蒸餾攻擊：被複製的 AI 模型對你意味著什麼

「蒸餾」在機器學習中原本是個客氣的字眼，指的是訓練小模型模仿大模型，一種標準且實用的技術。2026 年 9 月與 10 月，它成了一則資安與貿易新聞。如果你為行銷採購或打造 AI，兩種含義都應該了解。

發生了什麼事

9 月初，CISA、NSA 與 FBI 發布聯合公告，針對他們所稱由中國 AI 公司進行的工業規模知識蒸餾。根據 Help Net Security 對該公告的報導，這些機構點名了 DeepSeek、Moonshot AI、Alibaba Group、MiniMax、StepFun 與 Z.AI，稱其至少自 2024 年底起，透過對美國前沿模型發出數百萬次請求，擷取了數十億個 token。公告列出了偵測訊號，例如全天候、沒有人類閒置時間的使用模式，以及協同行動的帳號群，並建議加強身分驗證、監控以及 AI 供應商之間的資訊分享。報導指出，其中並未收錄被點名公司的回應。

10 月 12 日，Anthropic 說明了自己的應對措施。在 Strengthening our defenses against distillation attacks 一文中，它表示初步證據顯示，其方法已讓蒸餾者擷取的資料減少約 90% 至 99%。這些措施包括：禁止較新的 API 帳號編輯 Claude 先前的推理內容；一個以擷取嘗試訓練、誤判率低於 0.1% 的兩階段分類器；對重複嘗試施加更嚴格的限制與停權；以及對被防護機制攔截的請求收費。Anthropic 表示已停用數萬個與蒸餾相關的帳號，並預期這將是一場持續的「貓捉老鼠遊戲」。

為何重要

行銷人應該關心 AI 實驗室之間的這場角力，原因有二。

第一是供應鏈風險。如果一個模型是在未經許可下複製另一個模型的行為而建成，你無從得知它附帶了哪些防護措施。Anthropic 的文章主張，蒸餾而來的模型可能接近前沿能力，但防護卻較薄弱。當你選擇模型來處理客服或產生廣告時，來源本身就是品質的一部分。

第二是對正當使用者造成的摩擦。防禦是有代價的。Anthropic 承認，部分開發者必須更新整合，一小部分無害的請求可能被攔截，而被攔截的請求如今也可能被收費。如果你的行銷技術堆疊大量自動呼叫前沿 API，部分流量可能看起來就像一場擷取行動。現在就去讀供應商的政策，別等到流程斷掉才讀。

我的研究怎麼說

蒸餾在這裡並不是反派。以正當方式進行時，它正是讓 AI 變得負擔得起的方法：大模型教小模型，小模型以低成本大規模運行。我曾在 Forbes 主張，在行銷中技術比模型大小更重要，而蒸餾正是其中一項技術。

改變局面的是同意與透明。我在可解釋 AI 上的研究，始於一個簡單的原則：行銷人應該能看出系統為何做出某項建議。在 Against Opacity（ACM Multimedia 2023）中，我們將點擊率預測與一個解釋驅動因素的大型語言模型助理結合。在 SOMONITOR（2024 年預印本）中，我們描述了如何將可解釋的成效模型與大型語言模型結合，用於競品分析。唯有當你知道模型是什麼、從何而來，解釋才有意義。

這裡還有一個值得留意的諷刺。Anthropic 所描述的防禦——對模型完整推理內容加以摘要或限制存取——會讓系統對所有人都變得稍微不透明，因為推理正是複製者想要的東西。這項取捨將影響 AI 廠商願意揭露多少解釋。採購者應要求為他們設計、關於他們的資料與決策的解釋，而不是原始的推理軌跡。

行銷 AI 的採購者現在該做什麼

• 詢問每一家廠商，其產品底層使用哪些模型，以及這些模型從何而來。
• 檢查你所呼叫 API 的使用條款。自動化、大量使用在行銷中很常見；確保你的使用明確正當、可識別且在限制之內。
• 為更換模型預作規劃。政策、價格與存取權限可能迅速改變。讓提示、流程與評估資料集保持可攜。
• 以正當方式蒸餾自己的模型。如果你需要一個用於狹窄任務的低成本模型，請用自己的資料或你獲授權使用的產出來訓練。
• 比起揭露內部機制，更應要求對決策的解釋。你需要稽核的，是某項建議為何會針對你的廣告活動提出。

蒸餾之爭關乎誰能複製誰。對行銷人來說，這提醒我們：「用哪個模型？」如今是治理問題，而不只是技術問題。

常見問題