Anthropic 点名智谱和月之暗面，AI 蒸馏之争升级了
Anthropic（Claude模型研发方）于 2026 年发布报告，指责中国AI实验室智谱(Zhipu) 和月之暗面(Moonshot AI) 等公司通过大规模的“蒸馏攻击”偷取其前沿模型能力。
报告强调，蒸馏攻击真正想要的是模型的“思考过程”（chain of thought），这比最终答案有价值得多。
Anthropic在报告里披露了一套三层防御措施，并称这些方法已将被盗取的模型推理信息量减少了约90%–99%。
下文的数字和案例几乎都来自Anthropic自己的报告和自监测数据，是单方面说法，未经独立验证。
这篇我们逐层拆一拆报告的要点，引入相关背景资料和案例，看看事件对行业和投资者有什么启示，再列出后续应该关注的问题。
Anthropic 这次到底说了什么？
Anthropic 的核心说法是一些竞争对手在训练自家大模型时未经授权地大量调用了 Claude 模型（尤其是其推理过程）的输出数据。
据报告攻击者用假身份和盗刷的付款方式创建了成千上万的账号，对Claude批量提问（即所谓“蒸馏提取”），再拿得到的问答对训练自己的模型。
报告点名了两家。
智谱（Zhipu AI）在开发旗舰模型GLM-5.3时，尝试蒸馏Claude Fable 5的网络攻防能力，发现安全防护影响效果后，改用旧版Claude和另一家模型。
月之暗面(Moonshot AI)的一些请求被秘密转发到Claude，其中一起来自解放军相关人员，目的是分析特定人员的CCTV监控画面。
以上内容都是Anthropic报告中的陈述，是Anthropic的单方面说法，未经独立验证。
另外Anthropic还引述了美国CAISSI机构的评估，GLM-5.3是迄今开源模型中网络攻防能力最强的；Anthropic自己测试也发现，GLM-5.3很容易绕过部分防护，甚至愿意写出完整的攻击链条。
图1｜先看上面一排，从假身份到训练自己的模型，一共五步，这就是报告里“蒸馏提取”的全过程。下面两格是被点名的两个案例，内容全部出自Anthropic报告。
这里还有一点值得注意，中国商务部早在 9 月 9 日（这份报告发布之前）回应美方相关公告时就表示，蒸馏是模型间相互学习的常规做法，本质中性，并指出美国企业也在用这一技术。
所以从大的层面看蒸馏作为技术手段本身并无可指，Anthropic指责的是**“未经授权的大规模工业化能力复制”**。
80.4% 和 71.8%，说明了什么？
Anthropic用实验证明了“完整推理比答案更值钱”。
图2是一组SWE-bench（代码正确率验证）实验结果。
用完整推理（Claude Opus 4.8 的对话轨迹）训练小模型，小模型得分约80.4%；只用摘要版推理训练，得分降到71.8%。
完整的思维链条对小模型学习帮助显著，缺了这部分信息性能会骤降近9个百分点，将近一代模型的差距。
图2｜用完整推理vs摘要推理训练小模型的SWE-bench得分对比（数据来源：Anthropic研究报告）。左柱为完整推理训练（80.4%），右柱为推理摘要训练（71.8%）。重点看红色箭头，那近9个百分点，就是摘要拿走的东西。注意纵轴从60%起。
这和认知科学里的“隐性知识”（tacit knowledge）概念一致。
纯记答案往往只能教人“说什么”，学习过程和思考链条才教人“怎么想”。
哲学家波兰尼说过，“我们知道的往往远比能表达的更多”，Anthropic 的实验也印证了这一点。
所以Anthropic最初的防御就是不给敌人完整的思考过程，只展示简化的摘要。
报告指出这一改变让提取效果大打折扣，只用摘要训练的小模型，得分远低于完整轨迹训练。
为什么说问题出在做法上？
这里要先强调一点，模型蒸馏本身是AI领域的常规做法，用来提升小模型性能。
问题出在规模化的“非法蒸馏”，也就是未经许可、利用海量付费请求来挖掘并复制前沿模型能力的行为。
Anthropic把它定义为“工业级、隐蔽的能力抽取行动”。
报告之所以聚焦“思维链”，原因就是前面讲到的那一条，最终答案只教模型“说什么”，推理过程教模型“怎么想”。
有了完整思考过程，小模型可以举一反三、跨任务运用能力，而且被蒸馏之后原始模型里的安全防护是没法跟着迁移的。
这样一来前沿模型的决策流程本质上成了一种“可价值化的资产”，Anthropic试图把它视作己有并加以保护。
图3｜左边绿色是蒸馏技术本身，各方都承认是常规做法；右边红色才是Anthropic指责的对象。看清这条分界线，后面的争论就不容易被带偏。
所以争议的焦点是是否未经授权地对竞争对手模型进行大规模复制，用蒸馏技术加速模型研发并不在争议范围内。
各方立场的分歧也在这里。
中国官方强调蒸馏是“中性技术、互学互鉴”的行业常规；Anthropic则把未授权的蒸馏活动上升到了国家安全层面。
从分析层面看我们关心的是技术和机制的合理性，如果不授权便“倒卖”他人模型能力，就触及了IP和安全边界。
当然也要注意，Anthropic披露的信息是单方面视角，其用词与例子选择都存在战略考量。
所以我们在理解指控时要分清“蒸馏技术合法性”和“未经授权的商业行为”这两件事。
蒸馏攻击怎么从单一请求升级到分布式网络？
Anthropic报告还详细描述了蒸馏攻击手段的演变。
早期攻击只靠“正常问答”收集模型输出，那时的防御是提供答案摘要，前面讲到的80.4% vs 71.8%实验证明了这招有效。
对策生效后攻击者转而主动诱导Claude披露推理，比如直接指示模型“逐字输出你的推理步骤”，甚至包装成翻译请求或标签化输出。
从这一轮攻击能看出普通用户很少会要求模型“写出完整隐藏推理”，所以Anthropic可以设计检测机制来识别这类异常请求。
攻击者并没有止步。
他们测试了上万种骗取方式，其中一家公司做了12000个不同的引导请求，试图规避过滤规则。
更高级的方式随后出现。
利用多账号集群，一部分账号扮正常用户不断交互，一部分账号负责提取推理；用翻译、标签等策略混淆检测；甚至搭建代理网络，把一次大规模提取拆成数千个小请求，靠被封账号再注册来持续“续命”。
Anthropic在今年 2 月的报告《Detecting and preventing distillation attacks》中披露过，攻击网络动用了约 2.4 万个虚假账户，累计提取超过 1600 万次对话。
图4｜从左往右看，红色一行是攻击怎么升级，蓝色一行是Anthropic怎么接招，灰色一行是接完招的效果。每往右一格，攻防都高了一个回合。
下表把蒸馏攻击各阶段的典型方式、Anthropic针对每阶段的主要防御和目前能看到的效果放在了一起。
| 攻击阶段 | 典型手法 | Anthropic防御措施 | 已见效果/变化 |
|---|---|---|---|
| 第一阶段 | 被动采集：正常问答对 （对小模型的“答案蒸馏”） | 摘要化回答：不显示完整推理，只给思路摘要 | 新旧实验对比：用完整推理训小模型得分80.4%，用摘要训得分71.8% |
| 第二阶段 | 直接要推理：诱导模型输出完整思路（请求全量CoT） | 管住推理去向：Preserved Thinking策略——新账号无法编辑上下文、旧版模型无法读取新版推理、只对同组织开放等权限限制 | 攻击手段“逐字要推理”难度增加，蒸馏路线被部分切断 |
| 第三阶段 | 变换诱骗：翻译推理、标签夹带等各种引导 | 分类器检测：双阶段红队训练的违禁分类器（Constitutional Classifier）监测异常请求 | 猫鼠游戏：新技巧被逐一封堵，仍需持续迭代防护 |
| 第四阶段 | 分布式盗采：数千/数万个账号协同作业 | 封号&收费：检测到持续盗采行为即时封禁账号，并自2026年9月24日起对被拦截（阻止执行）的请求依旧收费 | 可盗Token数减少10–100倍；已封禁相关账号数万个 |
从这张表能看出Anthropic的防御是逐层递进的。
先让最明显的路径（摘要化回答）钝化，再针对越来越狡猾的提取请求加强检测，最后用经济成本抬高残留攻击的门槛。
攻击手法每升级一次，防护就跟上一层，呈现出“攻防演进战”的态势。
Anthropic 的三层防线怎么搭？
报告明确提出了三重防线来应对蒸馏攻势，每一层都有针对性措施，下面一层一层看。
图5｜三层按时间顺序排，事前管权限，事中抓请求，事后算经济账。右边一列是每层具体做了什么，下面三段逐层展开。
第一重防线：保护模型推理链条
Anthropic认为推理过程“最值钱”，首要目标就是让它留在该留的地方不被外泄。
具体措施叫“Preserved Thinking”（保留思考）。
自2026年8月31日起新注册的API账号默认无法编辑Claude对话上下文，攻击者把之前对话的推理块提取出来、再搬到其他会话的渠道，就这样被阻断了。
同时不同安全级别的模型之间禁止推理互读，弱防护模型不能读取强防护模型生成的推理。
另一个重要策略是“请求者可见性”，只有发起推理的账户所属组织才能查看这份推理日志。
这等于给推理结果画上了“产权”范围，谁产生谁拥有；新账号默认更严，旧账号需要升级权限。
这套权限收紧措施虽然有效，但也有代价，部分开发者需要改动集成代码。
总的来看第一层主要是事前权限管制，重点是杜绝推理链被非法转移。
第二重防线：拦截可疑提取请求
前面那招属于“事前屏障”，这一层是“事中抓现行”。
Anthropic监控输入请求，识别并拦截试图偷推理链的行为。
核心是一个双阶段分类器系统，类似它在“防范生物武器生成”时用的违禁检测。
Anthropic搜集了实际的蒸馏攻击日志（内部红队和外部协作均有参与），训练模型分辨正常请求和蒸馏提取请求。
他们宣称，目前这些分类器的鲁棒性已经达到了与阻止生物武器生成同级别，误判率低于0.1%。
误判低就可以对被拦截的请求收费，以弥补安全投入。
目前这套系统已部署在最强的Claude系列模型上（Sonnet 5.5、Opus 5/5.5、Fable 5/5.1等）。
Anthropic也承认这是一场滚动的猫鼠游戏，新出现的诱骗方法，比如翻译推理和标签输出，都会被迅速纳入训练与封堵。
第二层防线本质上是“主动防御”，把保护策略和生物安全相提并论，表明Anthropic把蒸馏攻击视作高危滥用。
图6｜使用新分类器保护后，Anthropic监测到的可被蒸馏的推理Token数量大幅下降。这张是按报告“低10到100倍”画的示意图，纵轴为对数刻度，每一格差10倍。Anthropic原图是时间序列，阴影前后分别标出安全措施完全生效的前后对比，下箭头▽表明数值接近零（数据来源：Anthropic报告）。
第三重防线：提高大规模盗采成本
前两层技术拦下了大部分偷袭手法，剩下的主要是那些侥幸漏网的尝试。
Anthropic在报告中提出用经济手段“让盗采变贵”。
具体有两条。
一是对重复尝试的账号施加更严格的限额，连续尝试蒸馏的账号会被封禁。
二是自2026年9月24日起对那些被安全系统拦截的请求照常收费。
如此一来攻击者每试一次都要付费一次，大规模试错的成本被严重抬高。
报告数字显示新策略上线后，蒸馏偷到的推理Token量下降了10–100倍。
他们还披露，“数万个账号已被封停”，“通常在开始2小时内即被清退”。
所以任何想靠海量API继续蒸馏的行为，现在都要承担很高的代价。
总体上第三层相当于“经济钳制”，和前两层形成互补，真正把试图绕过安全的尝试变成不划算的交易。
防住了多少，还有什么没解决？
综合来看Anthropic宣称新的防御措施已经显著降低了蒸馏攻击的效果，在最强模型上，引入双阶段分类器后，可被盗取的推理Token数量稳定地比之前低10到100倍。
误判也压得很低，“一千次正常请求中最多错封一例”（误判率<0.1%）。
同时他们强调“两小时封号”的响应速度已经形成威慑。
从报告数据看，蒸馏“拿到手”的东西确实少了，大部分攻击案例被拦截。
不过仍然存在的挑战和盲点也要看到。
Anthropic自己承认目前还没遭遇过“高度成熟的持续绕过”攻击。
换句话说，现有防线主要对付的是已知或中等水平的攻击模式，真正的顶级对手（比如政府级攻击）还没有显山露水。
所以这套防御的长期有效性还有待检验。
误判率虽低，但并非零，那些被错封的合法用户也会不满，对他们收费更容易引发争议。
另外Anthropic这一系列措施依赖API权限和运营规则，对整个AI生态是一种“壁垒式”做法，如果其他前沿模型不跟进类似策略，依然会有能力外泄的漏洞。
最后报告基于的所有统计都是Anthropic自监测数据，外部无法验证。
我们无法核实“封号数万”“减少90%–99%”这些具体数字的普适性，只能当作参考。
为什么要点名智谱和月之暗面？
Anthropic公开点名两家中国公司，在战略层面意义深远。
我们可以从三个角度看这个举动的意图。
技术威慑：Anthropic在报告中具体说明了智谱用的是哪一版Claude，遇到什么防护后又改用了哪些替代方案。这种细节式指控比空穴来风更具威慑力，涉事方要否认非常困难。此举实质上是在说“我们对你每一步攻击都了如指掌”，从技术上封死其多条路径。对所有竞争者，这也是一个“我们无处不在盯着你”的信号。
叙事升级：Anthropic把事件从“公司间竞争”抬升到了“国家安全”层面。点名中提到“可能来自解放军”的案例，实际上是针对美国政策圈的表态。商业层面的抄袭只会引发行业官司，国家安全问题却可能引来出口管制、制裁等。Anthropic正在布局一个更大的叙事框架，把自己塑造成吹哨人，指责对手的行为不仅违规，更有潜在军用价值。从这个角度看，点名不仅仅是举报同行，更是在为未来的政治和法律行动造势。
行业施压：Anthropic公布了完整的防蒸馏“答案”，并且公开表示不做防御最容易。这是在对同行喊话，如果你不跟进防御，就像是在纵容能力外泄。Anthropic先行交出“作业”，言下之意是这就是前沿AI实验室该有的标准做法，目的是把防蒸馏变成行业要求。以后谁的模型防护做得不够，就会被视为落后甚至失责，这条规则正在被它搭起来。
图7｜从上往下读，一次点名分出三个意图，每个意图对着一类听众。三条线里，中间那条“国家安全”分量最重。
所以这次点名对国内AI公司意味着一件事，Anthropic认为部分国产大模型的快速提升，是建立在蒸馏其模型能力的基础上的。
一旦这条捷径被堵住，中国实验室面临的训练成本和时间节奏可能都要重新核算。
比如智谱(Zhipu)后续GLM的发布节奏会不会变慢？
如果点名中的暗示属实，未来GLM版本之间的间隔可能会延长，或者每代升级幅度会收窄（下文会讲怎么监控这一点）。
必须说明，这里所有关于“蒸馏导致追赶成本下降”的讨论，都基于Anthropic的指控和数据，它的立场存在利益冲突，要谨慎对待。
相关公司的这笔成本，该怎么算？
Anthropic坦承，为了蒸馏防御，它“放弃了可观收入”，拒收所谓蒸馏者的付费流量。
蒸馏费用原本是Anthropic的收入来源，现在变成了损失。
报告提到他们**“拒绝了数万亿Token的支付流量”**。
从商业视角讲Anthropic选择了牺牲短期利润来保留长期的能力护城河。
同时，Anthropic把部分安全成本转嫁给了普通用户。
旧账上，新用户和API调用者需要承担误判（<0.1%概率）和被拦截请求付费的风险。
防御成本并非全由公司承担，也落到了平台使用者身上。
投资人需要关注的是，这会不会影响用户体验和市场份额。
比如误杀如果让一部分合法开发者受影响，他们可能会投向竞争对手。
尤其是纯靠API业务盈利的云服务商，这个模式能不能持续，同样值得追问。
最后Anthropic在安全报告中“主动算账”。
他们公开表示曾定下“尽量不影响正常用户”的目标，但承认还没完全达成。
这在企业报告里很罕见，意味着他们愿意为防御成本背书，也提前为自身的潜在争议做了解释（例如被拦请求还收费）。
从财务角度看今后Claude系列模型的毛利率可能要打折扣，防御成本是会递增的。
但同时“拦截也收费”的模式给Anthropic带来了一笔新收入，每次攻击尝试实际上都在给Anthropic送钱（成本中心部分地变回收益中心）。
其他云服务商会不会效仿，把防滥用变成收费点，我们也要留意。
图8｜红色箭头是Anthropic自己掏的，灰色箭头是转嫁给用户的，绿色箭头是从攻击者那里收回来的。三股钱往不同方向走，毛利率最后怎么算，要看哪股更大。
做智能体产品的人，能从中学到什么？
这份报告也给做智能体（Agent）或其他需要链式推理的产品开发者提了两点警示。
模型的推理轨迹应该被视为核心资产，别把它当成可以随意分享的“调试日志”。
如果你的产品输出完整的内部思考路径，任何有心人都可以像蒸馏一样抄走这些流程。
你可以照着Anthropic的防线思路自检三遍。
- 检查推理存储与权限：确认推理链存在哪里、谁可以看。理想情况下，新用户/账号默认权限更严，推理日志只对生成它的用户（或组织）可见，不能随意导出或转发。避免弱模型/弱账号读取强模型推理。Anthropic的做法之一就是按注册日期分级赋权，新用户直接不让编辑上下文。
- 检测异常提取行为：部署类似双阶段分类器的方案来监控用户请求。先用简单规则屏蔽明显的抽推理请求，再用模型判断模糊情况。关键是用真实攻击样本做红队测试，别凭想象。只有这样才能及时更新规则，宕掉换花招的提取尝试。
- 让滥用成本上升：对确认滥用的账号加强限制（限速、限量）或直接封禁；对识别出来的滥用请求收费。Anthropic的例子说明多管齐下可以显著打击批量盗采。有人想走旁门左道，就让他付出高昂代价。
三遍检查都通过，你产品里的“思维流程资产”才更安全。
Anthropic给出了示范，我们只需在自己的业务场景下灵活应用。
接下来，哪些变化值得盯？
2513.HK（智谱）三大跟踪指标
Anthropic点名智谱后，这家港股上市公司面临三个可以监控的问题。
- 模型发布节奏：观察GLM系列新版本的发布间隔是否延长。Anthropic暗示蒸馏被堵后，智谱自行训练的代价上升。如果GLM下一代发布明显慢于过去的节奏，或每代增幅缩小（在性能评测上体现），说明自研成本上升了。
- 能力提升幅度：关注后续发布的能力提升程度，例如在公开基准或自评数据上的表现。如果发布间隔不变，新模型性能还和竞争对手拉开了差距，说明自研实力较强，点名影响有限。反过来，如果发现能力增长乏力，可能就是蒸馏护城河变厚的信号。
- 安全与合规投入：留意智谱是否在公告和研发资料中提到加强安全措施或合规审查（如数据使用政策、反作弊研发等）。这相当于把“今后我也可能被蒸馏”的问题反过来问，如果别家模型一样会被盗采，智谱愿不愿意投入同样的防御资源？这类安全投入的信号，最终可能转化为公司的核心竞争力之一。
这三个指标可以在每季度财报、业绩说明会或产品发布会上看披露情况。
图9｜左边是指标，中间是看到什么现象，右边是可以怎么解读。这张可以存下来，每季度财报出来对着看一遍。
普通开发者的启示
不是模型开发者、只做AI应用的团队，记住一句就够了。
蒸馏攻防的本质，是模型“思考过程”的产权之争。
设计产品时要像保护源代码一样保护内部推理，别把它看作附属信息。
比如开发多轮对话系统和智能体代理时，要考虑把推理过程的存储、可见性和转发权限设计成系统级别的要素，别把它当成调试日志。
这场攻防，最后争的是什么？
Anthropic这份报告宣示了一个新趋势，前沿模型能力不仅仅是权重和输出，更包括“模型怎么想”的过程，后者正在被企业视为可以圈定产权的资产。
通过公开点名和披露防御细节，Anthropic实际上是在行业面前树立了一套“防蒸馏标准答案”，促使竞争对手不得不跟进。
未来的模型竞赛除了拼能力，还要拼“模型推理的可控性”。
在这场蒸馏攻防战里，谁控制推理流向，谁就控制了能力扩散的速度。
收藏清单：以后看到蒸馏新闻，问自己五个问题
- 针对的是模型答案还是推理过程？ 如果防的只是终极答案，核心仍可能被偷走。前面讲到的80.4% vs 71.8%实验说明，没有推理链，小模型的表现会大打折扣。
- 误判率有没有公布？ 一个防御系统如果宣称“绝不误伤”，通常不太可信。Anthropic敢打出
<0.1%的误封数字，才敢对被拦截的请求收费。没有公开误杀数据的声明，要打个问号。 - 攻击者是否换招？ 一直自称“已彻底封堵”的说法要谨慎看。翻译推理、标签夹带这类新套路被封堵过，说明至少已经走了几轮猫鼠游戏。新招永远有，此消彼长是常态。
- 防御成本谁买单？ 防御是公司自掏腰包，还是转嫁给用户？Anthropic既烧掉巨额收入，又对被误封用户收费，这是它的标志策略。一家公司如果宣称“安装了防护”，也要看它有没有公开底层代价。
- 有没有点名？说给谁听？ 被点名的，往往是想向攻击者示威，或者向监管部门报告，也可能是对同行施压。没有实名具体指控的，多半还停留在“技术声明”层面。
记住这五问，以后遇到任何蒸馏相关新闻，都能帮我们理性评估事件。
蒸馏攻防还在演进，这场争端很可能只是刚开始。
主要参考来源： Anthropic 公开报告和博客；TechCrunch 新闻；商务部声明等。
免责声明：本文仅为个人观点记录，不构成投资建议。