当2880万次查询成为武器：蒸馏攻防战的技术解剖
2026年6月24日，Anthropic向美国参议院银行委员会及白宫官员致信，指控阿里巴巴关联运营商通过约2.5万个账户对Claude发起大规模蒸馏攻击。45天内超过2880万次交互，精准瞄准软件工程和Agentic推理两类高价值能力。这一指控是在年初Anthropic指控中国另外三家LLM企业之后的最新一起。指控本身尚待各方回应，但事件迅速引发了更深层的讨论。
更具戏剧性的是，在一周前Huggingface出现的开源模型Qwable‑v1为这场争议提供了可被公开检验的技术标本。这款由独立开发者发布的模型，以Qwen系列的MoE架构为基座，通过链式蒸馏先后注入了Claude系模型的推理链和Agentic工具使用能力，仅用约4600余条SFT数据、单张H200显卡、约14小时便完成了训练。它以一种近乎透明的方式，展示了蒸馏技术的效率边界。
蒸馏技术原理
从“教师”到“学生”的知识转移 模型蒸馏（Knowledge Distillation）最早由诺奖得主Geoffrey Hinton于2015年提出，核心思想是让一个大型“教师模型”（Teacher）指导小型“学生模型”（Student）学习，从而在保持较高性能的同时大幅降低计算成本和部署门槛。
基本流程包括：
- 教师生成高质量输出（含推理链和概率分布）。
- 学生通过SFT或强化学习模仿。
- 高级变体如链式蒸馏（Qwable‑v1采用此法）、对抗蒸馏等。
在LLM领域，蒸馏特别有效，能快速将万亿参数模型“浓缩”成高效版本。Qwable‑v1正是这一技术的典型实践：它将Claude的高级推理和工具使用能力迁移到Qwen开源基座上，实现社区驱动的快速能力复制。
蒸馏攻击的技术逻辑
蒸馏攻击不同于传统数据窃取。其目标不是获取模型权重，而是通过大规模、结构化的API调用，系统性地采集教师模型在特定任务上的推理过程和工具使用模式，再以此训练自有模型。攻击者不需要理解Claude的内部结构——他们只需要让Claude"表演"足够多次。
此次攻击呈现出高度的组织性。2.5万账户的查询策略有明确的任务聚焦，围绕代码生成、调试、多步工具调用等场景展开。这种聚焦式蒸馏最大化了每条训练样本的信息密度。考虑到Claude在单次Agentic任务中可能产生数千Token的推理链和多个工具调用轮次，2880万次交互所蕴含的结构化知识量，足以支撑一个学生模型在特定领域快速接近教师水平。
防御：不对称的猫鼠游戏
Anthropic已部署反蒸馏分类器，其Fable系列模型在检测到疑似蒸馏查询时会回退至其他模型处理。防御的核心并非简单的流量风控——攻击者已有能力绕过基础速率限制——而是分析查询的"行为指纹"。蒸馏攻击的查询分布天然区别于正常用户：高度集中于特定任务域、提问结构趋于模板化、刻意引导模型展开完整推理链。在足够大的样本量下，这些特征形成可检测的统计信号。
然而这场博弈本质上是不对称的。大模型的API本身就是为"展示能力"而设计的，每一次合法查询都在产生可用于蒸馏的输出。Anthropic不可能在不损害产品价值的前提下完全阻止输出的收集与再利用。"通过API售卖智能访问权"的商业模式，其通道本身即构成知识泄露的路径。攻击者可以通过注入噪声、模拟正常使用模式来降低被检测概率，代价是蒸馏效率下降；防御者则面临假阳性（误伤正常用户）与假阴性（放行攻击者）的永恒权衡。
蒸馏的边界：能复制什么，不能复制什么
Qwable‑v1的案例清晰地标注了蒸馏的能力边界。在"行为模式"层面——推理链格式、工具调用结构、代码风格偏好——蒸馏的复制效率极高，这也是仅凭4600余条数据即可见效的原因。这些表层模式相对固定，少量样本足以捕捉其统计规律。
但在更深层面，蒸馏面临信息瓶颈。教师模型的输出是海量参数和训练数据的"投影"，终究是压缩后的产物。模型内部的世界知识、对边缘情况的处理能力、长程推理中的"直觉"，难以通过有限输出样本来完整捕获。更关键的是，领先实验室的优势在于持续迭代速度和闭环反馈系统——每次更新都融合了海量用户交互中的对齐信号和安全反馈。这种动态演化能力是静态蒸馏难以追赶的，除非攻击者能以同等频率持续蒸馏，而在防御措施日趋完善的条件下，成本将呈指数级上升。
此外，链式蒸馏本身存在信息衰减。Qwable‑v1的两阶段路径（先注入推理能力，再叠加工具能力），每一层蒸馏都是有损压缩。损失逐层累积，使得模型在开放域推理中表现不稳定，但在结构化任务上表现良好——因为这些任务的"正确行为"模式相对固定。
结构性困境：当"展示"即"泄露"
这起事件最终指向一个系统性问题：大模型的"智能"是一种可通过交互被观测和复制的行为模式，这与传统软件的知识产权保护形成了根本断裂。传统软件的代码是隐藏的，用户只看到输入输出界面；而大模型的"代码"——参数中编码的推理策略——恰恰通过每次API调用被部分展示。你无法在不展示智能的前提下售卖智能。
Anthropic选择政治渠道而非纯法律途径应对，本身就是一个信号：现有知识产权框架在处理大模型蒸馏问题时可能力不从心。Qwable‑v1以AGPL‑3.0许可开源了权重和训练数据集，将训练数据来源的合规争议暴露在公众视野中，但这一许可并不解决上游数据（Claude输出）的权利归属问题。
2880万次查询已经发生，蒸馏的技术门槛已被证明低到单个开发者加一张显卡即可跨越。真正的问题不再是"蒸馏能否被阻止"，而是当知识复制成本趋近于零时，AI竞争的逻辑将如何重构，以及创新者的回报是否还能覆盖其投入。这场始于旧金山一封信件的争议，最终可能成为定义AI时代知识经济规则的一个注脚。
▶️ 喜欢这篇内容？创作真的很辛苦！
欢迎关注我们的 YouTube 频道：
AI Rosetta
你的点赞、订阅和分享，是对我们最大的支持！🙏
更多AI新闻请访问：
https://www.airosetta.com