本文以 Anthropic 2026 年 9 月发布的威胁情报报告中的蒸馏指控相关章节为基础，通过 AI 工具进行内容分析与文字润色。文中观点为作者个人解读，不构成官方立场，仅供交流参考。
2026 年 9 月 10 日，Anthropic 发布月度威胁情报报告《Detecting and countering misuse of AI: September 2026》。其中”非法蒸馏”（illicit distillation）一节中点名了七家中国 AI 实验室：阿里、月之暗面、DeepSeek、智谱、小米、商汤、MiniMax。
关于这份报告的讨论已经不少，但大部分都在转述同一份材料。这篇换个做法：只看 Anthropic 自己的材料——官方博客、报告全文、以及它自己的法律文档——然后看看这份报告本身说了什么。
这个限制不是为了替任何一方辩护，也不是为了预设立场，理由很实际：想知道一份报告经不经得起检验，二手转述帮不上忙，因为转述会同时放大它的结论和它的漏洞。而 Anthropic 公开的材料足够多，多到可以用它自己的话检验它自己。
154 页的原文里，有几个中文讨论里几乎被漏掉的点，其中一条相当关键。
这篇会聊到：先把材料摆出来 → 9 月报告说了什么 → 蒸馏章节为什么一条可核验指标都没有 → 归因方法上 2 月反而比 9 月说得更清楚 → 报告里那句它自己承认”不知道”的话 → 动机里哪些能确认、哪些不能 → 以及一份可以用来检验任何威胁情报报告的 6 问清单。
一、先把材料摆出来
下面这些来源全部出自 Anthropic 自己：
- 《Detecting and preventing distillation attacks》，2026 年 2 月 23 日——第一次公开指控的原文
- 《Detecting and countering misuse of AI: September 2026》，2026 年 9 月 10 日（154 页 PDF）
- 《Our position on open-weights models》，2026 年 7 月 27 日，署名 Dario Amodei
- 《More details on Fable 5’s cyber safeguards and our jailbreak framework》，2026 年 7 月 2 日
- 《Improving our alignment and security efforts》，2026 年 8 月 31 日
- 消费者服务条款、隐私政策、支持国家名单等法律与管理文档
本文刻意不引用媒体的报道。 不是媒体不可靠，而是当判断的是”这份报告自己说了什么”时，中间每多一层，噪声就多一分。
二、9 月报告说了什么：数字、手法、编号
先把事实摆清楚。以下全部出自报告原文（”Illicit distillation” 章节，第 143—154 页）：
| 被点名方 | 观测窗口 | 报告给出的量级 | 报告编号 |
|---|---|---|---|
| 阿里（Qwen / 通义实验室） | 2026 年 5—7 月 | 超 1.51 亿次交互，峰值近 300 万次/日 | GTG-16005 |
| 月之暗面 | 10 天内转发近 30 万次客户请求 | 超 2,300 万次交互 | GTG-16002 |
| DeepSeek | 2026 年 7 月的 14 天 | 超 1,210 万次交互 | GTG-16001 |
| 智谱（Z.ai / GLM） | 2026 年 6—7 月的 17 天 | 超 340 万次交互 | GTG-16006 |
| 小米 | 2026 年 3—4 月的 20 天 | 超 40 万次请求 | GTG-16008 |
| 商汤 | 未给出量级 | 未给出量级 | GTG-16012 |
| MiniMax | 未给出量级 | 未给出量级 | GTG-16003 |
报告对”蒸馏”的定义本身是克制的。它先写明”蒸馏本身是一种合法的训练方法”（”Distillation itself is a legitimate training method”），然后把”非法蒸馏”限定为”工业规模的、隐蔽的、未经授权提取模型能力并复制到另一个模型中的行动”。
它也写明了攻击者怎么进来：通过代理服务——报告管它叫”转运站”（transfer stations）——用虚假身份、假卡或被盗的卡，加上被盗的 API 密钥批量注册账号。其中有个细节值得注意：报告说这些代理网络会”使用属于合法公司或个人的被盗 API 凭证，来给未授权实体提供访问美国前沿模型的通道”。也就是说，被偷的不只是算力，还有别人的身份。
具体手法里，最值得注意的是月之暗面被描述的那条技术链：Claude 返回推理内容时，给的不是原始思维链，而是一个推理签名（”thinking signature”）；攻击者把这个签名存下来，开一个新会话，再诱导 Claude 把签名还原成完整推理轨迹。报告把这种手法叫”跨会话重放”（cross-session replay），并指出这是它现有控制措施被绕过的具体路径。
这类细节之所以有价值，是因为它可以被反驳。如果一家公司认为这个描述不成立，它可以针对这条技术路径具体回应，而不是只能笼统地说”我们没做”。
三、最值得注意的一点：蒸馏章节没有 Indicators of Compromise
这一点在中文讨论里几乎没人提到。
同一份报告，在网络安全章节里公开了什么？脱敏域名、带起止日期的攻击者出口 IP、Telegram 群组和机器人 ID、样本文件哈希。以 GTG-20006 那一节为例，它给了几十条域名、15 条带明确起止时间的出口 IP，以及若干哈希值。这些是安全行业的标准做法，也都是可以被第三方拿去复核的——域名注册时间查得到，IP 归属查得到。
到了蒸馏章节，报告又给了什么？公司名称、GTG 编号、精确到个位数的数字（比如 770,609 次经清洗管道的交互、5,380 个账号、273 个账号）。
一条可核验指标都没有。 没有域名，没有 IP，没有账号编号，没有可供外部检查的样本。
这个对比之所以重要，是因为它排除了一种解释。不能说”威胁情报本来就不能公开技术指标”——同一份报告在别的地方公开了。 所以这不是体裁限制，是逐章节的选择。
而精确的数字会造成一种特定的阅读效果：看到”770,609”时，第一反应是”他们数过”，而不是”他们怎么数出来的”。但能被数出来，和能被验证，是两件事。前者只说明发布方持有并统计了相关数据，后者则需要提供足够材料，让第三方能够交叉核验。
一句话总结：报告有能力公开可核验材料，却没有在承载实体归因和用户数据指控的蒸馏章节公开这些材料。
四、归因方法：2 月比 9 月说得更清楚
按常理，2 月是第一份，应该更谨慎；9 月积累了更多材料，应该更详细。实际情况恰恰相反。
2 月那篇博客里，Anthropic 是这么写的（原文）：
“We attributed each campaign to a specific lab with high confidence through IP address correlation, request metadata, infrastructure indicators, and in some cases corroboration from industry partners who observed the same actors and behaviors on their platforms.”
翻译：通过 IP 地址关联、请求元数据、基础设施指标，以及在某些情况下由观察到相同行为体的行业伙伴提供的佐证，以高确信度归因到具体实验室。
这句说明相当具体，它还给出了几个可检验的锚点：
- 关于 DeepSeek：”通过检查请求元数据，我们能够把这些账号追溯到该实验室的具体研究人员。”
- 关于月之暗面：”我们通过请求元数据归因，这些元数据与该实验室资深员工的公开资料相符。”
- 关于 MiniMax：”通过请求元数据和基础设施指标归因，并对照其公开产品路线图确认了时间点。”
到了 9 月，对应位置只剩一句：”we have detected and disrupted unauthorized distillation campaigns we have attributed with high confidence to specific PRC-based labs”。**”高确信度”变成了一个施加于整批归因的统一声明**，七条指控不再分别标注。
问题不在”高确信度”这个词，而在于：同一份报告在别处的措辞强度并不一样。 9 月报告在俄罗斯国家媒体那节写了 “we assess with high confidence”，在马来西亚那节对行为体自己工具上报的数据写了 “we cannot independently verify them”，对小米和 MiniMax 的意图用的是 “suggests”。
这句话有它的边界：这些例子分别出现在别的章节、针对别的对象，**不能直接推出”报告对实体归因也已具备分级能力”**。能确定的只有两点——报告在其他语境下用过不同强度的措辞；而在蒸馏章节，七条实体归因共用一句 “with high confidence”，报告没有说明这个统一判断的适用范围。
结果是读者没法判断：这七条是同等强度，还是其中某几条只是”我们倾向于认为”。
五、一句”我们不知道”，不能单独成为可信度的证据
关于月之暗面是否告知了自己的客户，报告原文写：
“We do not know if Moonshot notified their customers that their requests were being rerouted to Anthropic and exposed to a third party.”
“我们不知道月之暗面是否通知了其客户，他们的请求正在被转发给 Anthropic 并暴露给第三方。”
有些人会把这句话视为报告足够克制、因而值得信任的证据。这个读法站不住，而且错在一个很具体的地方。
“承认不知道”能证明的，只是”这份文件里有一句承认不知道”。 它不能证明报告整体可信，不能证明那些指控成立，也不能证明发布方在别处同样克制。用一个无需举证的观察去支撑一个需要举证的结论，是这类讨论里最常见的失误。
要看清这句话的分量，得先分清三种不确定性：
| 不确定性的类型 | 报告有没有标注 |
|---|---|
| 核心事实：转发这件事本身是否发生 | 没有。报告以事实陈述给出 |
| 归因确信度：这一条指控有多确信 | 没有。整批用一句 “with high confidence” 覆盖 |
| 周边事实：对方有没有通知客户 | 有。就是这一句 |
报告承认的，是最外围的那一类。 它并没有说”我们不确定转发是否发生”，它说的是”我们确信转发发生了，只是不知道对方告没告知客户”。这两种不确定性完全不是一个量级，而只有后者被写了出来。
这也意味着，这句话并不”对己不利”。它在修辞上其实有利：它没有作出一个报告中未提供证据支持的具体断言（”他们没有通知客户”），同时保留了读者最可能自行填充的暗示。对一份指控文件来说，这比直接断言更安全，效果却接近。这未必出于刻意设计——但克制和修辞获益在这里可以同时存在，所以它不能被单独当成报告可信的证据。
这句话真正的价值不在”它证明了报告可信”，而在于它加强了第三节那个对比：既然报告在这里能写出”我们不知道”，那么在同一章里对核心指控一条可核验指标都不提供，就更需要解释。它说明的不是这家公司诚实，而是报告知道怎么标注不确定性——然后选择了在哪里标注。
顺着这句往下看，报告在这一节里列出的内容也是具体的。它说 DeepSeek、小米、月之暗面”把其自身模型与用户之间的对话喂给了 Claude”，并给了两个打码后的样本：某制药公司的内部资本支出预测，以及某开发者贴在对话里的有效凭证（Telegram bot token、飞书 appSecret、Notion integration key）。
报告还给出了受害者的分布：”其中许多对话是从美国和欧洲用户常用的第三方模型路由服务转发而来的。这些会话包含数百名终端用户的姓名、电子邮件地址、公司数据及其他敏感数据，涉及至少十几种语言。”
这里需要非常小心地读。如果这一节成立，直接承受数据风险的主要是请求被转发的终端用户，而不只是 Anthropic 自身的用户——这些人以为自己在使用别的模型。报告还特意加了一句评价：”这些做法很可能不符合隐私法以及这些实验室自己的服务条款。”
所以这一节的逻辑结构和其他章节不同：前面几节讲的是”企业拿了我们的能力”，这一节讲的是”企业可能拿了用户的数据”。
而这一点恰恰是整份报告里最需要外部证据、外部证据却最少的部分。 原因见下一节。
顺便说一句：报告在这一节里同样列了中国用户受影响的具体案例（某大型国企工程师的内部代码与实时凭证、某市公安局的案件管理系统）。它没有把中国用户排除在受害者之外。
六、动机：可以确认的，和不能确认的
讨论这份报告，绕不开”它为什么发”这个问题。先把能确定的和不能确定的分开。
能确定的，是它在官方材料里明说的目标。 2 月那篇博客里有一段标题就叫”蒸馏攻击与出口管制”，逻辑是：蒸馏削弱了芯片管制的效果，所以”蒸馏攻击反而强化了出口管制的理由”。Dario 在 7 月那篇署名文章里说得更直接——他把打击”工业规模的蒸馏行动”列为应对中国 AI 的三项主张之一，理由是蒸馏比从头训练省算力得多，”让中国能造出比它的芯片数量通常允许的更好的模型，从而部分绕开芯片禁令”。
这些都是官方立场，写在明面上，不需要推测。
同样写在官方材料里的，是它对”想封杀开源”这个说法的回应。 Dario 那篇开头就写：”Anthropic 从未主张禁止开放权重模型“，并说这类禁令解决不了他最担心的两个问题。这个表态很明确，值得记录。
不能确定的，是它的主观动机。 有个基本区分需要说清楚：一件事符合某方的利益，不等于这件事是被利益驱动的。真实的身份识别工作、真实的商业损失、真实的安全关切，和”发布指控对自己有政策收益”这几件事，完全可以同时成立。外部观察者没有能力判断哪个占多少。
不过有一把尺子必须两边都用：同一份报告自己写了这句（原文）：
“Other frontier labs have faced distillation attacks. OpenAI has called attention to this activity since early 2025. Google published a threat tracker on adversarial distillation earlier this year.”
它主动承认这不是自己独有的问题。 这句话直接削弱了”独家叙事”这类动机指控——一家只想抢占叙事的公司，通常不会在报告里告诉你”我的竞争对手早就在说这件事了”。
报告里还有一处值得记。Dario 那篇博文的脚注里，Anthropic 坦承了自己防护的局限：
相关账号”往往只有在相当规模的蒸馏已经发生之后才能被识别出来”，而且蒸馏通常涉及”创建大量虚假账号，形成一个移动的靶子”。
这是它自己说的——检测是滞后的。这既解释了为什么报告里的数字总是”事后统计”，也是一个由对方自己提供的、可被指控方使用的论据。
七、”用户数据被转发”这一节，恰恰是最依赖报告可信度的部分
这里容易犯一个逻辑错误：把”这样做对不对”和”有没有这样做”当成同一个问题。
面对这类指控，人们常有两种反应，而它们其实是两个层面的判断：
- 这是错的吗？ 伦理判断，与报告无关。未经用户知情就把请求转发给第三方模型、再把对话留下来训练，这件事本身的对错，不取决于谁揭发它。在这个层面上，指控方是谁不影响结论。
- 这件事发生了吗？ 事实判断，完全依赖报告的可信度。而在 9 月这份报告里，这一节的证据是两个打码样本，加上”数百名终端用户””十几种语言”这类量化描述。没有可核验指标，没有第三方验证，被指控方也没有接触证据的途径。
所以在事实层面必须承认：就本文查阅的公开材料而言，关于这一节的信息全部来自 Anthropic 的单方面陈述，而这份报告在同一章节里没有提供一条可供外部核验的指标。 那两个样本无法由外部核实，”数百名终端用户”的说法无法由外部核实，转发这件事是否真的发生过也无法仅凭现有公开材料判断。
这里还有一组区别值得分清：
- 防护性主张（”有人批量注册欺诈账号”）——如果信错了，代价是 Anthropic 多封了几个账号，损失有限；
- 指控性主张（”这些公司在用用户的对话训练”）——如果信错了，代价是七家公司背上未经证实的指控，而受损方没有任何反驳的途径。
对后者的证据门槛，理应高于前者。 而 9 月报告在这两类主张上给出的证据强度恰好相反：防护性主张（网络安全章节）带了完整的可核验指标；指控性主张（蒸馏章节）一条都没有。
在这一节所描述的场景里，普通用户和独立第三方都缺乏核实条件。如果一家公司真的在转发你的请求，它未必会主动说明；截至报告发布，Anthropic 也没有公开足以供外部核验的材料。用户既看不到自己的请求去了哪里，也很难证明或证伪它。因此，就目前的公开证据而言，”它是真的”仍然主要是报告发布方的一面之词。
它可能是整份报告里对普通人影响最直接的一节。而越是影响直接的信息，越不能只靠一句没有出处的结论去接受它。
八、如果你想自己判断，可以问这 6 个问题
这份清单适用于任何一份威胁情报报告，不限于这一份，也不需要你选边：
- 它给的是原始材料，还是结论的量化表达？
- 同一份报告的不同章节，可核验程度是否一致？如果不一致，为什么？
- 每条结论是否分别标注了确信度？如果有的标了有的没标，为什么？
- 被指控方能不能接触到证据，并作出有针对性的反驳？
- 同一指控在不同版本之间数字变了，有没有解释口径？
- 报道链条里，有没有任何一环引入了新证据，还是全部在转述同一份原始主张？
其中第 2、3 两条最实用。它们的好处是不需要你相信任何一方——只需要把同一份文件的不同部分放在一起看。
最后：这份报告应该怎么读
一、它描述的行为是否真实发生，无法判定。 判定所需的原始数据（账号注册记录、支付流水、代理 IP、会话内容）只存在于 Anthropic 自己的系统里，外部没有任何工具可以调取。指出它的方法缺陷，不等于说那些指控是假的——这两件事经常被混为一谈。
二、它在方法上有几个可以内部检验的问题。 蒸馏章节的量化结论缺少报告其他章节具备的可核验指标；七条归因共用一句统一的高确信度声明而不分别标注；跨版本的量级跃升没有解释累计口径。
三、它也有几处比一般威胁情报产品更具体。 它公开了归因方法的抽象描述（IP 关联、请求元数据、基础设施指标，以及行业伙伴的旁证）；它把材料以打码样本的形式呈现，不只是给结论；它在蒸馏章节之外主动写明 OpenAI 和 Google 也遭遇过同类问题。
四、”我们不知道月之暗面是否通知了客户”这句话，不是可信度的加分项。 它承认的是最外围的一类不确定性（对方有没有告知客户），而不是核心事实（转发是否发生），也不是归因确信度；而且它在修辞上对报告有利。它值得被记住，是因为它划出了这份报告的证据边界：报告知道”不确定”该写在哪，却只在最外围写了一次。
五、所以在这个具体指控上，只能停在这里：截至现有公开材料，外部无法判断转发是否发生。 把”这不重要，重要的是用户可能被当成原料”当成结论，是站不住的——用户是不是原料，取决于转没转发。而这个前提目前只有一方的说法，且这一方在同一章里没有提供任何可供外部核验的材料。
如果哪天有可核验的材料出现——不管是 Anthropic 公开指标，还是被点名方拿出可查的反驳——这一节才有资格被当成事实来讨论。在那之前，它只是一个指控。一个值得被记住、也值得被追问的指控。
附：本文引用的官方来源
| 来源 | 性质 |
|---|---|
| Detecting and preventing distillation attacks（2026-02-23） | Anthropic 官方博客，首次公开指控及归因方法说明 |
| Detecting and countering misuse of AI: September 2026（2026-09-10，PDF） | 报告全文，蒸馏章节见第 143—154 页 |
| Our position on open-weights models（2026-07-27，署名 Dario Amodei） | 官方立场文章，含蒸馏与出口管制的关系、以及对开源禁令的回应 |
| More details on Fable 5’s cyber safeguards and our jailbreak framework（2026-07-02） | 官方博客，网络安全防护分级 |
| Improving our alignment and security efforts（2026-08-31） | 官方博客，安全事件与整改 |
| Consumer Terms of Service / Privacy Policy | 法律文档，含”非用户”数据类别 |
| Supported countries & regions | 官方名单，中国大陆不在其中 |
方法说明：本文仅引用 Anthropic 官方公开材料，报告原文均可在上述 PDF 中核对，英文引文处已附原句。文中的事实性描述以这些公开材料为依据，分析与评价则是作者对材料的解读；本文不对相关指控的真实性作独立确认。本文不引用媒体转述，因为本文要检验的是报告自身的表述与内在一致性。