Anthropic发布《加强对蒸馏攻击的防御》报告，中国模型蒸馏问题再陷舆论漩涡

10月12日，Anthropic发布《加强对蒸馏攻击的防御》报告，披露了提高Claude推理记录提取难度的一系列措施。公司称，新措施实施后，在其自有平台上，被识别为蒸馏者提取的推理词元量下降了约90%—99%。

这套防御着重保护模型形成答案的中间过程。Anthropic限制对既有推理上下文的修改，以及推理记录跨模型、跨组织使用，同时识别和拦截试图提取完整推理的请求，对反复尝试的账户限流、封禁，并对部分被拦截的请求收费。其内部实验显示，完整推理记录比摘要更有助于训练另一个模型；提高这些材料的获取难度，也就提高了复制相应能力的门槛。

报告同时再次提及月之暗面，援引9月调查，指称部分Kimi用户请求曾被秘密转发给Claude，其中一项涉及监控资料分析，使用者被Anthropic判断为很可能与军方有关。蒸馏争议由此涉及两条需要分别核查的数据流向：外部模型的输出是否进入了中国模型的训练，以及用户交给Kimi的资料是否被转交其他服务商。

截至北京时间10月13日午间，公开材料已能确认，中国团队使用ChatGPT、Claude输出训练特定模型，存在开发者披露、公开数据和项目材料相互对应的实证，其中包括百万级样本。Anthropic与OpenAI也已就头部公司的批量采集提出具体调查指控。至于这些数据对商业旗舰贡献了多少能力，以及Kimi是否确曾转交网络传言中的“武器计划”，仍需沿着各自的证据链逐项判断。

一、机制厘清：API实时转发不等于模型蒸馏，评测调用不等于训练入库

在技术语境中，“模型蒸馏”指以高性能“教师模型”生成的答案、推理步骤或工具调用轨迹为目标，去训练或微调“学生模型”。学生模型通过梯度更新吸收教师输出中的知识与逻辑模式，最终具备脱离教师、自主生成优质答案的能力。这种训练不要求两套系统具备相同的神经网络架构，也不局限于“大模型教小模型”。

这一训练机制必须与工程层面的“线上转发”严格区分：

1. 实时代理转发：产品接收用户提示词后，直接调用第三方模型API获取结果并呈现给用户。此过程仅消耗算力和网络带宽，不改变本地模型的参数权重。
2. 后训练蒸馏入库：系统将用户提问与第三方优质回答完整持久化，经清洗、脱敏与格式化后，送入训练管线更新模型参数。

Anthropic对Kimi的指控之所以引发剧烈反弹，在于其指责月之暗面同时打通了这两条路径：前端利用Claude充当实时问答的“替身”，后端则截留这些交互记录，将其转化为自身模型的训练语料。

与此同时，模型研发过程中存在大量辅助性调用。团队可能引入外部模型作为数据清洗过滤器、合成语料评审员，或充当基准测试中的“裁判模型”（LLM-as-a-Judge）。一篇学术论文出现Claude或GPT的名字，仅代表其在工作流中承担特定角色；将其写在基准评测表格中，与将其作为监督微调（SFT）的配方来源，有着本质的区别。

在计量规模时，行业口径同样存在层级差异：数千个注册账户不等于相同数量的真实工程师；数百万次API请求不等于相同数量成功清洗并最终入库的训练样本。要证明某种能力真正来自外部数据，必须在严格控制底座模型和训练算力的前提下，进行剔除外部数据的消融实验（Ablation Study）。

二、Kimi数据流转核查：Anthropic指控十天转发近30万次，“武器计划”与泄密传言仍缺实证

在用户数据流转层面，Anthropic于9月发布的报告第148至149页给出了月之暗面案例的调查叙述。

报告称，月之暗面曾在一个10天的特定时间窗口内，利用5,380个虚假账户构建的代理网络，将近30万条客户请求导入Anthropic后台，且绝大部分指定由顶配模型Claude Opus处理。Claude生成答案后，月之暗面将结果回传给终端用户，并截留了其中至少一部分数据，提取推理过程用于内部训练。

该报告描摹的数据流向为：用户提交数据至Kimi → 月之暗面通过分布式代理池分流至Claude → Claude输出回传用户，同时部分会话记录被留存并导入后续训练池。

但这份指控在统计口径上留有显著空白。近30万条仅衡量了10天内的转发总量；报告另称2026年5月至7月间归因于月之暗面的蒸馏交互超过2,300万次。Anthropic并未公布这两个数据集的交集与去重逻辑，外界无法测算客户真实请求在整体调用中的权重。更为关键的是，由于Kimi同期的全局请求总量（分母）未予公开，行业无法由此推算Kimi在线服务究竟有多少比例实际交由Claude代劳，更不能将该结论随意泛化至Kimi的全版本、本地部署版或全部入口。

报告重点列举了两项具有安全敏感性的典型案例：

• 安防监控分析案例：一名被Anthropic推断“大概率与军方关联”的用户，向Kimi提交了闭路电视监控（CCTV）档案，要求分析特定监控对象是否存在异常行径。报告描述，该资料涵盖成都数百个摄像头的采集流，点位包括部分涉军机构、科研院所及大型国企的“外部周边”。报告在认定使用者身份时明确使用了概率判断语式，且“设施外部摄像头”与“渗透内部核心监控网”存在明显的安全边界差异。
• 国企系统构建案例：一名大型国企软件工程师使用Kimi搭建企业内部系统，在提问中提交了多家企业的内部业务代码以及当时处于激活状态的系统访问凭据。报告未进一步披露企业名称、系统类型或凭据细节。

这两页指控的技术形态属于平台调查叙述，并未附带脱敏后的原始调用网络包、可核验的API调用日志或底层数据路由记录。在社交网络广泛流传的“黄线标记截图”，实为该报告第149页的文字原件截图，其性质是报告观点的二次传播，而非另一份能够交叉印证的独立泄密证据。

在用户知情权方面，Anthropic的表述亦存在前后落差：在总括段落中，报告表示“无法确认月之暗面是否告知了客户”；但在展开工程师案例时，又直接推定“终端用户对此毫无知情途径”。用户是否实际知情并授权数据转交，仍需核对特定产品入口、当时适用的合同条款及实际同意记录。

至于更具冲击力的“武器计划”说法，目前仅出自Axios在10月3日对贝森特的视频访谈。访谈实录显示贝森特确有此番表述，但相关采访段落未展示文件原件、涉密级别判定或数据调用凭证，亦未说明该表述与9月成都安防案例是否指向同一事件。10月12日Anthropic在跟进讨论系统防护时，所援引的事实支撑依然停留在9月报告中的监控案例。

从“安防监控与企业代码凭据”，到“武器研发计划”，再到舆论场中的“国家机密外泄”，证据链条存在多次关键跳跃；数据接收方在报告中明确为商业实体Anthropic，至于美方情报机构是否调取，目前缺乏任何证据闭环。与此同时，月之暗面9月12日已否认创始人及员工“被带走”的传言。10月12日晚，北京警方通报称，对编造“某科技公司多人被带走”信息的人员采取刑事强制措施；警方没有点名公司，科创板日报从相关人士处核实，对应此前月之暗面的谣言。该谣言的破除进一步提示：不可将网络情绪化的失实叙事，与严肃的跨国技术调查报告混为一谈。

三、代码与论文实证：从BELLE的200万条微调数据，到Kimi-Dev采纳5016条Claude轨迹

抛开争议指控，中国AI开发者是否在模型训练中利用过美国模型输出？答案是肯定的，且这一事实早已记录在公开的学术文献、开源代码仓库和模型权重库中。

一项有公开材料可查的百万级案例，是贝壳技术团队于2023年开源的BELLE项目。其论文详尽阐述了数据生产路径：研究人员将Stanford Alpaca的种子提示翻译为中文，利用ChatGPT生成大规模指令与回复数据。团队在Bloomz-7b1-mt基座上，系统性对比了20万、60万、100万与200万条合成数据的微调表现，并最终公开发布了结合200万条中文指令与5万条Alpaca数据的BELLE-7B-2M模型。

该项目的全套资产——包含200万行提示与答案的JSON数据集、LoRA及全量微调训练脚本、以及HuggingFace上的权重文件——至今均处于公开可下载状态。“中国团队利用百万级ChatGPT生成语料微调模型”，在学术与开源社区是具有完整证据支撑的既成事实。

与月之暗面直接相关的最明确技术证据，则见于Moonshot AI与清华等高校联合发布的垂直模型论文《Kimi-Dev》。该研究旨在打造适配长程软件工程的专业智能体，底座采用阿里开源的Qwen2.5-72B，通过大规模代码预训练、强化学习反馈机制，结合外部多轮工具调用完成代码修复。

论文第四节明确记录：在适配SWE-Agent的附加监督微调阶段，团队直接引入了开源社区SWE-smith提供的5,016条由Claude 3.7 Sonnet生成的完整软件工程代理轨迹（Agent Trajectories）。这些轨迹记录了Claude在定位Bug、调用终端、执行测试时的多轮操作与反馈过程。在这一适配设置下，Kimi-Dev在基准测评SWE-bench Verified上的最终单次修复成功率为48.6%。

这一记录确证了Claude的高质量推理轨迹被实际用于特定模型的后训练。但必须厘清两个边界：其一，Kimi-Dev是面向特定代码测试基准构建的研究型智能体模型，不能将这5,016条轨迹直接推导至通用商业基座（如Kimi K2、K3）的训练配方中；其二，数据集带有开源协议，不直接等同于上游服务商授予了商业模型训练许可，但单纯使用外部输出训练，也不足以认定已构成违法，仍需核对具体行为和适用规则。

四、平台指控升级：Anthropic披露阿里等五家数十万至亿级交互，但归因日志尚未穿透至底层权重

随着模型竞争白热化，海外模型提供商对API输出的封堵，从早期的防爬虫升级为针对工业化提取的大规模威胁情报追踪。

2026年2月23日，Anthropic首次对外集中指责三家中国厂商开展系统性蒸馏，称其动用约2.4万个虚假账户发起逾1,600万次交互（其中DeepSeek逾15万次、月之暗面逾340万次、MiniMax逾1,300万次），通过逆向提示批量提取推理思维链和编码动作。

在9月10日的报告中，Anthropic进一步扩大了监控范围，并给出了具体的时间窗口与调用量统计：

被指控机构	观察时间窗口	报告披露的交互总量
阿里巴巴	2026年5—7月	> 1.51亿次
月之暗面	2026年5—7月	> 2,300万次
DeepSeek	2026年7月中的14天	> 1,210万次
智谱 AI	2026年6—7月（17天）	> 340万次
小米	2026年3—4月（20天）	> 40万次

这份数据展现出高强度的工业化调用特征。平台方拥有直接承载流量的网络特权，掌握请求IP聚类、支付链路关联、调用频次突变等第一手反欺诈凭证。报告揭示的“同一代理中转层同时承接多家机构流量”、“利用自动化脚本规避速率限制”等技术细节，具备很高的情报可信度。

但从威胁情报到可独立复核的训练归因，中间仍存在关键的技术断点。报告虽然披露了部分特征指纹与脱敏提示词，但未随附特定商业公司账户与底层请求的端到端调用日志。其配套公布的209条威胁指标（IoC）记录主要用于网络防御，其中没有蒸馏章节各公司对应的活动编号，不能据此补成公开的蒸馏归因日志；各家观察窗口也不同，交互量不能合计为有效训练样本总量。

OpenAI方面则构成了平行的指控线。其在2026年2月提交给美国国会的备忘录中指出，发现与DeepSeek员工关联的账户通过伪装来源的第三方网关批量提取模型输出；此前公开的OpenAI来函摘录另涉及提取推理、为回答评分及过滤、转换训练数据。

9月30日，OpenAI进一步披露了一起针对“未公开内部隐藏思维链（Hidden CoT）”的批量提取事件：7月24日至25日，超过4,000个用户密集发起了约1.6万次高度特化的探测，试图诱导模型转写隐藏的深层推理逻辑；后续关联排查发现涉及用户总数超过1.5万个。但OpenAI在披露中作出了审慎限定：这些数字统计的是“提取尝试”，未必成功；平台表示未发生数据库入侵或加密算法被破解；其最终仅将其中一个核心集群归因于与月之暗面存在关联的个人，而非将全部异常流量归于单一实体。

此外，官方文件的技术严谨性同样需要交叉检验。例如在2026年9月8日，美国国家安全局（NSA）、网络安全和基础设施安全局（CISA）与联邦调查局（FBI）联合发布的预警通报中，将DeepSeek在“2024年末至2025年中”的活动与Claude Sonnet 4.5、Opus 4.1及GPT-5并列。然而公开记录显示，这三款模型官方发布于2025年8月至9月之间。这种时间维度的倒挂，使该段无法直接作为精确的型号时间证据；它削弱的是这一具体表述的可靠性，其他平台调查仍需逐案评估。

五、第三方逆向检测：行为重合实验能测出提示响应，但难以排除标准答案与基底巧合

在模型权重未完全白盒开源的前提下，学术界尝试通过黑盒输出相似度与条件概率分布，来逆向捕捉大模型之间的“血缘关系”。但近期的学术争论表明，此类检测极易受到误归因的干扰。

2026年8月发布的预印本研究《Stolen Thoughts》设计了一套对比实验：研究者选取30道复杂综合试题，将Claude Opus 4.8解题思维链最前端1%的内容作为固定前缀，喂给Kimi K3进行续写，并对比其后续输出与Claude原答案在词元（Token）层面的重合率。

结果显示，在30道题中的29道，加入Claude前缀后Kimi续写答案的n-gram重合度上升；理工科测试组的平均指标从0.160上升至0.305，非理工科测试组从0.203上升至0.289，两组差异在多重检验校正后仍显著。这一实验捕捉到了显著的“行为兼容性”——即输入特定教师的解题线索，能使模型可见答案出现更高的文字重合。该测试衡量答案开头100个Token中连续一至三个Token片段的局部重合，且每题结合了抽样1、10、50、100次时最高重合度的结果，不能解释为日常回答中有30.5%的内容直接抄袭；且后续风格分类器能轻易将Kimi与真正的Claude区分开来，因此无法据此直接坐实因果训练关系。

紧随其后的《AuxMark》研究进一步揭示了该检测方法的局限。研究团队对部分公开例题采用Kimi K2.6及开源模型GPT-OSS-120B复测；这里的K2.6与原实验的K3并非同一版本。每组四次采样的结果显示：

• 在一道经典几何题中，给Kimi K2.6输入带有教师倾向的开头时最高重合度为0.565，但换成非教师前缀（“This is an unfamiliar”），最高重合度反而飙升至0.662；
• 在具有标准化解题步骤的微分方程题目中，即使不提供教师前缀，GPT-OSS-120B自发生成的答案平均重合度也约为0.50。

这表明，大模型在面对高度特化的数学与逻辑任务时，输出的相近也可能来自解题路径本身的标准性，以及多次采样提高最高相似度的统计特性，不能简单等同于模型内部存在直接的蒸馏继承。

在白盒概率检测领域，另一项名为《DistillDetect》的研究分析了开放权重模型在预测教师答案时的交叉熵损失。作者从24个受控蒸馏模型中保留19个能力改善的学生；在已知真正教师包含在候选列表的排名任务中，19个教师全部排对。另一项实验判断候选名单中是否存在真正教师，把19个学生、两套测试题及教师在场和缺席两种状态组成76个测试单元。设定判断门槛时只排除待测学生，准确率为82.9%；把待测教师家族的全部案例排除在门槛校准之外，准确率为60.5%。在后一条件下，移除真正教师后，19个学生中有5个仍被显著指向其他候选。排名和教师在场判定是两种任务，不能把100%与60.5%写成同一准确率的下降。在针对DeepSeek R1的实测中，该算法在两个不同的基准测试集上，分别将第一嫌疑人归为阿里的QwQ和OpenAI的o1，这些随测试集变化的诊断性排名不能直接认定教师身份；该方法读取开放权重模型的概率，并非纯黑盒输出比较。

至于日常交互中偶然出现的“我是由Anthropic开发的助手”等身份错认，一篇发表于ACL 2025的身份识别论文指出，角色扮演和诱导提示也能制造身份矛盾。这类回答只能作为进一步核查的线索，不能独立确定训练来源。秘密水印（Watermark）则须事先植入教师输出并校准误报，普通身份自称不具备这种来源标记。

六、能力来源拆解：外部示范难以逆推旗舰占比，强化学习与自蒸馏构成自主训练基本盘

大模型能力究竟来自何处？现代大语言模型的工程范式表明，外部高质量数据示范与核心自主研发体系并非非此即彼，而是在复杂管线中协同发挥作用。

在《Kimi-Dev》论文中，研究人员对比了四类使用同一批5,016条Claude轨迹作为样本池的学生模型。实验表明，在不同微调Token预算的绝大多数设置中，预先完成代码强化学习（RL）的学生模型取得了更好结果；不同训练经历的学生利用同一批示范的效果存在差别。这证明外部优质示范更像是催化剂，其实际转化效率高度依赖研发团队在基座预训练和强化学习对齐算法上的自主积淀。

10月12日Anthropic公布的内部实验同样印证了数据形态的边际效应：使用Opus 4.8的完整思维链训练自家Claude学生，在SWE-bench Verified基准上的得分（80.4%）比使用摘要推理轨迹（71.8%）高出8.6个百分点。该实验揭示了完整推理过程的高信息密度，但这一属于Anthropic内部闭环的消融数据，无法通过任何数学公式机械折算为中国厂商模型的能力来源占比。

纵观中国头部厂商的技术报告，真实的研发拼图呈现出高度多元的自蒸馏与合成管线：

• 月之暗面在Kimi K2至K3的研发说明中，详细记录了利用前代模型、内部异构专家模型进行多教师协同蒸馏的体系；
• DeepSeek在其正式技术报告中全面披露了自蒸馏架构，其对外开源的系列蒸馏模型（如DeepSeek-R1-Distill-Qwen/Llama）明确以自家R1为教师，再训练Qwen、Llama系列的学生底座；
• MiniMax在M2报告中披露了Agent训练的轮换教师机制，但未点名教师；M3训练内容摘要另行列出自有M2.7模型生成合成数据。

这表明，大语言模型的能力跃迁是一个由海量无标注数据预训练、超大规模合成数据过滤、人类意图对齐、强化学习自博弈（Self-Play）以及多阶段知识蒸馏交织构成的系统工程。在当前没有企业全量开源训练集群日志与权重消融记录的现实下，断言某款旗舰模型的整体能力有“百分之多少来自美国模型”，在科学与工程上均无法立论。

综合所有公开实证，当前围绕该争议可归纳为三项明确结论：

其一，微调实证确凿存在。中国开发团队曾在学术探索与特定工程模型中采纳ChatGPT及Claude的输出作为微调语料，BELLE开源项目的200万条合成数据与Kimi-Dev论文中的5,016条Claude轨迹均属公开确凿事实。

其二，工业级调用指控具备平台第一手证据，但无法推算旗舰模型的外部依赖度。Anthropic给出的千万乃至亿级交互统计，以及OpenAI另行披露的批量提取活动，指向工业化的数据采集尝试，但由于缺乏将流量逐笔穿透至模型最终权重的公开记录，外界尚无法对商业旗舰模型的外部依赖性进行量化定性。

其三，用户数据转交与“武器计划”指控缺乏客观证据闭环。关于Kimi转交敏感资料的说法，本质是服务商发布的单方调查叙述，核心底层数据链未向公众开放；Axios访谈提及的“武器计划”孤证尚无第三方或技术凭据支撑；而公司人员“被带走”的传言，已有警方匿名通报及媒体对应核实的辟谣进展。对大模型技术流动的审视，仍需回归到以可验证代码、权重与真实调用日志为准绳的理性轨道上。