AI开始偷师，也开始抓贼

同一周里，安全圈消化了两条画风迥异却指向同一件事的新闻：OpenAI 披露了一种"新型"加密绕过手法，被用于针对其模型的蒸馏攻击，并点名与 MoonShot AI 相关的人员参与了部分攻击；另一边，Google 的 AI 智能体 PageBreak 在自家 Web 应用里挖出了 500 个漏洞。

一边是 AI 攻击 AI 的边界被突破，一边是 AI 防御 AI 的战果首次规模化。这两条线正在交汇成同一个判断：AI 安全已经从"给模型加护栏"的合规命题，变成一场攻防两端都由 AI 驱动的正面战争。而决定谁赢的，不再是模型本身，而是验证能力与归因能力。

🔍 蒸馏攻击：偷师变成了一种攻击面

当偷师的成本降到 API 调用费，"学生"就不再客气了。

先说清楚什么是蒸馏攻击。模型蒸馏本来是一种正经技术：用大模型的输出作为训练数据，去培养一个更小、更便宜的模型。问题在于，当有人以远超正常使用的规模、有组织地批量调用 OpenAI 的 API，把输出原样囤起来喂给自己的模型时，"学习"就变成了"搬运"。

这一次 OpenAI 披露的重点，不是蒸馏本身——这种滥用并不新鲜——而是攻击者使用了一种他们称为 "novel" 的加密绕过（encryption bypass）手法。换句话说，模型平台为保护输出内容、区分合法与非法访问而部署的加密层机制，被攻击者想办法绕了过去。安全机制第一次被明确当作了蒸馏攻击链路上的"目标物"。

把攻击链拆开看，大致是这样一个闭环：

这个链条里最值得警惕的，是中间那一环。过去行业讨论模型滥用，注意力都放在"限流、封号、水印"这类应用层手段上。而加密绕过意味着，攻击者已经开始逆向平台的安全工程本身——攻击面从"模型"上移到了"保护模型的系统"。

产业逻辑也随之变了：对模型厂商来说，蒸馏攻击不再是商业条款纠纷（违反 ToS 那么简单），而是一次实打实的对抗性安全事件。防御方需要的是入侵检测级别的技术，而不是律师函。这解释了为什么 OpenAI 会把这类事件放进安全披露流程，而不是发一封停止侵权的函件了事。

一句话：当模型的输出本身就是资产，任何保护输出的机制都会成为攻击者的第一目标。

🕵️ 点名 MoonShot AI：没有证据的归因，谁信？

没有证据的指控，在安全行业里等于半个谣言。

OpenAI 在披露中称，与 MoonShot AI 相关的个人参与了部分攻击行为。但关键的后半句是：他们没有拿出硬证据。CyberScoop 在报道中直接点明了这一点——指控与证据之间存在明显落差。

这个落差有多致命？做过应急响应的人都清楚，安全归因的基本功是把行为证据（IoC、基础设施指纹、操作时间规律）与身份实体逐一钉死。而 API 滥用类事件天然困难：攻击者用的是付费账号、代理网络、可能还有转售的凭证，从"这个账号的行为模式"推到"这家公司的授意"，中间隔着好几层无法公开验证的推断。

据多位接近头部模型厂商的人士透露，业内对这类点名普遍持谨慎态度——大家真正想看的是技术细节和可验证的 IoC，而不是一个国别或公司标签。一旦"指控先行、证据缺席"成为惯例，安全披露就会滑向舆论工具：指控方获得了叙事主动权，被指控方则陷入无法自证的处境，而整个行业失去的是对厂商披露内容的信任基线。

客观地说，这里存在一个结构性困境：厂商手里有证据，但公开证据会暴露自己的检测能力；不公开，指控就站不住。这不是 OpenAI 一家的难题，而是所有平台型安全团队即将面对的考题——你越有能力做归因，就越需要一套可对外验证的披露规范。

合理的状态应该是三层分离：

这次的教训很清楚：技术披露和实体指控混在一份声明里，前者会被后者绑架。对安全社区来说，看点本来应该是那个 "novel" 的加密绕过——那才是真正值得所有平台排查的攻击手法。

🛡️ PageBreak：让 AI 智能体给自己找茬

最了解你系统弱点的，往往是替你写系统的那批工具。

镜头转到防御侧。Google 的 AI 智能体 PageBreak 在其 Web 应用生态中发现了 500 个漏洞——不是实验室演示，是自家生产环境里的真实产出。

CyberScoop 的报道点出了这件事真正代表的趋势：用 AI + 确定性验证（deterministic validation） 的组合来识别漏洞、判定可利用性并输出风险评估。这个组合拳比单看数字"500"重要得多。

传统扫描器的老毛病是人尽皆知的：误报淹没团队，真正的可利用性判定还得靠人肉复现。一个中大型安全团队的漏洞 triage 成本，大头从来不在"发现"，而在"排除假警报"。AI 智能体带来的范式变化在于分工重构——AI 负责"提出假设"（这里可能有个注入点、这个逻辑分支可能被绕过），确定性工具负责"完成验证"（复现、给出利用链、确认不是误报），最后再由 AI 补上风险评估和优先级排序。

这个闭环的可怕之处在于吞吐量：人类渗透测试工程师一周做一轮的覆盖，智能体可以做到持续运行。500 个漏洞背后真正的含义是覆盖密度的量级跃迁——你以为的安全基线，可能只是在旧扫描器视野内的安全基线。

把两条新闻放在一张表里看，结构就对上了：

值得注意的是，Google 没有把 PageBreak 包装成"AI 取代安全工程师"的叙事，而是强调"AI 与确定性验证的结合"。这是一种技术上的清醒：大模型的创造力 + 形式化工具的严谨性，缺一不可。

⚔️ 同一套技术，攻防两端共用

攻防从来不缺工具，缺的是边界感。

把视野拉高，你会发现蒸馏攻击和 PageBreak 用的是几乎同一套底层能力：大规模自动化推理、对目标系统的持续探测、对输出结果的批量处理。区别只有一个——是否在授权范围内，以及结论是否经过验证。

用一张四象限图给当前的玩家们定位，格局就很清楚了：

左下角的"存量玩家"处境最危险。传统扫描器厂商的核心资产是规则库和误报率优化，而这两项恰恰是被 AI 假设生成 + 确定性验证直接降维打击的对象。右上角的领跑者，赢点都在"闭环"上——既能提出人想不到的假设，又能机器化地验证假设。

对甲方安全团队，这次双事件给出的行动清单其实很具体。痛点和解法已经摆在明面上：

更深一层的产业判断是：模型厂商正在把"安全"从合规成本项改写成产品能力项。OpenAI 披露攻击手法，本质上是在向客户证明"我们看得见针对我们的攻击"；Google 展示 PageBreak，则是在证明"我们的安全左移跑得比你们快"。安全能力第一次成为 AI 厂商的竞争卖点，而不只是发布会上的一个 bullet point。

接下来的 12 到 24 个月，可以合理推演三个方向：其一，agent 化红队会成为安全预算里的独立科目，"按发现的漏洞数付费"的商业模式会出现；其二，反蒸馏技术（输出加密、指纹水印、推理速率整形）会成为模型 API 的标配，就像今天 WAF 对 Web 服务的意义；其三，安全事件的归因披露会被行业规范倒逼着走向"可验证披露"，谁先建立这套规范，谁就掌握叙事权。

📌 结语

偷师和抓贼，用的是同一双眼睛。

OpenAI 的加密绕过事件告诉我们：保护模型的机制本身就是攻击面，而归因没有证据支撑就只是叙事；Google 的 PageBreak 告诉我们：AI 驱动的假设生成配上确定性验证，能把防御密度拉到新的量级。两条线的交汇点是同一个命题——在 AI 打 AI 的对抗里，验证能力就是定价权。

对安全从业者，真正的动作项只有一个：把你现在的漏洞管理和威胁检测流程拿出来，逐环节问一句"这一步 AI 能不能做得更快、对手的 AI 能不能绕得更干净"。答案决定你是在右上象限，还是在左下角等被整合。

而在那之前，每一次没有证据的指控和每一次未经复现的告警，都在消耗这个行业最稀缺的资源——信任。