七家国产 AI 偷偷蒸馏，被 Anthropic 点名！

作者：Biteye 核心贡献者 Denise

Anthropic 又一次把中国 AI 公司写进了威胁情报报告。

9 月 10 日，Claude 的开发商 Anthropic 发布最新报告，点名阿里巴巴、月之暗面、DeepSeek、智谱、小米、商汤和 MiniMax 七家公司，指控它们开展未经授权的模型蒸馏活动。

其中规模最大的一项涉及阿里：Anthropic 称，今年 5 月至 7 月，它观察到可归因于阿里的超过 1.51 亿次交互，用于提取 Claude 的推理能力。

另一部分指控则直接关系到用户：Anthropic 称，月之暗面和 DeepSeek 曾把部分用户请求转交给 Claude，再把 Claude 的回答返回给用户；还有公司被指将用户对话用于生成训练数据。

当然这些都是 Anthropic 公布的调查结论。

01 先看这份报告讲了什么

整份报告覆盖的是 2025 年 12 月至 2026 年 8 月间，Anthropic 称其发现并阻断的 AI 滥用活动，涉及网络攻击、监控、舆论影响、诈骗、生物领域滥用、常规武器开发和蒸馏七类问题。

报告的一个主要观察是，攻击者越来越多地让 AI 直接执行、协调任务。

例如，自动推进网络入侵，或运营大量虚假交友账号。

与国产模型直接相关的，是最后的蒸馏章节。七家公司被指控的行为如下：

这些数字都是 Anthropic 的统计，观察时间不同，不能直接当作同一时期的使用量排名。

02 “蒸馏”为什么会被加上“非法”两个字？

可以把蒸馏理解成让一个模型跟着另一个模型学做题：先让能力较强的“老师模型”生成答案或解题过程，再用这些材料训练“学生模型”，让它学会类似的处理方式。

蒸馏本身是常见训练方法。Anthropic 在这份报告里也明确承认这一点。

它所称的“非法蒸馏”，具体指未经授权、隐蔽开展、达到工业规模的能力提取活动。按报告描述，相关活动可能借助代理“中转站”、虚假账号或被盗凭证绕过访问限制，再大量收集模型输出。

这次争夺的重点是模型的推理过程。最终答案告诉学生“这道题选什么”，推理过程还能提供“怎样分析和完成任务”的训练材料。Anthropic 称，相关活动主要针对编程、工具调用、数据分析和长流程任务等能力。

因此，判断争议需要看数据从哪里来、访问是否得到授权、是否绕过限制，以及用户是否知情。仅凭“使用了蒸馏技术”，无法判断一家公司的具体行为是否违法。

03 用户数据为什么也卷了进来？

按照报告的说法，部分月之暗面和 DeepSeek 用户以为自己的请求交给了所选模型，实际却被转发给 Claude。

如果指控成立，用户就需要追问：自己的信息经过了哪些服务商，又是否被用于模型训练？

不过，原文对用户是否得到通知的表述有不同确定程度。

例如，月之暗面一节写的是，Anthropic 不知道该公司是否通知了客户。

Anthropic 还提出了安全层面的担忧：提取模型能力，不一定会把原模型的安全限制一起复制过去。这是它将蒸馏放进威胁报告的理由之一。

其披露的应对措施包括检测异常提取行为、封禁相关账号、以摘要替代完整推理内容，以及加强身份验证。

04 被点名公司和业内怎么回应？

截至 2026 年 9 月 11 日本文资料核验时，尚未找到七家公司针对这份九月报告的可核实正式回应。

业内此前已有公开讨论。下面这些表态均早于九月报告，属于争议背景。

7 月 24 日，微软发布了一封由 Hugging Face、Meta、Mistral、英伟达等企业共同签署的公开信。

信中主张，政策制定者应区分正常的模型开发技术与不当侵占：蒸馏是广泛使用的模型改进方法；非法提取闭源模型价值引发的问题，应通过有针对性的法律和商业规则处理，不应扩大成对技术的一刀切限制。

技术层面也存在分歧。

7 月 23 日，TechCrunch 在讨论 Kimi K3 的蒸馏争议时，引用 AI 研究者 Nathan Lambert 的观点：随着模型更接近前沿、训练重心转向强化学习，仅靠监督微调式蒸馏，很难解释全部能力提升。

Laude Institute 研究者、Snorkel AI 联合创始人 Braden Hancock 也认为，美国舆论低估了中国团队的技术实力。

这些观点讨论的是蒸馏的技术作用与监管边界，并没有逐项核验九月报告的指控。接下来仍需关注，被点名企业是否回应具体账号和数据来源，用户请求是否被转发，以及相关训练数据如何获得授权。

05 写在最后

蒸馏本身不是原罪，正常的技术借鉴与未经授权的大规模能力提取，也不能混为一谈。

目前，外界看到的仍主要是 Anthropic 的单方面调查结论，被点名企业尚未公开回应关键细节。1.51 亿次交互如何归因、用户请求是否经过授权转发、哪些对话被用于训练，都需要更多证据和当事公司的解释。

对普通用户来说，这场争议并不遥远。当我们把代码、商业资料甚至私人对话交给一个 AI 时，背后处理信息的可能不只是页面上显示的那个模型。

AI 公司争夺的是下一代模型的能力，但被卷入其中的，可能是每一个人的数据。

当一次对话在用户不知情的情况下被转发、储存甚至用于训练，我们或许需要重新追问：在 AI 的输入框前，我们究竟是使用产品的用户，还是训练产品的原料？