當2880萬次查詢變成武器：蒸餾攻防戰嘅技術剖析
2026年6月24日，Anthropic向美國參議院銀行委員會及白宮官員致函，指控阿里巴巴相關營運方透過約2.5萬個帳戶向Claude發起大規模蒸餾攻擊。45日內超過2880萬次互動，精準瞄準軟件工程同Agentic推理兩類高價值能力。呢一宗指控係繼年初Anthropic指控中國另外三家LLM企業之後嘅最新個案。指控本身仍待各方回應，但事件已經迅速引發更深層討論。
更具戲劇性嘅係，一星期前喺Huggingface出現嘅開源模型Qwable‑v1為呢場爭議提供咗可公開檢驗嘅技術樣本。呢款由獨立開發者發佈嘅模型，以Qwen系列嘅MoE架構為基座，透過鏈式蒸餾先後注入Claude系模型嘅推理鏈同Agentic工具使用能力，淨係用約4600多條SFT數據、單張H200顯卡、約14小時就完成訓練。佢以一種幾乎透明嘅方式，展示咗蒸餾技術嘅效率邊界。
蒸餾技術原理
從「教師」到「學生」嘅知識轉移 模型蒸餾（Knowledge Distillation）最早由諾獎得主Geoffrey Hinton於2015年提出，核心思想係用一個大型「教師模型」（Teacher）去指導細一啲嘅「學生模型」（Student）學習，從而喺保持較高性能嘅同時大幅降低計算成本同部署門檻。
基本流程包括：
- 教師生成高質量輸出（包括推理鏈同概率分布）。
- 學生透過SFT或強化學習模仿。
- 高級變體例如鏈式蒸餾（Qwable‑v1採用呢個方法）、對抗性蒸餾等。
喺LLM領域，蒸餾特別有效，能快速將萬億參數模型「濃縮」成高效版本。Qwable‑v1就係呢項技術嘅典型實踐：佢將Claude嘅高階推理同工具使用能力，遷移到Qwen開源基座上，實現社區驅動嘅快速能力複製。
蒸餾攻擊嘅技術邏輯
蒸餾攻擊唔同於傳統數據竊取。其目標唔係獲取模型權重，而係透過大規模、結構化嘅API調用，系統性咁收集教師模型喺特定任務上嘅推理過程同工具使用模式，再用呢啲輸出去訓練自家模型。攻擊者唔需要理解Claude嘅內部結構——佢哋只需要令Claude「表演」足夠多次。
此次攻擊呈現高度組織化。2.5萬個帳戶嘅查詢策略有明確任務聚焦，圍繞代碼生成、除錯、多步工具調用等場景展開。呢種聚焦式蒸餾最大化咗每條訓練樣本嘅信息密度。考慮到Claude喺單次Agentic任務中可能生成數千Token嘅推理鏈同多輪工具調用，2880萬次互動所含嘅結構化知識量，足以支持學生模型喺特定領域快速接近教師水平。
防禦：一場不對稱嘅貓鼠遊戲
Anthropic已部署反蒸餾分類器，其Fable系列模型喺檢測到疑似蒸餾查詢時會回退至其他模型處理。防禦核心唔係簡單嘅流量風控——攻擊者已經有能力繞過基礎速率限制——而係分析查詢嘅「行為指紋」。蒸餾攻擊嘅查詢分佈天然同正常用戶唔同：高度集中喺特定任務域、提問結構趨向模板化、刻意引導模型展開完整推理鏈。喺足夠大嘅樣本量下，呢啲特徵會形成可檢測嘅統計信號。
但係呢場博弈本質上係唔對稱。大模型嘅API本身就係為咗「展示能力」而設計，每一次合法查詢都會產生可用於蒸餾嘅輸出。Anthropic冇可能喺唔損害產品價值嘅前提下完全阻止輸出嘅收集同再利用。「透過API售賣智能訪問權」嘅商業模式，其通道本身即構成知識洩露嘅路徑。攻擊者可以透過注入噪聲、模擬正常使用模式去降低被檢測機率，代價係蒸餾效率下降；防禦者則面臨假陽性（誤傷正常用戶）同假陰性（放行攻擊者）之間嘅永恆權衡。
蒸餾嘅邊界：可以複製啲乜，複製唔到啲乜
Qwable‑v1嘅案例清楚標示咗蒸餾嘅能力邊界。喺「行為模式」層面——推理鏈格式、工具調用結構、代碼風格偏好——蒸餾嘅複製效率極高，呢亦係淨係用約4600多條數據就見效嘅原因。呢啲表層模式相對固定，少量樣本足以捕捉其統計規律。
但係喺更深層面，蒸餾面臨信息瓶頸。教師模型嘅輸出係海量參數同訓練數據嘅「投影」，終究係壓縮後嘅產物。模型內部嘅世界知識、對邊緣情況嘅處理能力、喺長程推理入面嘅「直覺」，好難透過有限嘅輸出樣本完整捕捉。更重要嘅係，領先實驗室嘅優勢喺於持續迭代速度同閉環反饋系統——每次更新都融合咗海量用戶互動中嘅對齊信號同安全反饋。呢種動態演化能力係靜態蒸餾難以追得上嘅，除非攻擊者可以以相同頻率持續蒸餾，而喺防禦措施越趨完善嘅情況下，成本會呈指數級上升。
另外，鏈式蒸餾本身存在信息衰減。Qwable‑v1嘅兩階段路徑（先注入推理能力，再疊加工具能力），每一層蒸餾都係有損壓縮。損失逐層累積，令模型喺開放域推理中表現唔夠穩定，但喺結構化任務上表現良好——因為呢啲任務嘅「正確行為」模式相對固定。
結構性困境：當「展示」即係「洩露」
呢宗事件最終指出一個系統性問題：大模型嘅「智能」係一種可以透過互動被觀察同複製嘅行為模式，呢點同傳統軟件嘅知識產權保護形成咗根本斷裂。傳統軟件嘅代碼係隱藏嘅，用戶淨係見到輸入輸出界面；但大模型嘅「代碼」——編碼喺參數入面嘅推理策略——恰恰透過每次API調用被部分展示。你冇辦法喺唔展示智能嘅前提下出售智能。
Anthropic選擇走政治渠道而唔係單靠法律途徑應對，本身已經係一個信號：現有嘅知識產權框架喺處理大模型蒸餾問題時可能力不從心。Qwable‑v1以AGPL‑3.0許可開源咗權重同訓練數據集，將訓練數據來源嘅合規爭議暴露喺公眾視野，但呢個許可並唔解決上游數據（即Claude輸出）嘅權利歸屬問題。
2880萬次查詢已經發生，蒸餾嘅技術門檻已被證明低到單個開發者加一張顯卡就可以跨越。真正嘅問題唔再係「蒸餾能否被阻止」，而係當知識複製成本接近零時，AI競爭嘅邏輯會點樣重構，同埋創新者嘅回報能否仍然覆蓋其投入。呢場由舊金山一封信引發嘅爭議，最終可能成為定義AI時代知識經濟規則嘅一個注腳。
▶️ 鍾意呢篇內容？創作真係好辛苦！
歡迎關注我哋嘅 YouTube 頻道：
AI Rosetta
你嘅讚好、訂閱同分享，係對我哋最大嘅支持！🙏
更多AI新聞請瀏覽： https://www.airosetta.com