OpenAI报了漏洞，却拿不出硬证据

安全圈最近最值得琢磨的一条消息，不是又一个0day，而是一份『证据不完整的披露』。

OpenAI 安全团队公开披露了一种被其称为『新型』（novel）的加密绕过手法，称其被用于针对自家模型的蒸馏攻击（distillation attack），并点名与来自中国的 MoonshotAI（月之暗面）相关联的个人参与了部分攻击行为——但截至目前，OpenAI 并未公布可核实的硬证据。这由 CyberScoop 率先报道。

我的判断很简单：技术披露有价值，归因方式有问题，而整个大模型行业的 API 防线，可能真的没跟上对手的速度。

🔍 先看事件本身：披露了什么，没披露什么

金句先放这儿：安全披露的可信度，从来不取决于披露方多大牌，而取决于证据链有多长。

先把素材里的事实钉死，避免以讹传讹：

注意两个细节。第一，措辞是『与 MoonshotAI 相关联的个人』（individuals associated with），而不是『MoonshotAI 公司发起攻击』——这种措辞在安全行业里通常意味着：攻击者用了正常的账号体系、正常的付费通道，只是人的背景被关联到了某家公司。第二，OpenAI 没有放出技术细节全文，也没有放出可用于第三方验证的 IOC（失陷指标）或日志证据。

攻击链路大致可以推演成这样：

也就是说，从技术形态上看，这更像是『利用合法入口做非法的事』，而不是传统意义上的入侵、拖库或者漏洞利用拿数据。这也是为什么 OpenAI 把重点放在『加密绕过』上——它绕的是平台为保护模型输出而设置的技术屏障，而不是企业网络的边界。

🧪 蒸馏攻击：大模型时代的『抽油』生意

要看懂这件事的分量，得先弄明白蒸馏攻击到底是什么。

模型蒸馏本身是中性的技术。 原本的意思是用一个大模型（教师模型）的输出去训练一个小模型（学生模型），让学生模型以极低成本逼近教师模型的能力。这在学术圈和工业界是公开的常规操作，各家小模型几乎都受益于蒸馏。

问题出在『未经授权的蒸馏』。攻击者不需要黑进 OpenAI 的数据中心，不需要拿到权重文件，只需要通过 API 拿到足够多、足够高质量的『问题-回答』对，就能在体外训练出一个能力接近的模型。训练成本从千万美元级降到 API 账单级，这笔账怎么算都划算。业内私下有人把这形容为『抽油』——油田就在那儿，管道是你亲手铺的，抽多抽少全看风控。

而这次披露的『加密绕过』，按 OpenAI 的说法是攻击链里的关键一环。OpenAI 没有公开绕过的具体对象和技术细节，合理的推测是：平台在 API 输出侧部署了某些保护或限制机制（无论是传输加密层面的校验，还是针对批量抽取行为的对抗措施），攻击者找到了绕开的办法。这个细节比攻击本身更值得行业警觉——头部厂商的保护机制会被针对性研究，这不是个案，而是持续存在的对抗。

还有一层很多人忽略的影响：蒸馏攻击的存在，让『模型能力』这种资产的计量方式变得模糊。一家公司烧了几亿美元训练出的能力边界，可能被别人用几十万美元的 API 账单摸走。这在传统软件时代对应的是盗版，但盗版有副本可查，蒸馏出来的模型痕迹混合在自有训练数据里，几乎无法举证。

⚖️ 归因失灵：安全披露撞上地缘叙事

这一节要泼的冷水最多，也得最冷静。

安全行业的老问题——归因（attribution）——在 AI 时代不但没解决，反而更棘手了。网络攻击归因至少还有 IP、基础设施、恶意样本代码特征这些物证可循；而蒸馏攻击的『攻击者』，可能就是一个付费用户，用的就是公开的 API。你要证明『这些账号背后是谁、动机是什么』，需要的是平台内部账号数据、支付信息、行为模式分析——这些东西只有平台自己能拿到，也只有平台自己能说了算。

OpenAI 目前的表述停留在『individuals associated with』这一层，且明确没有给出硬证据。这在技术上说得通（细节涉密），但在产业层面埋了三个雷：

第一，指控对象承受了不成比例的声誉成本。一家公司被全球头部 AI 厂商点名关联攻击，哪怕措辞谨慎，传播链路也会自动把『关联个人』简化成『某公司攻击 OpenAI』。澄清的成本远高于指控的成本，这是披露经济学里最不公平的一笔账。

第二，安全披露的可信度被透支。安全研究的公信力建立在『可验证』三个字上。当重量级披露不附带证据，其他研究者和企业客户要么被迫全盘接受，要么被迫全盘怀疑——两种结果都伤行业。

第三，技术问题被推入地缘叙事的搅拌机。中美 AI 竞争本就是敏感议题，任何『中国公司 + 攻击』的组合都会被放大解读。这不是说指控一定是假的，而是说：在没有证据的情况下让指控进入公共讨论，最终受损的是所有认真做安全的人。据多位长期做国际披露协作的研究者私下感慨，现在跨国漏洞协作的第一句话往往是『你们发之前想清楚措辞』——这种自我审查，本身就是生态的损耗。

合理的做法并不复杂：要么给出证据链（哪怕部分脱敏），要么把归因部分与技术披露切割，只做技术通报。把最强的技术判断和最弱的归因判断打包发布，是披露策略上的失误。

🛡️ 产业判断：API 是新的边界，风控是新的防火墙

抛开归因争议，这件事对厂商的真正启示是：大模型的安全边界已经从数据中心迁移到了 API 调用层。

传统安全里，边界是防火墙和 DMZ；云时代边界变成了身份和密钥；而模型服务时代，边界是『谁在用你的输出、用去做什么、用了多少』。这三问分别对应三类防御手段，我把目前主流的思路放进一个矩阵里看：

右上角的『用量异常检测』大概率是当前性价比最高的防线。蒸馏攻击有一个绕不开的物理特征：量大、规律、成规模。正常开发者的调用模式是碎的、随任务波动的；蒸馏式抽取则是长时间、高通量、查询分布刻意的。这类特征在计费系统里就能捕捉，不需要什么黑科技——前提是厂商把『反滥用』当成安全工程而不是客服工单。

输出水印和模型指纹是更长期的方向：在模型输出中埋入统计上可检测但不影响体验的信号，让『被蒸馏』这件事从不可举证变成可举证。这对上面说的归因困境是釜底抽薪——有指纹，指控才有物证。坦率讲，这项技术目前还不够成熟，容易被打散、被对抗，但它是少数能把『归因』从平台独断拉回可验证轨道的路径。

对采购模型 API 的企业侧，也有一条务实建议：别只盯着模型榜单分数，把厂商的滥用风控能力、输出保护机制、以及发生滥用事件后的披露透明度，一并纳入评估。你的数据质量决定了你蒸馏出来的模型质量，也决定了你会不会成为别人蒸馏管道上的一环。

💡 写在最后：这次披露真正该留下的东西

回过头看，这份披露本可以成为 AI 安全的一个里程碑——第一次有头部厂商公开承认『我的模型能力正在被系统性抽取，而且对手找到了绕过我保护机制的办法』。这值得所有做模型服务的公司连夜开会。

但归因部分的粗放处理，把公众注意力从技术问题引向了地缘站队。技术披露和实证归因必须绑定，这是安全行业百年（虽然是夸张说法，但传统确实如此）积累下来的职业伦理，AI 行业没有理由豁免。

往前看三年，我给两个判断：其一，API 侧的反蒸馏机制（用量风控、输出水印、能力确权）会成为模型服务的标配能力，甚至出现专门的检测产品赛道；其二，行业会逐步形成 AI 安全披露的规范——技术细节、证据等级、归因置信度分开陈述，谁做不到谁失去话语权。

漏洞可以『novel』，但披露的规矩不能新发明。