«Дистилляция» когда-то была в машинном обучении безобидным словом. Так называли обучение малой модели подражанию большой — стандартный и полезный приём. В сентябре и октябре 2026 года это стало темой безопасности и торговли. Если вы покупаете или создаёте ИИ для маркетинга, стоит понимать оба значения.
Что произошло
В начале сентября CISA, NSA и FBI опубликовали совместное предупреждение о том, что они называют промышленной дистилляцией знаний со стороны китайских ИИ-компаний. Согласно материалу Help Net Security о предупреждении, ведомства назвали DeepSeek, Moonshot AI, Alibaba Group, MiniMax, StepFun и Z.AI и заявили, что те как минимум с конца 2024 года извлекли миллиарды токенов через миллионы запросов к передовым моделям США. В предупреждении перечислены признаки для обнаружения — например, круглосуточное использование без пауз, характерных для человека, и пулы аккаунтов, действующих согласованно, — и рекомендованы более строгая проверка личности, мониторинг и обмен информацией между ИИ-провайдерами. В материале отмечается, что заявлений названных компаний он не содержит.
12 октября Anthropic описала свои ответные меры. В публикации Strengthening our defenses against distillation attacks компания сообщила, что, по первым данным, её методы сократили объём данных, собираемых дистилляторами, примерно на 90–99%. Среди мер — запрет новым API-аккаунтам редактировать предыдущие рассуждения Claude, двухэтапный классификатор, обученный на попытках извлечения, с долей ложных срабатываний ниже 0,1%, более жёсткие лимиты и баны за повторные попытки, а также плата за запросы, заблокированные защитными механизмами. По словам Anthropic, она заблокировала десятки тысяч аккаунтов, связанных с дистилляцией, и ожидает продолжения «игры в кошки-мышки».
Почему это важно
Есть две причины, по которым маркетологу стоит интересоваться борьбой между ИИ-лабораториями.
Первая — риск цепочки поставок. Если модель создана копированием поведения другой модели без разрешения, вы не знаете, какие защитные механизмы ей достались. Anthropic утверждает, что дистиллированные модели могут приближаться к передовым по возможностям, при этом поставляясь с более слабой защитой. Когда вы выбираете модель для клиентского сервиса или генерации рекламы, происхождение — часть качества.
Вторая — трение для добросовестных пользователей. У защиты есть цена. Anthropic признаёт, что некоторым разработчикам пришлось обновить интеграции, что небольшая доля безобидных запросов может блокироваться и что за заблокированные запросы теперь может взиматься плата. Если ваш маркетинговый стек делает много автоматических обращений к передовому API, часть этого трафика может выглядеть как кампания по извлечению. Прочитайте правила своих провайдеров сейчас, а не после того, как сломается пайплайн.
Что говорят мои исследования
Дистилляция здесь не злодей. В добросовестном виде именно так ИИ становится доступным. Большая модель учит малую; малая дёшево работает в масштабе. Я писал в Forbes, что в маркетинге техника важнее размера модели, и дистилляция — одна из таких техник.
Картину меняют согласие и прозрачность. Моя работа по объяснимому ИИ исходит из простого принципа: маркетолог должен видеть, почему система что-то рекомендует. В Against Opacity (ACM Multimedia 2023) мы объединили прогнозирование CTR с LLM-ассистентом, объясняющим его факторы. В SOMONITOR (препринт 2024 года) мы описали сочетание объяснимых моделей эффективности с LLM для аналитики конкурентов. Объяснения что-то значат, только если вы знаете, что это за модель и откуда она взялась.
Стоит заметить и иронию. Описанная Anthropic защита — сокращение или ограничение доступа к полным рассуждениям модели — делает системы чуть менее прозрачными для всех, потому что именно рассуждения нужны копировщикам. Этот компромисс определит, сколько объяснений ИИ-вендоры будут готовы раскрывать. Покупателям стоит требовать объяснений, созданных для них, — о их данных и их решениях, — а не сырых следов рассуждений.
Что покупателям маркетингового ИИ делать сейчас
- Спрашивайте каждого вендора, какие модели лежат в основе продукта и откуда они взялись.
- Проверьте условия API, которые вы вызываете. Автоматическое массовое использование в маркетинге — норма; убедитесь, что ваше явно добросовестно, идентифицировано и в пределах лимитов.
- Планируйте смену модели. Правила, цены и доступ могут быстро меняться. Держите промпты, процедуры и наборы для оценки переносимыми.
- Дистиллируйте собственные модели добросовестно. Если нужна дешёвая модель для узкой задачи, обучайте её на своих данных или на результатах, которые вы вправе использовать.
- Предпочитайте объяснения решений раскрытию внутренностей. Аудиту подлежит то, почему для вашей кампании была дана та или иная рекомендация.
Борьба вокруг дистилляции — о том, кому позволено копировать кого. Для маркетологов это напоминание, что вопрос «какая модель?» теперь вопрос управления, а не только технический.
Частые вопросы
Что такое атака дистилляции на ИИ?
Это скрытая масштабная кампания, которая извлекает возможности модели через запросы к ней — часто через сети мошеннических аккаунтов — и использует ответы для обучения другой модели без разрешения исходного разработчика.
Какие компании назвало американское предупреждение?
Согласно материалу Help Net Security, в предупреждении CISA, NSA и FBI названы DeepSeek, Moonshot AI, Alibaba Group, MiniMax, StepFun и Z.AI. Ответа компаний в материале не было.
Всегда ли дистилляция моделей — это плохо?
Нет. Дистилляция — стандартный приём обучения меньшей и более дешёвой модели на основе большей. Проблема — в несанкционированном извлечении из чужой модели, которое ставит вопросы о согласии, защите и происхождении.
Источники
- Chinese AI firms are siphoning capabilities from American models, CISA warns — Help Net Security, 9 September 2026
- Strengthening our defenses against distillation attacks — Anthropic, 12 October 2026