谁在偷走OpenAI的模型？

OpenAI 又发安全公告了，但这次的关键词不是越狱，而是『加密绕过』。

据 CyberScoop 报道，OpenAI 披露了一种被称为『新型加密绕过』（novel encryption bypass）的技术，称其被用于一次针对 OpenAI 模型的蒸馏攻击（distillation attack），并指称与 MoonShotAI（月之暗面）有关联的人员参与了『部分』攻击——但公告没有出示可验证的硬证据。这是本篇最值得记住的一句话：技术披露是真的，归因是悬置的。

我的核心判断是：这件事的真正新闻价值，不在『谁偷了谁』，而在于模型蒸馏攻防第一次以正式安全披露的形式被摆上台面。AI 公司的安全边界，正在从『防提示词泄露』推进到『防模型被学走』。

🔍 一份没有证据的技术披露

先还原一下公开信息里的时间线与要素。

OpenAI 通过其安全渠道发布文章，描述了一种针对其推理服务的加密绕过手法。按照蒸馏攻击的一般逻辑，攻击者需要拿到大量高质量、低噪声的模型输出，再以此作为训练数据去对齐一个自己的小模型——整个过程不需要拿到权重，只需要『用得足够聪明』。

而『加密绕过』出现在这里就有意思了：主流厂商早已对 API 输出链路加了多层保护，比如对系统提示词做隔离、对输出做加密封装，防止中间人截获『干净』的原始回答。所谓 novel bypass，大概率指攻击者找到了绕开这层保护、直接获取可用于蒸馏的高保真输出的路径。

我们把公开信息分成两栏看：

注意 OpenAI 的措辞：『individuals associated with（有关联的个人）』『parts of the attack（部分攻击）』。这是典型的法律保守表述——说了一半，留了一半。用攻击链示意一下推演的完整链条：

每一步都对应一类防御手段，这也是后文产业分析的落点。

🧩 蒸馏：AI 界心照不宣的灰色地带

蒸馏本身不是脏词。

知识蒸馏是深度学习的经典技术路线，大厂自己也在大规模使用——用强模型给弱模型当老师，是降低推理成本的标准操作。真正的争议在于：用竞争对手的 API 输出，大规模训练一个竞品模型，算不算偷？

技术上，这条线是模糊的。任何用户都能看到模型的公开输出，『从公开输出中学习』和『有组织地蒸馏』之间，隔着的只是规模、系统化程度和意图——这三样恰恰最难举证。所以厂商的防线其实是合同性的：主流模型厂商的服务条款普遍写明，禁止用输出训练竞争模型。换句话说，蒸馏的『违法性』建立在违约上，而非技术上。

这不是第一次。此前 DeepSeek 引发关注时，OpenAI 就曾公开指控其存在蒸馏行为，同样未公开完整证据链。蒸馏指控正在变成一种『 recurring 剧目』：每次出现，都伴随同样的结构——技术指控 + 无法验证的归因 + 舆论发酵。

一位头部模型公司的安全负责人在私下交流中的说法很 representative（据多位接近人士转述）：『蒸馏防御的天花板就是行为风控，你能抓住的是调用模式，抓不住的是动机。』这句话点破了产业困局：技术可以拦截请求，但认定『偷』需要证据，而证据几乎总是拿不出来。

于是出现了一个吊诡的局面：蒸馏在技术上人人可做，在合同上人人不许做，在司法上几乎无法追责。灰色的地带，靠的是默契和威慑在维持秩序。这次 OpenAI 的披露，等于公开承认——默契破了。

⚖️ 当安全披露遇上地缘叙事

这是全文我最想压着写的一节。

安全行业的归因从来是难事。一次蒸馏攻击背后可能是个人行为、外包团队、第三方数据服务商，甚至就是普通的灰产爬虫。在缺乏硬证据的情况下点名一家具体公司，尤其是中美背景下的中国公司，性质就超出了安全披露的范畴。

客观地说，OpenAI 的处理有其『分寸』：用的是『关联人员』『部分参与』这种留有余地的表述，且主动承认没有提供硬证据。但舆论的传播不认分寸——标题会自动把 MoonShotAI 和『攻击者』焊在一起，中间那些限定词在传播链上会全部脱落。这对一家商业公司构成的声誉成本，是实打实的。

据多位接近人士的说法，业内对这类披露的普遍态度是『看技术、存疑归因』：真正有价值的部分是新型绕过手法本身，它对全行业的推理服务架构敲了警钟；而归因部分，更像是在中美 AI 竞争的叙事场里投放的一个信号弹。

产业逻辑上要分两层看。第一层，技术披露是行业公共品，绕过手法公开后，所有提供 API 的厂商都要回头检查自己的输出加密链路，这是正面价值。第二层，无证据归因是危险的先例——如果安全披露可以不附证据就点名企业，那么披露本身就会沦为竞争和地缘叙事的工具，最终损害的是整个漏洞披露体系的公信力。对监管者和媒体而言，正确的姿势是把这两层切开报道：技术归技术，指控归指控。

🛡️ 模型安全的新战场：防模型被学走

金句先放这：过去两年大家在防『模型说错话』，接下来要防『模型被学走』。

模型提取与蒸馏防御，正在从论文里的课题变成真实的采购需求。厂商的防御手段大致可以铺成一个技术光谱，从低门槛的法务手段到高门槛的架构改造：

右上象限的『行为遥测风控』和『可信执行环境推理』是未来的主战场。前者通过识别低熵、高频、模式化的调用集群，把蒸馏行为挡在事中；后者把输出加密与解密放进 TEE（可信执行环境）里完成，从架构上压缩绕过空间——这次 OpenAI 披露的恰好是加密层被绕过，等于亲手给 TEE 路线做了一波市场教育。

落到攻防两侧，可以整理成一张问题-方案清单：

对采购方和云厂商，还有三个行动要点：其一，把『防蒸馏』纳入模型服务的威胁模型，与提示注入、越狱并列，别再当成一个条款问题；其二，对 API 客户建立分级信任体系，高价值输出对低信任调用降级或限流；其三，保留可审计的调用日志与输出指纹， future 真要对簿公堂，证据链只能靠自己平时积累。安全永远买的是『事后能查』，而不是『当时没防住』。

📌 小结

回到标题的问题：谁在偷走 OpenAI 的模型？诚实的回答是——不知道，而且 OpenAI 自己也没拿出证据。

但这次披露的真正价值在别处：它公开承认了推理链路加密会被绕过，公开承认了蒸馏攻击是现实威胁而非理论风险。对整个行业而言，模型安全的第一性问题正在改写：从护住提示词，到护住模型本身的学习价值。接下来一年，输出水印、行为风控、TEE 推理会加速从论文走向产品，一个新的安全细分赛道已经开场——至于归因的口水仗，建议读者把证据门槛调到最高，再下判断。