硅谷AI三巨头成立安全联盟 深度解析其对中国大模型发展的真实影响

硅谷AI三巨头的隐秘联盟：一场关于“对抗性蒸馏”的围剿与反讽

前段时间，硅谷AI领域的三大巨头——OpenAI、Anthropic和谷歌，做了一件颇不寻常的事。它们没有召开发布会，也没有举办联合技术峰会，而是悄悄地成立了一个名为“前沿模型论坛”的小圈子。

适合国内用的虚拟币交易所

• 欧易OKX >>>进入官网<<< >>>官方下载<<<
• 币安Binance >>>进入官网<<< >>>官方下载<<<

当彭博社披露这一消息时，连他们自己都感到意外。要知道，这三家公司平日里在社交媒体上互相较劲，在学术论文里暗藏机锋，甚至会在API调用日志里监控对方工程师的动向。如今，他们竟然能心平气和地坐在同一间Zoom会议室里？

会议的具体内容并未过多公开，但核心议题只有一个：对抗性蒸馏行为。这个词听起来很新，语气也很严肃，但指向却非常具体。想象一下这样的场景：你向我的API接口灌入成千上万条提问请求，我只需调出后台日志，那些IP地址段、时间戳、问题序列和响应长度，全都严丝合缝地对得上号。

其实，如果把时间线拉回到今年二月，这场风波早已暗流涌动。

Anthropic率先发布了一份调查报告，PDF文件的第一页就赫然列着三家公司的名字：DeepSeek、月之暗面和MiniMax。下面紧跟着一行小字：“共识别出约2.4万个欺诈账户，累计调用Claude接口超过1600万次。”

这份报告措辞强硬，没有留下任何回旋余地。它甚至详细拆解了各家公司的“蒸馏节奏”——谁在何时开始加量，谁在新模型发布后72小时内立刻调整流量策略，谁又专门挑选思维链输出最密集的时段进行高频“刷题”。

其中，MiniMax的动作最为迅猛：超过1300万次的交互，如同一支训练有素的渗透小队。Anthropic刚把Claude 3.5 Sonnet的推理路径优化上线，它的请求流就同步转向，开始重点抓取更长的思维链样本。

DeepSeek则采用了不同的策略。它没有追求调用次数，总量大约只有15万次，但每一次都卡在关键节点上——专门等待Claude输出带有“逐步推理”的完整回答，然后将其中“假设→验证→修正→结论”的逻辑断点，一条条存入自己的训练数据集。

当然，“对抗性蒸馏”这项帽子，是Anthropic主动扣上的。从法律层面看，确实很难直接证明对方使用了API输出来反向训练模型——毕竟API返回的是文本，而非模型的权重矩阵。但是，当一家公司的训练日志里，突然出现大量与Claude响应结构高度一致的中间推理链，并且时间点恰好卡在自家新模型发布前的三个月……这种巧合，恐怕连内部审计员看了都会皱起眉头。

OpenAI同样没有闲着。几乎在同一周，它出现在美国国会的听证会现场。其提交的证词中有一段话被媒体单独摘录出来：“DeepSeek R1在多项基准测试中展现出与GPT-4 Turbo高度相似的推理模式，而其训练数据并未公开披露任何高质量的人类标注推理轨迹——我们有理由相信，该能力是通过系统性的API蒸馏获得的。”

所以，这次三家公司聚到一起，大概率不是来开茶话会的。

不过，在指责他人之前，我们不妨先看清楚，那个被反复提及的“蒸馏”，究竟是怎么回事？

其实，它并没有那么玄乎。你可以想象这样一个场景：一位刚进实验室的研究生，他的导师手握千万级算力和独家数据集，而他自己只有两块二手的A100显卡。导师不允许他接触原始数据，但允许他每天提十个问题，并且愿意将完整的思考过程写下来给他看。

关键并不在于答案本身，而在于答案背后那一串概率分布。例如，模型判断“巴黎是法国首都”的置信度是0.992，而“伦敦是法国首都”的置信度只有0.0003。这些“软标签”，才是学生真正想抄录的笔记。

三年前，这种做法甚至还能光明正大地进行。那时API返回的logits层几乎不设限制，研究者们拿回去做知识迁移、领域适配，甚至发表顶级会议论文，都没人阻拦。

后来呢？这扇门被一点点焊死了。OpenAI将top-k限制在5个以内，Anthropic默认关闭logprobs输出，谷歌干脆在文档里用加粗字体写明：“禁止将API响应用于任何模型训练目的。”

于是，蒸馏技术也随之进化了：黑盒蒸馏、提示工程蒸馏、思维链蒸馏……名字越来越花哨，背后的逻辑却越来越简单——无非就是用脚本模拟人类的提问习惯，批量喂入问题，批量收取答案，再通过人工或自动化的方式，将“为什么选A不选B”、“如果前提改成X结果会怎样”这类推理痕迹抽取出来，喂给自家的小模型。

成本是多少？可能还不到从头训练一个原始模型费用的百分之三。

所以，硅谷这三位巨头的潜台词其实是：你们这种抄作业的方式，越来越像在偷考卷了。

然而，细细琢磨整件事，又透着一股难以言说的拧巴感。

联盟是他们自己宣布的，指控是他们单方面发布的，所谓的证据链只存在于自家的后台日志里。而被点名的公司，甚至没有收到过一份正式的质询函。

目前所有关于“对抗性”的定性，全部来自于“甲方”的后台监控截图和内部推演报告。

蒸馏技术本身，在学术界早已不是新鲜事。去年初DeepSeek R1发布时，圈内人一边转发其基准测试分数，一边翻查开源代码寻找蒸馏痕迹——确实有人在Hugging Face上发现过几组高度相似的“提问-回答”对，与Claude公开演示中的回答几乎一字不差。

但紧接着，另一个细节浮出水面：有用户连续三天，用不同的句式询问DeepSeek V3“你是谁”，得到的回答依次是“我是DeepSeek-V3”，“我是由深度求索研发的大语言模型”，以及一次令人错愕的“我是ChatGPT”。

DeepSeek后来在论文附录中对此作了解释：V3-Base的预训练语料完全来自公开网页，其中自然包含了大量用户误将其他模型当作本体的对话记录。模型只是记住了这种表达模式，并非刻意模仿。

自此之后，“蒸馏”这两个字在中文技术社区里，就带上了一丝微妙的气息。有人视其为捷径，有人划其为红线，还有人一边运行着蒸馏脚本，一边在Slack频道里打趣道：“今天又给Claude交了三百美金的学费。”

从法律上讲，它确实处于灰色地带。OpenAI的服务条款明确禁止“使用输出内容训练竞争性模型”，Anthropic的条款里也写着“不得以任何方式对本服务进行逆向工程”。但问题在于，当一个小模型学会了用与“老师”几乎相同的逻辑顺序来解题时，这到底算不算逆向工程？至今没有明确的定义。

巨头们心里的那本经济账，其实算得非常清楚：我投入十亿美金，训练出一个能写诗、能编程、能做数学证明的模型；你只花三十万美金调用API，三个月后就拿出一个性能有八成相似的平价替代品——这哪里是技术复现，这分明是商业抢劫。

不过，Anthropic的报告里还埋着另一条线索，当时并未引起太多人的注意。

它提到了“红队测试”失效的风险：Claude在上线前，团队花了六个月进行安全对齐，从生物武器制造到种族歧视言论，每一条有害样本都经过人工校验，以确保防御效果。但通过蒸馏诞生的模型，根本没有走过这套流程。它学会了如何解微分方程，却不知道哪些问题不该回答；它复刻了原始模型的逻辑链长度，却没有继承其安全护栏。

所以，这次联手，未必全是生意经。有些担忧，是真实存在的。

但整个事件的时间点，又巧合得有些微妙——报告发布的前一天，Anthropic的CEO Dario Amodei正在五角大楼的走廊里等待电梯，准备洽谈军方合作项目。而谈判桌上最大的分歧点，恰恰在于“是否允许政府在紧急状态下访问模型的底层参数”。

一份将“蒸馏”行为上升到国家安全层面的报告，恰好在这个节骨眼上发布。

后续的结果大家都知道了：会谈没有达成共识。五角大楼的代表离开了，报告却留了下来。

颇具讽刺意味的是，这几家高举“反蒸馏”大旗的公司，自身也正被“数据抓取”的官司缠身。马斯克在X上发帖的时间，甚至比Anthropic报告上线还早了六个小时：“你们一边用爬虫扫遍整个互联网来训练Claude，一边指责别人通过调API来学习推理——按照这个逻辑，我是不是该起诉你们盗取了人类全部的公开知识？”

零一万物CEO李开复也在朋友圈转发了一则旧闻：Anthropic曾因未经许可使用某出版书籍中的段落，被法院裁定赔偿3000美元。他配文写道：“当年这叫‘知识整合’，今天就成了‘工业级攻击’？”

说到底，当训练数据来自整个互联网，当推理能力可以通过文本来复现，当安全机制无法随着输出一同迁移——所谓“偷”与“学”的边界，早就不是一行服务条款能够划清的了。

或许，等到最后所有人回头审视时，会发现自己的训练日志里，都静静地躺着几万条来自竞争对手API的响应记录。

本文来自微信公众号“差评X.PIN”，作者：西西，编辑：江江&面线