蒸馏攻击：被复制的 AI 模型对你意味着什么

“蒸馏”在机器学习中曾是一个温和的词，指训练一个小模型去模仿一个大模型，是一种标准且有用的技术。2026 年 9 月和 10 月，它变成了一个关乎安全与贸易的话题。如果你采购或开发用于营销的 AI，就应当同时理解它的两层含义。

发生了什么

9 月初，CISA、NSA 与 FBI 联合发布公告，针对他们所称的中国 AI 公司进行的工业化规模知识蒸馏。根据 Help Net Security 对该公告的报道，这些机构点名了 DeepSeek、Moonshot AI、Alibaba Group、MiniMax、StepFun 和 Z.AI，称其至少自 2024 年底以来，通过向美国前沿模型发出数百万次请求，提取了数十亿个 Token。公告列出了若干识别信号，例如全天候使用、没有人类的空闲时段，以及成批账户协同行动，并建议加强身份核验、监控以及 AI 提供方之间的信息共享。报道指出，其中未包含被点名公司的回应。

10 月 12 日，Anthropic 介绍了自己的应对措施。在Strengthening our defenses against distillation attacks一文中，它表示初步证据显示，其方法已使蒸馏者获取的数据减少约 90% 至 99%。这些措施包括：禁止较新的 API 账户编辑 Claude 先前的推理内容；一个基于提取尝试训练、误报率低于 0.1% 的两阶段分类器；对屡次尝试者实施更严格的限制和封禁；以及对被其安全机制拦截的请求收费。Anthropic 称已封禁数万个与蒸馏相关的账户，并预计这将是一场持续的“猫鼠游戏”。

为什么重要

营销人员之所以应当关注 AI 实验室之间的这场较量，有两个原因。

第一是供应链风险。如果一个模型是在未经许可的情况下复制另一个模型的行为而构建的，你就无从知道它随之带来了哪些安全机制。Anthropic 的文章指出，蒸馏模型可以逼近前沿能力，却只配备较弱的防护。当你选择一个模型来运行客户服务或生成广告时，来源本身就是质量的一部分。

第二是对正当用户造成的摩擦。防御是有代价的。Anthropic 承认，一些开发者不得不更新集成；一小部分正常请求可能被拦截；被拦截的请求如今也可能被收费。如果你的营销技术栈对前沿 API 进行大量自动化调用，其中部分流量可能看起来就像一场提取行动。现在就去阅读供应商的政策，别等到你的流程中断之后。

我的研究怎么看

蒸馏本身并不是反派。以正当方式进行时，它正是让 AI 变得可负担的方法：大模型教小模型，小模型低成本地规模化运行。我曾在 Forbes 上主张，在营销中技术比模型大小更重要，而蒸馏正是其中一种技术。

改变局面的是同意与透明。我在可解释 AI 方面的工作始于一个简单的原则：营销人员应当能看到系统为何作出某项推荐。在Against Opacity（ACM Multimedia 2023）中，我们将点击率预测与一个解释驱动因素的大语言模型助手结合起来。在SOMONITOR（2024 年预印本）中，我们描述了如何将可解释的效果模型与大语言模型结合用于竞品分析。只有当你知道模型是什么、从何而来时，解释才有意义。

还有一个值得注意的讽刺之处。Anthropic 所描述的防御——对模型的完整推理进行摘要或限制访问——会让系统对所有人都变得稍微不那么透明，因为推理过程恰恰是复制者想要的。这种取舍将决定 AI 供应商愿意公开多少解释。采购方应当要求为自己设计的解释——关于自己的数据和自己的决策——而不是原始的推理轨迹。

营销 AI 的采购方现在应该做什么

• 询问每一家供应商：其产品底层使用了哪些模型，这些模型又来自哪里。
• 检查你所调用 API 的条款。自动化、大批量使用在营销中很常见；确保你的使用明确正当、身份可识别，并处于限额之内。
• 为更换模型做好准备。政策、价格和访问权限都可能迅速变化。让提示词、流程和评估集保持可移植。
• 以正当方式蒸馏你自己的模型。如果你需要一个低成本模型来完成某项特定任务，就用你自己的数据，或用你获授权使用的输出来训练它。
• 优先要求对决策的解释，而不是对内部机制的暴露。你需要审计的，是某条推荐为何针对你的广告活动而作出。

蒸馏之争关乎谁可以复制谁。对营销人员而言，它提醒我们：“用哪个模型？”如今已是一个治理问题，而不仅是技术问题。

常见问题