任审批，才能在争议中提供证据。
技术路线也需要降低对单一外部教师的依赖。可以更多使用自有强模型、公开许可数据、可验证任务环境、人类专家与多模型混合教师。代码和数学领域尤其适合用执行结果提供奖励，减少复制某一家模型风格的需求。建立独立评测集，能够证明能力提升来自算法和训练流程，而不只是对目标模型输出的模仿。
开源发布时应提高透明度，但避免泄露个人数据和商业秘密。技术报告可以说明合成数据比例、教师来源类别、授权原则、去重方法和关键消融实验。可信度并非来自一句“完全自主”，而来自别人能够看到哪些部分是公开知识、哪些是团队创新、哪些依赖外部服务。
对企业采购者和工业用户的影响
企业选择模型时，过去主要比较性能、成本和部署方式；今后还要评估训练来源争议带来的连续性风险。如果模型被上游断供、遭遇诉讼或因政策限制无法更新，依赖它构建的智能体会受到影响。采购合同应要求供应商说明知识产权担保、第三方索赔处理、版本替代和数据迁移方案。
工业场景更适合把竞争优势建立在企业自有数据与规则上。通用模型负责语言、代码和推理底座，真正决定效果的是设备对象、工况数据、工艺约束、故障案例和审批流程。即使通用模型更换，企业知识层、工具层和验证层仍可复用。这样的架构也能避免把某个外部模型的输出直接沉淀为不可追踪的核心资产。
全球AI治理可能走向哪里
短期内，模型提供方会强化身份验证、速率控制、账户关联分析和跨平台情报共享，调用匿名性下降。国家机构介入后，蒸馏可能被纳入出口管制、网络安全和技术保护框架，而不再只是服务条款纠纷。不同国家对“学习公开输出”的法律解释可能不同，跨境执法更加复杂。
长期看，行业需要在两种利益之间寻找平衡：模型公司有理由保护巨额训练投资，社会也不希望少数平台把所有输出都变成不可学习的封闭资产。搜索引擎、数据库、软件接口和网页抓取都经历过类似冲突。更清晰的许可、合理的研究例外、可支付的蒸馏授权和透明的争议解决机制，比无限升级技术封锁更可持续。
结语
这场“模型蒸馏战”真正改变的，是我们对API的理解。API不再只是提供答案的产品接口，它也可能被视为一座可远程查询的能力矿山；反滥用系统不再只是防止盗刷，而是在保护模型的行为边界和训练投资。面对高度政治化的指控，最重要的是坚持证据分层：承认大规模蒸馏在技术上可行，重视政府通告和厂商日志，同时不把未经公开验证的归因写成最终定论。未来竞争的成熟标志，不是谁能最大规模地抽取别人，也不是谁能把接口锁得最死，而是谁能建立合法、可审计、可持续的知识生产链。
参考资料
- NSA、CISA与FBI联合通告PDF：China-Based AI Companies Conducting Industrial-Scale Distillation Campaigns
- Reuters相关报道入口
- Anthropic新闻与研究
- DeepSeek-R1论文
- MITRE ATLAS