检测与防御蒸馏攻击：Anthropic 揭露中国 AI 实验室大规模窃取行动
原标题： Detecting and Preventing Distillation Attacks 发布日期： 2026年2月23日 原文链接： https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks
一句话摘要
Anthropic 披露深度求索（DeepSeek）、月之暗面（Moonshot）和 MiniMax 三家中国 AI 实验室通过约24,000个欺诈账户、超过1600万次交互对 Claude 进行大规模非法蒸馏攻击的详细情况，揭示了 AI 能力窃取的系统性威胁。
完整核心内容翻译
总览
Anthropic 识别出三家中国 AI 实验室——深度求索（DeepSeek）、月之暗面（Moonshot AI）和 MiniMax——发起的大规模攻击活动，试图通过非法蒸馏提取 Claude 的能力。这些行动通过约 24,000个 欺诈账户产生了超过 1600万次 交互，违反了 Anthropic 的服务条款和地区访问限制。
什么是蒸馏？
蒸馏是指使用更强模型的输出来训练能力较弱的模型。虽然合法用途包括创建更小、更经济的版本，但竞争对手利用这一技术以最低成本快速获取高级能力，远低于独立开发的投入。
安全影响
非法蒸馏的模型缺乏关键的安全保障措施，构成国家安全风险。Anthropic 及其他美国公司在模型中嵌入了防止被用于生物武器开发或恶意网络行动的保护机制。剥离了这些保护的蒸馏模型使威权政府能够部署前沿 AI 用于攻击行动、虚假信息传播和监控活动。
各实验室攻击详情
深度求索（DeepSeek）——超过 150,000 次交互：
- 目标：推理能力、基于评分标准的强化学习评分，以及政治敏感查询的"审查安全替代方案"
- 特征：同步流量、相同模式、共享支付方式，显示出有协调的负载均衡
月之暗面（Moonshot AI）——超过 340万次交互：
- 目标：智能体推理、工具使用、编程、计算机使用智能体开发和计算机视觉
- 手段：在多个访问路径上部署数百个欺诈账户，后期尝试提取推理链（reasoning traces）
MiniMax——超过 1300万次交互：
- 目标：智能体编程和工具编排
- 特点：在攻击活动仍在进行中被检测到——在模型发布之前——展示了对攻击生命周期前所未有的可见性
访问方法
这些实验室使用商业代理服务绕过地区限制，采用"九头蛇集群"（hydra cluster）架构：由庞大的欺诈账户网络组成，在 API 和云平台之间分配流量。一个代理网络同时管理着 20,000个以上 的欺诈账户，将蒸馏流量与无关请求混合以掩盖行为。
检测模式
蒸馏攻击通过独特的模式显现：集中在狭窄能力范围内的大量请求、高度重复的提示结构，以及直接映射到训练价值的内容。单个提示看起来可能完全无害；但在数百个账户之间的协调重复揭示了真实意图。
应对策略
Anthropic 的防御体系包括：
- 检测系统： 分类器和行为指纹识别，在 API 流量中识别攻击模式，包括思维链诱导
- 情报共享： 向其他 AI 实验室、云服务商和相关当局分发技术指标
- 访问控制： 加强教育账户、安全研究项目和初创企业的验证
- 反制措施： 产品、API 和模型层面的保障措施，降低输出对非法蒸馏的效用
出口管制影响
蒸馏攻击破坏了旨在维护美国 AI 优势的出口管制。如果缺乏对这些行动的可见性，外国实验室的快速进步将表现为自主研发成果，而非依赖于从美国系统中提取的能力。扩大这些攻击需要先进的芯片资源，这反过来证实了出口管制的合理性。
Anthropic 强调，没有任何一家公司能独自解决这个问题——需要行业、云服务商和政策制定者的协调应对。
技术要点
- "九头蛇集群"攻击架构： 攻击者使用商业代理服务构建庞大的欺诈账户网络（单个网络管理 20,000+ 账户），将蒸馏流量混入正常请求，在 API 和云平台间分散以规避检测
- 行为指纹识别检测： 单个请求看似无害，但通过分析跨账户的协调重复模式、狭窄能力聚焦和高度结构化的提示来识别攻击意图
- 推理链提取（Reasoning Trace Extraction）： 月之暗面后期尝试提取模型的推理链，说明攻击者不仅要输出结果，更要获取模型的"思考过程"以用于强化学习
- 攻击生命周期实时可见性： MiniMax 的攻击在模型发布前被发现，展示了从攻击策划到执行的全生命周期监控能力
- 多层防御体系： 涵盖检测（行为分析）、情报（跨机构共享）、访问（身份验证强化）和反制（降低蒸馏输出效用）四个层面
深度解读
这篇文章是 Anthropic 迄今发布的最具地缘政治色彩的技术报告。它不仅是一份安全事件披露，更是一份关于 AI 能力窃取如何威胁国家安全的战略文件。
攻击规模令人震惊。 三家实验室合计通过 24,000 个欺诈账户产生了 1600 万次交互。其中 MiniMax 独占 1300 万次，这不是零星的"试探性"行为，而是工业化的、系统化的能力提取行动。这种规模意味着背后有大量的基础设施投入——代理网络、支付渠道、账户管理系统——这不是几个工程师的个人行为，而是组织级别的战略决策。
DeepSeek 的"审查安全替代方案"请求尤为值得关注。 报告指出 DeepSeek 不仅提取通用推理能力，还特别要求 Claude 提供政治敏感查询的"审查安全替代方案"。这表明蒸馏的目标不仅仅是获取技术能力，还包括学习如何绕过自身的政治审查限制——即利用美国 AI 模型的"自由"来增强自身模型在敏感话题上的能力，同时保持政治合规。
对"自主研发叙事"的直接挑战。 报告中最具杀伤力的论点之一是：如果没有对蒸馏攻击的可见性，外国实验室的快速进步将被归因于自主研发能力。换言之，Anthropic 在暗示——某些被广泛报道为"自主突破"的进展，可能在很大程度上依赖于从美国前沿模型中系统性提取的能力。
检测与反制的技术博弈。 蒸馏攻击的检测面临根本性挑战：单个请求可能完全合法（例如"请解释量子计算原理"），只有在大规模跨账户的模式分析中才能识别攻击意图。这要求防御方建立复杂的行为分析系统，而攻击方则会不断优化其流量模式以规避检测。这是一场持续的"猫鼠游戏"。
行业协调的必要性。 Anthropic 明确指出没有任何一家公司能独自解决这个问题。攻击者会在不同平台之间转移——如果 Anthropic 加强防御，他们可能转向 OpenAI 或 Google。只有当整个行业、云服务商和政策制定者形成协调响应时，防御才能真正有效。
延伸思考
- 蒸馏的灰色地带： 使用一个模型的输出来训练另一个模型，在什么条件下是合法的"技术学习"，什么条件下是非法的"知识产权窃取"？现有的法律框架是否足以界定这一边界？
- 开源模型的悖论： Anthropic 主张保护其闭源模型免受蒸馏，但开源社区认为知识应当自由流动。如何在商业保护和技术民主化之间取得平衡？
- 出口管制的有效性： 如果通过蒸馏就能大规模提取前沿能力，那么仅仅限制芯片出口是否足够？是否需要对 AI 模型本身实施更严格的访问控制？
- 安全保障的"可蒸馏性"： 蒸馏模型缺乏原始模型的安全保障措施——但安全保障本身是否也可以被蒸馏？如果可以，非法蒸馏是否仍然是安全威胁？
- 地缘政治升级的风险： 公开点名三家中国公司的做法是否会加剧中美 AI 领域的对抗？这种公开披露的策略利弊如何权衡？