在 AI 圈子里，蒸馏是个正经技术——大模型教小模型，省时省力。但 Anthropic 最近捅出来的事，让这个词多了一层灰色含义。
6 月 24 日，Bloomberg 和 CNBC 先后爆出：Anthropic 在 6 月 10 日给美国参议院银行委员会写了一封正式信件，点名指控阿里巴巴旗下的 Qwen 实验室对其 Claude 模型实施了”已知最大规模的蒸馏攻击”。
2880 万次 API 交换，2.5 万个虚假账号，持续 45 天。
这不是技术博客里的”我们发现了一些异常流量”——这是直接捅到了国会山。
发生了什么？
简单说：Anthropic 发现，从 4 月 22 日到 6 月 5 日，有人用大量假账号系统性地调用 Claude API，把 Claude 的回答拿去训练自己的模型。
这不是第一次了。
今年 2 月，Anthropic 就发过一篇博客，揭露了三家中国 AI 实验室——DeepSeek、Moonshot（Kimi）、MiniMax——对 Claude 的蒸馏攻击。当时三家加起来总共 1600 万次交换、2.4 万假账号。
阿里的这次操作，一家就干到了 2880 万次，直接超过了之前三家的总和。
Anthropic 在信里用的措辞很重：brazenly（明目张胆地）、illicitly（非法地）。信是写给参议员 Tim Scott 和 Elizabeth Warren 的——一个是共和党，一个是民主党，两党联合投诉的架势。
蒸馏到底怎么”偷”的？
蒸馏的核心逻辑很简单：你问大模型一个问题，拿到回答，然后用这个回答去训练你自己的小模型。练完之后，你的小模型就学会了大模型的部分能力。
合法吗？看情况。
自己蒸馏自己的模型，完全合法。OpenAI 蒸馏 GPT-4 做 GPT-4 Mini，Anthropic 蒸馏 Claude 做 Haiku——这都是标准操作。
但竞争对手偷偷蒸馏你的模型，这就踩线了。尤其是当你的服务条款明确禁止、而且对方通过虚假账号绕过地区访问限制的时候。
Anthropic 博客里描述的手法很有意思：攻击方使用”hydra cluster”架构——一个代理网络同时管理 2 万多假账号，把蒸馏流量混在正常用户请求里，增加检测难度。有些账号被封了，新账号立刻顶上。
更狠的是，MiniMax 的那次攻击中，Anthropic 发布了新模型后 24 小时内，攻击方就把近一半流量转向了新模型——在 Anthropic 眼皮底下实时”偷师”。
为什么 Anthropic 要告到国会？
因为没有别的办法。
蒸馏攻击发生在海外，攻击方用假账号、代理服务，法律上很难直接追究。Anthropic 能做的就是封号、加强检测，但”打地鼠”式防御解决不了根本问题。
所以 Anthropic 选择了政治路线。
信件里直接把蒸馏和国家安全挂钩：蒸馏出来的模型没有安全护栏，如果被开源自由扩散，等于把前沿 AI 能力不加限制地送给了所有人。
更关键的是，今年 4 月白宫科技政策办公室刚发了 NSTM-4 备忘录，承诺帮助 AI 公司检测和对抗工业级蒸馏。Anthropic 在信里特别提到：阿里巴巴在备忘录发布后依然我行我素，”无视了特朗普政府的警告”。
这句话的潜台词很清楚——该出手管管了。
开源派点评：蒸馏攻防的本质是什么？
表面上看，这是 Anthropic 和阿里巴巴之间的知识产权纠纷。但往深了看，这是 AI 时代”技术民族主义”的又一个战场。
Anthropic 的信件里有一个很微妙的论点：如果外界以为中国 AI 实验室的快速进步是靠”自主创新”，那就会得出”出口管制没用”的结论。但实际上，这些进步很大程度上依赖从美国模型蒸馏出来的能力。
换句话说，Anthropic 在帮美国政府论证：出口管制是对的，而且需要更严。
这对整个 AI 行业意味着什么？
短期看，蒸馏攻击不会停。2 月被揭露后，阿里的攻击规模不降反升，说明”被发现”本身不构成威慑。只有实质性的法律或制裁措施才可能改变行为。
中期看，AI API 的访问管控会越来越严。身份验证、使用监控、异常检测——这些会成为标配。对普通开发者来说，API 调用可能会变得更麻烦。
长期看，蒸馏攻防可能催生新的国际规则。就像核不扩散条约一样，AI 能力的”扩散”也可能需要某种形式的国际协调。但考虑到当前的地缘政治环境，这件事遥遥无期。
还有一个值得思考的问题：蒸馏和开源的关系。
Anthropic 特别担心的是”蒸馏 + 开源”的组合——蒸馏产出的模型如果不开源，能力扩散是可控的；但如果开源了，安全护栏被剥离的能力就会自由传播，谁也控制不了。
这对开源社区来说是个尴尬的处境。开源本是技术进步的基石，但在蒸馏攻防的语境下，它可能成为”能力扩散”的放大器。
最后
2880 万次 API 调用，2.5 万个假账号，45 天不间断”偷师”。
这组数字本身就在说明一件事：AI 模型的能力已经值钱到了有人愿意花这么大成本去偷的程度。
Anthropic 把这件事捅到国会，不只是为了自保。它在为整个美国 AI 行业争取一个更严格的保护框架。
至于这个框架最终会保护创新、还是阻碍开源——那就是另一个故事了。
本站原创文章皆遵循“署名—非商业性使用—相同方式共享 4.0 协议 (CC BY-NC-SA 4.0)”。共享、演绎请保留以下标注：
