2月23日，Anthropic發(fā)布了一份聲明，稱三家AI 公司——DeepSeek、月之暗面和MiniMax，對(duì)其發(fā)起了“工業(yè)級(jí)的蒸餾”，通過(guò)大規(guī)模調(diào)用Claude模型的方式，為自家模型訓(xùn)練收集數(shù)據(jù)。

聲明稱，這些行動(dòng)總計(jì)產(chǎn)生了超過(guò)1600萬(wàn)次對(duì)話請(qǐng)求，來(lái)自約2.4萬(wàn)個(gè)被認(rèn)定為欺詐的賬戶，違反了平臺(tái)服務(wù)條款以及區(qū)域訪問(wèn)限制。

Anthropic認(rèn)為，這些請(qǐng)求并非正常使用，而是圍繞特定能力進(jìn)行高密度、結(jié)構(gòu)化的數(shù)據(jù)采集，其目標(biāo)是通過(guò)“模型蒸餾”的方式，快速?gòu)?fù)制前沿模型的關(guān)鍵能力。

所謂“蒸餾”，是指用更強(qiáng)模型的輸出結(jié)果來(lái)訓(xùn)練較弱模型。

這在行業(yè)內(nèi)部本是一種常見(jiàn)且合法的方法，許多公司都會(huì)用它來(lái)壓縮模型規(guī)模、降低成本。

Anthropic 披露，這些行動(dòng)具有明顯的工業(yè)化特征：請(qǐng)求集中在少數(shù)關(guān)鍵能力上，如復(fù)雜推理、工具調(diào)用、代理執(zhí)行和編程；提示結(jié)構(gòu)高度重復(fù)；不同賬戶之間流量同步，甚至共享支付方式與訪問(wèn)路徑。其模式更像數(shù)據(jù)生產(chǎn)流水線，而非真實(shí)用戶行為。

其中，月之暗面的請(qǐng)求規(guī)模超過(guò)340萬(wàn)次，重點(diǎn)圍繞代理推理、編程與計(jì)算機(jī)使用能力。

MiniMax規(guī)模最大，超過(guò)1300萬(wàn)次，主要針對(duì)工具編排與代理編碼。

DeepSeek規(guī)模相對(duì)較小，但其請(qǐng)求中包含大量用于強(qiáng)化學(xué)習(xí)評(píng)分的數(shù)據(jù)生成任務(wù)，以及要求模型逐步寫出內(nèi)部推理過(guò)程的提示，這意味著目標(biāo)是獲取可用于訓(xùn)練的“思維鏈”數(shù)據(jù)。

Anthropic稱，這些行動(dòng)普遍通過(guò)代理服務(wù)進(jìn)行。

相關(guān)機(jī)構(gòu)利用所謂的“九頭蛇架構(gòu)”，管理成千上萬(wàn)個(gè)賬戶，將流量分散到不同入口與云平臺(tái)中，一旦某個(gè)賬戶被封禁，新的賬戶立即補(bǔ)位。

在一個(gè)案例中，單一代理網(wǎng)絡(luò)同時(shí)控制超過(guò)2萬(wàn)個(gè)賬戶，并將蒸餾請(qǐng)求與普通商業(yè)流量混合，以降低被識(shí)別的風(fēng)險(xiǎn)。

更值得注意的是時(shí)間敏感性。聲明提到，當(dāng)Anthropic發(fā)布新模型后，MiniMax在24小時(shí)內(nèi)就將近一半流量轉(zhuǎn)向新版本，顯示出高度敏捷的能力捕捉策略。

Anthropic在聲明也表達(dá)了更宏觀的擔(dān)憂。其觀點(diǎn)是，前沿模型通常內(nèi)置了安全機(jī)制，用于限制生物武器設(shè)計(jì)、惡意網(wǎng)絡(luò)攻擊等高風(fēng)險(xiǎn)用途，而通過(guò)外部蒸餾得到的模型，往往無(wú)法完整繼承這些約束。一旦能力被復(fù)制而防護(hù)被弱化，相關(guān)風(fēng)險(xiǎn)可能隨能力擴(kuò)散而放大。

目前，該公司表示已加強(qiáng)多項(xiàng)防御措施，包括行為指紋識(shí)別、思維鏈提取檢測(cè)、跨賬戶協(xié)同行為分析，以及對(duì)教育與初創(chuàng)賬號(hào)的更嚴(yán)格審核，同時(shí)與其他AI公司和云服務(wù)商共享相關(guān)情報(bào)。

但其同時(shí)強(qiáng)調(diào)，這類問(wèn)題已經(jīng)超出單一公司的能力范圍，需要行業(yè)層面的協(xié)作應(yīng)對(duì)。

以下為聲明全文

檢測(cè)與防范蒸餾攻擊

2026年2月23日

我們已識(shí)別出三家人工智能實(shí)驗(yàn)室——DeepSeek、Moonshot 和 MiniMax——發(fā)起的工業(yè)規(guī)模行動(dòng)，試圖通過(guò)非法方式提取 Claude 的能力，以提升它們自身的模型。這些實(shí)驗(yàn)室通過(guò)大約 24,000 個(gè)欺詐賬戶，與 Claude 進(jìn)行了超過(guò) 1600 萬(wàn)次交互，違反了我們的服務(wù)條款以及區(qū)域訪問(wèn)限制。

這些實(shí)驗(yàn)室使用了一種名為“蒸餾”（distillation）的技術(shù)，即讓一個(gè)能力較弱的模型學(xué)習(xí)更強(qiáng)模型的輸出。蒸餾是一種被廣泛使用且合法的訓(xùn)練方法。例如，前沿 AI 實(shí)驗(yàn)室通常會(huì)對(duì)自家模型進(jìn)行蒸餾，以便為客戶創(chuàng)建更小、更便宜的版本。但蒸餾也可能被用于非法目的：競(jìng)爭(zhēng)對(duì)手可以用它在遠(yuǎn)低于自主研發(fā)所需時(shí)間與成本的情況下，獲取強(qiáng)大的能力。

這些行動(dòng)正在迅速升級(jí)，強(qiáng)度和復(fù)雜性不斷提高。采取行動(dòng)的窗口期十分有限，這一威脅也早已超出任何單一公司或地區(qū)的范疇。解決這一問(wèn)題需要行業(yè)參與者、政策制定者以及全球 AI 社區(qū)之間迅速而協(xié)調(diào)的合作。

為什么蒸餾問(wèn)題至關(guān)重要

通過(guò)非法蒸餾得到的模型缺乏必要的安全防護(hù)，從而帶來(lái)重大國(guó)家安全風(fēng)險(xiǎn)。Anthropic 及其他美國(guó)公司構(gòu)建的系統(tǒng)，會(huì)防止國(guó)家或非國(guó)家行為體利用 AI 開發(fā)生物武器或?qū)嵤阂饩W(wǎng)絡(luò)活動(dòng)等。通過(guò)非法蒸餾構(gòu)建的模型，很可能無(wú)法保留這些安全防護(hù)措施，這意味著危險(xiǎn)能力可能在大量安全機(jī)制被剝離的情況下擴(kuò)散。

對(duì)美國(guó)模型進(jìn)行蒸餾的外國(guó)實(shí)驗(yàn)室，隨后可能將這些缺乏防護(hù)的能力輸入到軍事、情報(bào)和監(jiān)控系統(tǒng)中——使他國(guó)政府能夠?qū)⑶把?AI 用于進(jìn)攻性網(wǎng)絡(luò)行動(dòng)、虛假信息宣傳和大規(guī)模監(jiān)控。如果蒸餾模型被開源，這種風(fēng)險(xiǎn)將成倍放大，因?yàn)檫@些能力會(huì)在任何單一政府控制之外自由傳播。

蒸餾攻擊與出口管制

Anthropic 一直支持出口管制，以幫助維持美國(guó)在 AI 領(lǐng)域的領(lǐng)先地位。蒸餾攻擊削弱了這些管制措施，因?yàn)樗试S外國(guó)實(shí)驗(yàn)室通過(guò)其他方式縮小出口管制試圖保留的競(jìng)爭(zhēng)優(yōu)勢(shì)。

在缺乏對(duì)這些攻擊可見(jiàn)性的情況下，這些實(shí)驗(yàn)室看似迅速的技術(shù)進(jìn)步，往往被錯(cuò)誤解讀為出口管制無(wú)效、可以通過(guò)創(chuàng)新繞過(guò)。事實(shí)上，這些進(jìn)步在很大程度上依賴于從美國(guó)模型中提取的能力，而要大規(guī)模執(zhí)行這種提取，則需要先進(jìn)芯片的支持。因此，蒸餾攻擊反而強(qiáng)化了出口管制的合理性：限制芯片獲取不僅限制直接模型訓(xùn)練，也限制了非法蒸餾的規(guī)模。

我們的發(fā)現(xiàn)

下文詳述的三起蒸餾行動(dòng)采用了相似的操作模式：使用欺詐賬戶和代理服務(wù)，大規(guī)模訪問(wèn) Claude，同時(shí)規(guī)避檢測(cè)。其提示語(yǔ)的規(guī)模、結(jié)構(gòu)和集中方向均明顯不同于正常使用模式，反映出其目的是刻意提取能力，而非合法使用。

我們通過(guò) IP 地址關(guān)聯(lián)、請(qǐng)求元數(shù)據(jù)、基礎(chǔ)設(shè)施指標(biāo)，以及在某些情況下來(lái)自行業(yè)合作伙伴的佐證，高置信度地將每次行動(dòng)歸因于特定實(shí)驗(yàn)室。這些行動(dòng)都集中針對(duì) Claude 最具差異化的能力：代理式推理、工具使用和編程。

DeepSeek

規(guī)模：超過(guò) 15 萬(wàn)次交互

該行動(dòng)目標(biāo)包括：

• 各類任務(wù)中的推理能力

• 基于評(píng)分標(biāo)準(zhǔn)（rubric）的打分任務(wù)，使 Claude 充當(dāng)強(qiáng)化學(xué)習(xí)的獎(jiǎng)勵(lì)模型

• 生成“審查安全”的敏感問(wèn)題替代表述

DeepSeek 在多個(gè)賬戶之間生成同步流量。相同的模式、共享支付方式以及協(xié)調(diào)的時(shí)間安排表明其進(jìn)行了“負(fù)載均衡”，以提高吞吐量、增強(qiáng)可靠性并規(guī)避檢測(cè)。

一個(gè)顯著手法是，提示 Claude 想象并逐步闡述某個(gè)已完成回答背后的內(nèi)部推理過(guò)程——實(shí)質(zhì)上是在大規(guī)模生成思維鏈（chain-of-thought）訓(xùn)練數(shù)據(jù)。我們還觀察到任務(wù)要求 Claude 為敏感問(wèn)題生成“審查安全”的替代表述，很可能是為了訓(xùn)練 DeepSeek 自身模型在這些話題上進(jìn)行回避引導(dǎo)。通過(guò)請(qǐng)求元數(shù)據(jù)分析，我們能夠?qū)⑦@些賬戶追溯到該實(shí)驗(yàn)室的具體研究人員。

Moonshot AI

規(guī)模：超過(guò) 340 萬(wàn)次交互

目標(biāo)包括：

• 代理式推理與工具使用

• 編程與數(shù)據(jù)分析

• 計(jì)算機(jī)使用代理開發(fā)

• 計(jì)算機(jī)視覺(jué)

Moonshot（Kimi 模型）使用了數(shù)百個(gè)欺詐賬戶，橫跨多種訪問(wèn)路徑。多樣化的賬戶類型使該行動(dòng)更難被識(shí)別為協(xié)調(diào)操作。我們通過(guò)請(qǐng)求元數(shù)據(jù)進(jìn)行歸因，其信息與 Moonshot 高級(jí)員工的公開資料相匹配。在后期階段，Moonshot 采用了更具針對(duì)性的方式，試圖提取并重建 Claude 的推理軌跡。

MiniMax

規(guī)模：超過(guò) 1300 萬(wàn)次交互

目標(biāo)包括：

• 代理式編程

• 工具使用與編排

我們通過(guò)請(qǐng)求元數(shù)據(jù)和基礎(chǔ)設(shè)施指標(biāo)將該行動(dòng)歸因于 MiniMax，并結(jié)合其公開產(chǎn)品路線圖驗(yàn)證時(shí)間節(jié)點(diǎn)。我們?cè)?MiniMax 發(fā)布其訓(xùn)練模型之前，就在其行動(dòng)仍在進(jìn)行時(shí)檢測(cè)到了該蒸餾行為，這為我們提供了前所未有的視角，觀察蒸餾攻擊從數(shù)據(jù)生成到模型發(fā)布的完整生命周期。

我們?cè)?MiniMax 行動(dòng)期間發(fā)布新模型時(shí)，對(duì)方在 24 小時(shí)內(nèi)迅速調(diào)整策略，將近一半流量轉(zhuǎn)向捕捉我們最新系統(tǒng)的能力。

蒸餾方如何獲取前沿模型

出于國(guó)家安全考慮，Anthropic 目前不向中國(guó)或其境外子公司提供 Claude 的商業(yè)訪問(wèn)。

為繞過(guò)這一限制，這些實(shí)驗(yàn)室使用商業(yè)代理服務(wù)，以規(guī)?；绞睫D(zhuǎn)售 Claude 及其他前沿模型的訪問(wèn)權(quán)限。這些服務(wù)運(yùn)行所謂的“九頭蛇集群”（hydra cluster）架構(gòu)：由大量欺詐賬戶構(gòu)成的龐大網(wǎng)絡(luò)，將流量分散到我們的 API 以及第三方云平臺(tái)。該網(wǎng)絡(luò)范圍廣泛，沒(méi)有單點(diǎn)故障。一個(gè)賬戶被封禁后，新的賬戶立即頂替。在一個(gè)案例中，單一代理網(wǎng)絡(luò)同時(shí)管理超過(guò) 20,000 個(gè)欺詐賬戶，并將蒸餾流量與其他正?？蛻粽?qǐng)求混合，以增加檢測(cè)難度。

一旦獲得訪問(wèn)權(quán)限，這些實(shí)驗(yàn)室就會(huì)生成大量精心設(shè)計(jì)的提示語(yǔ)，以提取特定能力。目標(biāo)要么是收集高質(zhì)量回答用于直接模型訓(xùn)練，要么是生成數(shù)萬(wàn)條獨(dú)特任務(wù)，用于運(yùn)行強(qiáng)化學(xué)習(xí)。

區(qū)別蒸餾攻擊與正常使用的關(guān)鍵在于模式。例如以下提示語(yǔ)（與我們觀察到的大規(guī)模重復(fù)提示近似）單獨(dú)看似無(wú)害：

“你是一名專家級(jí)數(shù)據(jù)分析師，結(jié)合統(tǒng)計(jì)嚴(yán)謹(jǐn)性與深厚領(lǐng)域知識(shí)。你的目標(biāo)是提供基于真實(shí)數(shù)據(jù)、具備完整透明推理過(guò)程的數(shù)據(jù)驅(qū)動(dòng)洞察，而非摘要或可視化?！?br/>

但當(dāng)該提示的變體在數(shù)百個(gè)協(xié)調(diào)賬戶間被重復(fù)數(shù)萬(wàn)次，并集中針對(duì)同一狹窄能力時(shí)，其模式便顯而易見(jiàn)：在少數(shù)能力領(lǐng)域集中爆發(fā)的巨大流量、高度重復(fù)的結(jié)構(gòu)，以及內(nèi)容與 AI 模型訓(xùn)練核心價(jià)值的高度映射——這正是蒸餾攻擊的典型特征。

我們的應(yīng)對(duì)措施

我們持續(xù)大力投入防御機(jī)制，使蒸餾攻擊更難實(shí)施、更易識(shí)別，包括：

• 檢測(cè)機(jī)制：構(gòu)建多個(gè)分類器與行為指紋系統(tǒng)，用于識(shí)別 API 流量中的蒸餾攻擊模式，包括識(shí)別用于構(gòu)建推理訓(xùn)練數(shù)據(jù)的思維鏈誘導(dǎo)行為，以及跨大量賬戶的協(xié)調(diào)活動(dòng)。

• 情報(bào)共享：與其他 AI 實(shí)驗(yàn)室、云服務(wù)提供商及相關(guān)機(jī)構(gòu)共享技術(shù)指標(biāo)，形成對(duì)蒸餾生態(tài)的更全面認(rèn)知。

• 訪問(wèn)控制：加強(qiáng)對(duì)教育賬戶、安全研究項(xiàng)目及創(chuàng)業(yè)組織的驗(yàn)證流程——這些是欺詐賬戶最常利用的渠道。

• 反制措施：開發(fā)產(chǎn)品級(jí)、API 級(jí)及模型級(jí)防護(hù)機(jī)制，在不影響合法用戶體驗(yàn)的前提下，降低模型輸出對(duì)非法蒸餾的有效性。

但任何一家公司都無(wú)法獨(dú)自解決這一問(wèn)題。正如前文所述，這種規(guī)模的蒸餾攻擊需要 AI 行業(yè)、云服務(wù)提供商及政策制定者之間的協(xié)調(diào)響應(yīng)。我們發(fā)布此文，是為了讓所有關(guān)心這一結(jié)果的人都能看到相關(guān)證據(jù)。