OpenAI 官方披露新型加密绕过手法：蒸馏攻击的攻防与归因之问

一桩没有出示证据的指控，比证据确凿的通报更值得琢磨。OpenAI 在官方博客披露了一种『新型』（novel）加密绕过手法，称其被用于针对自身的模型蒸馏窃取攻击，并将部分攻击环节指向中国公司 Moonshot AI（即月之暗面）的关联人员——但没有拿出硬证据。素材只有两句话，却把 AI 时代最敏感的三件事全部摊开：模型即资产、API 即攻击面、归因即叙事。

🕵️ 事件本体：一次被官方披露的新型加密绕过

先摆事实。根据 CyberScoop 的报道，OpenAI 通过官方渠道披露了这次攻击，核心信息有三条。

第一，攻击中使用了一种被 OpenAI 称为 novel 的加密绕过技术。注意这个措辞：安全行业里，novel 不是营销词，它意味着研究人员此前没有见过这种绕过方式——被绕过的防护机制本身，大概率就是 OpenAI 为保护模型输出而设计的加密类防线。

第二，攻击的性质被定性为 distillation attack，也就是蒸馏攻击：攻击者利用目标模型的输出来训练自己的模型。

第三，OpenAI 指认，与 Moonshot AI 关联的个人参与了攻击的部分环节，但明确没有提供可公开验证的证据。

从渗透测试的视角看，这条披露链条里最有技术含量的信息，其实是 OpenAI 承认自己部署了一层『加密防护』，而且它被绕过时没有事先被自己人发现。这说明头部模型厂商已经把 API 输出当作和源代码同等级别的资产在保护；同时也说明，针对推理接口的攻防已经从『提示词注入骗输出』进化到『直接打击传输与防护机制』的阶段。至于归因部分，一家公司既是受害方、又是取证方、又是披露方，这个三合一的角色本身就值得整个行业警惕——我们后面专门谈。

🔍 蒸馏攻击：为什么巨头最怕这条窄门

蒸馏攻击的本质，一句话讲透：不自研，只抄作业。

大模型的成本结构决定了这件事的分量。以公开可查的信息为参照：OpenAI CEO 奥尔特曼（Sam Altman）曾在公开访谈中确认，GPT-4 的训练成本超过一亿美元；行业普遍估算，前沿模型的预训练要烧掉数千万到上亿美元级别的算力与数据成本。而蒸馏，只需要付 API 调用费——以主流厂商公开的定价粗算，头部模型的输出调用价格大约在每百万 tokens 几十美元量级，就算规模化抽取数十亿 tokens 的高质量输出用于训练，成本也大致在数十万美元量级，仅为自训成本的百分之一甚至千分之一。对攻击者来说，这是一笔再清楚不过的经济账：API 费用相对于自训成本，几乎可以忽略。

正因如此，主流模型厂商的服务条款普遍明文禁止用输出去训练竞争性模型。以公开可查的条款原文为例：OpenAI 的服务使用条款（Terms of Use）在『禁止事项』中明确列有——不得『使用输出（Output）来开发与 OpenAI 构成竞争的模型』（use Output to develop models that compete with OpenAI），同时禁止『自动或以程序化方式批量提取数据或输出』；Google 面向 Gemini API 的服务条款也有类似表述，禁止利用服务输出来开发与其产品构成竞争的模型。但条款是法律防线，不是技术防线。攻击者真正要跨越的，是厂商设在推理链路上的技术拦截：输出过滤、用量限制、行为风控，以及这次事件里被点名的——加密防护。

产业逻辑在此非常直白：一家公司的护城河越依赖『输出质量』，蒸馏对它的威胁就越大。 对闭源模型厂商而言，权重不公开不等于能力不外泄，API 就是能力的出水口。而这次 novel 加密绕过的出现，等于宣告：即便你在出水口装了锁，锁芯本身也会被人研究。蒸馏攻击的攻防，正在从应用层下沉到基础设施层。

⚖️ 无硬证据的归因：当披露变成叙事

这起事件里最微妙的部分，不是技术，是归因。

OpenAI 指认 Moonshot AI 关联人员参与了部分攻击环节，但同时没有公布硬证据。这在安全行业并非孤例——APT 归因长期依赖不公开的私下情报，公众看到的往往只是结论。但模型安全领域的情况更特殊：平台方同时掌握着攻击定义权（什么算蒸馏）、取证权（日志在自己手里）和披露权（说什么、何时说）。三权合一，结论的可信度就只能依赖厂商自律。

值得注意的是，安全行业并非没有更成熟的先例可循：微软、Google 等厂商在涉及国家级攻击者的归因披露中，通常会随结论附带部分可验证材料——威胁行为体命名、攻击指标（IoC）、受害者范围或技术报告——以接受同业与客户的交叉检验；安全社群长期运行的负责任披露惯例，也强调结论应附带可复核的证据链。对照这些公开可见的行业基准，OpenAI 这次『只有结论、没有材料』的披露方式，明显低于主流归因披露的常规标准。这倒不是说 OpenAI 的指认一定有误——现有公开信息既无法证实也无法证伪——而是说，一个由单方、利益相关方做出的无证据归因，本身就不构成完整的结论。

对产业的影响是实实在在的。对中国 AI 公司而言，这类未经验证的指认可能带来海外市场的准入审查收紧、客户尽调成本上升等连锁反应；对整个行业而言，『安全披露』正在被卷入更大的叙事场，技术事件越来越难保持纯粹的技术属性。冷静地看，正确姿势是分层处理：技术细节归技术，该公开的绕过手法应以负责任的方式共享给防御社区；归因结论归程序，需要证据和可验证性支撑。把两者搅在一起，最终损害的是所有安全披露的公信力。

🛡️ 防御侧怎么接招：把模型 API 当办公网管

抛开归因争议，这件事给所有提供模型 API 服务和大量调用外部模型的团队，都留了一份可落地的防御清单。做应急响应的人都有一个本能：不纠结攻击者是谁，先看自己链路上哪一环会破。这次官方披露给出的答案是——传输与接口层。

四象限图的含义很清楚：真正高价值的手段，集中在『账号行为风控＋用量异常检测＋加密防护』这一带——它们共同的思路是，把模型 API 当成一张办公网来管，而不是当成一个网页产品。

具体到纵深，可以按五层来搭：

每一层单独看都有绕过方式——这次官方披露证明了连加密层都能被 novel 手法打穿——但纵深防御的价值从来不是单层不可破，而是抬高攻击者的总成本、留下可回溯的痕迹。蒸馏攻击是规模化的活儿，攻击者要的是效率；防御者哪怕只把抽取成本抬高一倍，很多攻击在经济上就不成立了。这和当年反爬虫、反薅羊毛的攻防逻辑一脉相承，只是这次被保护的对象，从数据换成了模型能力本身。

🧭 写在最后

一个值得所有人警惕的信号是：模型安全正在快速『Web 化』——攻击面收敛到少数几个巨头 API，攻击手法从社工和注入升级为对防护机制的正面突破，而披露权则高度集中在受害平台手中。这起事件里，技术细节（novel 加密绕过）和归因叙事（无证据指认）被捆绑发布，本身就是这个趋势的注脚。

对防御方，结论是务实的：按五层纵深把 API 防护建起来，重点补齐用量异常检测和传输层防护的短板。对行业，结论是审慎的：真正值得持续跟踪的，不是这纸指控的后续口水战，而是那个 novel 加密绕过的细节——它什么时候以补丁说明、技术论文或第三方验证的形式落地，什么时候模型安全的披露机制才算真正起步。在那之前，对任何无证据归因，多一分冷静，就少一分被叙事牵着走的代价。