一次蒸馏攻击，撕开了AI的围墙

大模型公司最怕的不是越狱，而是有人安安静静把模型"搬走"。

OpenAI 近日披露了一次针对自家的"蒸馏攻击"（distillation attack），其中使用了一种被其称为"新型"的加密绕过（encryption bypass）手法。更受关注的是，OpenAI 在披露中点名称，部分攻击行为与来自中国的公司 MoonshotAI 的关联人员有关——但同时承认，并未拿出可以支撑这一指控的硬证据。

一句话判断：这既是一份技术情报，也是一份尚未闭合证据链的归属指控。前者值得所有AI厂商认真研究，后者则需要冷静看待。

🔍 一次罕见的技术披露

先看事实本身。

根据 CyberScoop 的报道，OpenAI 主动披露了这次攻击，并将其中的加密绕过手法称为"novel"——在安全行业的语境里，这个词的分量不轻。它通常意味着：防御方第一次见到这种绕过路径，现有的检测规则和防护设计对其无效。

值得注意的是披露行为本身。对头部模型厂商而言，承认自己被攻击、且攻击部分得手，是需要权衡的：不说，攻击者可能长期潜伏；说了，等于告诉所有竞争者"围墙上有洞"。OpenAI 选择公开，说明这件事在它内部的风险评估中已经越过了一个阈值。

另据多位长期跟踪AI安全事件的人士观察，模型厂商披露此类攻击的公开案例极为少见。过去几年里，社区流传更多的是关于"大批量爬取输出做蒸馏"的私下讨论，厂商普遍以封号、限流等运营手段处理，鲜少走到技术披露这一步。

这张表本身就是信息：披露的颗粒度越粗，说明调查越不完整，或者披露方在证据与措辞之间选择了谨慎的中间态。

⚙️ "加密绕过"到底绕过了什么

要看懂这件事，得先把"蒸馏攻击"和"加密绕过"拆开讲。

蒸馏（distillation）本身是中性的机器学习技术：用一个强大的教师模型生成输出，拿这些输出去训练一个更小的学生模型，让学生模型逼近教师的能力。正常的研究和产品里，这是标准操作。

而"蒸馏攻击"，指的是未经授权获取教师模型的高质量输出，用于训练自己的模型——本质上是把别人训练模型花掉的巨额算力和数据成本，通过API这个口子"批发"走。对厂商来说，这不仅是服务条款问题，更是核心资产的流失：模型能力是他们最贵的资产。

那加密绕过在其中的角色是什么？虽然OpenAI未公布细节，但可以合理推演：厂商在API输出链路上设置了保护机制——比如对响应做加密或加签，用于防止中间人篡改、防止输出被第三方工具批量截获、以及防止绕过官方客户端的自动化滥用。所谓"加密绕过"，就是攻击者找到了一条让这层保护失效的路径，使得大规模、低成本的输出采集成为可能。

这条链路上，真正的技术门槛在中间环节。账号和调用都可以用钱解决，但让保护机制失效、并且在大流量下保持稳定，这需要相当水平的安全研究能力——这也是OpenAI用"novel"来形容它的原因。

产业逻辑很直白：当模型权重成为数十亿美元投入的结晶，API就不再只是一个产品接口，而是这堆资产唯一的对外出口。出口上每一寸保护，都是资产负债表的一部分。

🕵️ 指了名，却拿不出硬证据

这是整件事里最微妙的部分。

OpenAI 声称部分攻击与 MoonshotAI 的关联人员有关，但按照 CyberScoop 的报道，公司并未提供支持这一说法的硬证据。换句话说，公众目前面对的是一份"结论先行、证据缺席"的归属声明。

必须客观地说：网络攻击归属本身就是安全行业公认的高难度问题。攻击者在云端操作、使用租用基础设施、刻意清洗行为轨迹，即便是最成熟的安全团队，也往往只能给出"高置信度推断"而非铁证。安全研究者私下常说的共识是——归属判断最怕的不是证据不足，而是把推断当结论发布。

从产业视角看，这种"点名但不给证据"的做法会带来几层影响：

其一，对被点名方而言，缺乏证据的指控是难以回应的——既无法自证，也无法反驳，只能停留在否认层面。这对一家在模型市场竞争中的公司是实质性伤害。

其二，对披露方而言，这会消耗自身的公信力资产。安全披露的价值建立在可信度上，一次证据不足的指控，会让后续所有披露被用放大镜审视。

其三，对行业而言，大模型竞争本就高度地缘化，任何缺乏证据的跨境指控都容易被卷入更宏大的叙事，反而遮蔽了真正的技术问题。冷静的观察者应当把两件事分开：攻击技术本身的事实，与归属指控的举证责任。

据接近行业披露流程的人士称，厂商在做此类归属表述前，通常经历法务、政府关系、公关的多轮评估，最终措辞往往是各方折中的产物。"与关联人员有关"这种表述的模糊性，某种程度上正是折中的痕迹。

🏗️ 蒸馏经济学：为什么总有人想抄近道

理解了攻防，再看动机。

训练一个前沿大模型的成本是公开的秘密：算力、数据、人才，每一项都是天文数字。而蒸馏提供了一条经济学上极具诱惑力的路径——用教师模型的输出当训练数据，成本可能只有从零训练的零头。

这就构成了一条隐形的"能力转移通道"：

这条通道解释了为什么头部厂商近年来在API侧不断加码：输出加签、水印研究、用量异常检测、客户端完整性校验。蒸馏与反蒸馏，正在成为模型厂商之间一场安静的持续攻防。

这里面有一个容易被忽略的产业悖论：蒸馏在开源生态里是被鼓励的——用大模型的输出训练小模型，恰恰是开源社区提升效率的主流方式。区别只在于授权边界。同样的技术动作，有授权叫生态，没授权叫攻击。所以围绕蒸馏的争议，本质不是技术之争，而是合同与资产边界之争。

对中小厂商来说，这件事的启示同样直接：不要以为蒸馏攻击只针对头部公司。恰恰是防御薄弱的中腰部API服务，更容易成为采集目标——攻击者会挑防守最弱的出口下手。

🛡️ 围墙公司的下一场攻防

给防御方的建议，可以很具体。

第一，把API出口当作攻击面管理的一等公民。大多数模型厂商的攻击面盘点停留在Web和云基础设施，输出链路上的保护机制很少被纳入红队测试范围。OpenAI这次披露恰恰说明：输出保护机制本身也需要被持续攻击测试。

第二，建立输出侧的滥用检测。蒸馏攻击的流量特征与正常使用不同：任务模式高度模板化、吞吐量长期贴近上限、调用的任务覆盖面异常宽。这些信号单看都不违规，连起来看就是采集行为。

第三，重新审视与竞争者的关系模型。当蒸馏攻防成为常态，模型授权条款、输出使用限制、甚至法律手段的配合，都会像软件行业的许可证攻防一样，变成产品策略的一部分。

回到这次事件本身。攻击技术值得研究，披露勇气值得肯定，但归属指控仍需证据说话。对整个行业来说，这次披露最大的价值或许不是抓到了谁，而是确认了一件事：模型能力的围墙战已经打响，而且攻击者的手法还在快速进化。

下一次，可能就没有"novel"这个词，而是防线上的一个真实缺口。

围墙上的洞，从来都是在最安静的时候被挖开的。