AI 領域的競爭已從單純的算力比拼，演變為對模型能力的高效複製。根據 AI 研究公司 Anthropic 的最新披露，該公司發現並攔截了由七家中國 AI 實驗室發起的工業級非法蒸餾攻擊，目標是從其頂尖模型 Claude 中提取核心能力。這場規模巨大的攻擊行動涉及阿里巴巴、Moonshot AI、DeepSeek、Z.ai（智譜）、MiniMax、小米以及 SenseTime（商湯科技），顯示出非法獲取前沿模型能力的行為已趨於系統化與規模化。
背景與核心概念：什麼是模型蒸餾？
要理解此次事件，首先必須區分知識蒸餾 Knowledge Distillation 的合法用途與非法手段。在機器學習中，知識蒸餾是一種正規的訓練技術，其運作方式是讓一個參數龐大、能力強大的模型擔任老師 Teacher，將其產出的結果或邏輯路徑傳授給一個較小、速度較快且成本較低的學生模型 Student，使後者能在維持高效能的同時，複製老師模型的部分能力。
然而，非法蒸餾 Illicit Distillation 則是一種未經授權的工業級剽竊行為。攻擊者不再透過合法授權獲取數據，而是利用大量虛假帳號、盜用信用卡或 API 金鑰，大規模地向目標模型發送請求，獲取其高品質的回答與推理過程，再將這些數據餵給自己的模型進行訓練。這種行為本質上是在利用對手投入巨額資金研發的成果，來快速縮短自身的技術差距。
非法蒸餾的運作手法與攻擊路徑
Anthropic 指出，這些實驗室採取了極其複雜的手段來規避防禦機制。其中最核心的作法是建立代理服務 Proxy Services，也就是一種中繼站。攻擊者透過虛構身份開設數千個帳號，並利用非法獲取的 API 金鑰，將請求繞道傳送到 Claude 模型。
具體的攻擊模式可分為三類：第一類是直接誘導，透過操縱提示詞 Prompt Manipulation 獲取 Claude 在編碼、數據分析及邏輯推理等高階任務上的表現。第二類是隱蔽轉發，例如 Moonshot AI 和 DeepSeek 被指控在未告知用戶的情況下，將用戶發給自家模型的請求偷偷轉發給 Claude，將 Claude 的回答顯示給用戶，同時將這些對話記錄保存下來作為訓練數據。第三類則是數據交易，部分實驗室如 SenseTime 則直接從第三方代理商處購買被截獲的用戶對話紀錄。
在被揭露的案例中，規模最驚人的是代號為 GTG-16005 的行動。阿里巴巴相關運營者在 2026 年 5 月至 7 月間，針對 Claude Opus 4.6 與 4.7 的思維鏈 Chain-of-Thought (CoT) 推理紀錄發起攻擊。思維鏈是指模型在得出最終答案前，內部一步步推導的邏輯過程，是模型最核心的競爭力所在。這次攻擊高峰期每日產生約 300 萬次對話，總計觀察到 1.51 億次交換，涵蓋軟體工程、內核開發等高難度任務。
影響與實務意義
此次事件揭示了前沿 AI 模型面臨的嚴峻安全挑戰。當一個模型的推理過程被大規模提取後，競爭對手可以在極短時間內將其邏輯能力整合進自己的模型中，這不僅造成研發成本的損失，更讓開發者失去對模型能力的控制權。此外，這類攻擊還帶來了嚴重的隱私風險。Anthropic 發現，被截獲的對話中包含個體用戶、跨國企業甚至政府相關人員的敏感資訊，這些數據在非法蒸餾過程中被當作訓練素材，導致用戶隱私在不知情的情況下被第三方實驗室獲取。
針對此類威脅，Anthropic 已採取多項技術反制措施。首先是在模型端更新，要求模型在回應前先對內部推理進行摘要，降低被盜取紀錄後的訓練價值。其次，在 Fable 5.1 版本中引入了保留思考 Preserved Thinking 機制，對推理過程進行加密，並禁止新 API 帳號修改系統提示詞或對話前綴，以防止攻擊者利用特定的提示詞技巧強迫模型揭露其內部思考路徑。
限制與未來展望
儘管 Anthropic 採取了封禁非法區域帳號與加密推理等手段，但非法蒸餾的對抗將持續升級。由於代理服務市場的存在，攻擊者可以不斷更換虛假身份，使得單純的帳號封禁難以根除問題。同時，隨著模型能力的提升，如何平衡 API 的可用性與對內部邏輯的保護，將成為所有前沿 AI 實驗室共同面臨的技術難題。
這次事件不僅是技術層面的爭端，更反映出全球 AI 競爭中的地緣政治張力。美國網路安全與情報機構已將此類行為定義為系統性的功能提取，顯示出 AI 模型的權重與推理能力已成為國家級的戰略資產。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。