蒸馏是一种 AI 训练技术。Moonshot 对 Anthropic 所做的是欺诈。

在 @WarOnTheRocks 的一篇新文章中，我探讨了华盛顿如何惩罚和威慑中国的 AI 提取行动——而无需禁止开放权重模型。

https://t.co/MvsgA01s0R

如何阻止中国搭美国 AI 的便车

来源：https://warontherocks.com/cogs-of-war/how-to-stop-china-from-freeriding-on-american-ai/ 中国开放权重 AI 模型 Kimi K3 的发布，将一整年悬而未决的 AI 政策辩论压缩进了一个新闻周期。7 月 21 日，财政部长 Scott Bessent 威胁要对被发现其模型建立在“盗窃”基础上的中国实验室实施制裁（https://www.cnbc.com/2026/07/21/bessent-china-ai-sanctions.html），并报告称政府“在许多中国模型中发现了我们美国大语言模型的水印”。次日，白宫科学顾问 Michael Kratsios 澄清说，K3 背后的中国 AI 实验室 Moonshot AI 构建了一个精密平台，在规避检测的同时复制了 Anthropic 的 Fable 模型（https://www.ibtimes.com/chinese-ai-company-moonshot-has-achieved-major-milestones-white-house-accused-taking-anthropic-3805605）。

业界也明确表达了自己的看法，Nvidia 的黄仁勋宣称美国公司“绝对”应该使用在价格上胜过美国同行的中国模型（https://www.axios.com/2026/07/22/nvidia-jensen-huang-china-open-source-ai）。在《华盛顿邮报》上，投资人 Bill Gurley 认为，将开放模型视为需要被许可（https://www.washingtonpost.com/opinions/2026/07/20/open-model-ai-is-good-competition-anthropic-openai/）和管控的危险品，违背了长期推动美国创新的自由市场原则。

中国的开源 AI 模型正在稳步进入全球市场，目前占全球 AI 工作负载的大多数（https://opentools.ai/news/chinese-ai-models-hit-60-percent-market-share-threaten-ipos）。关于如何应对这些模型的争论，使华盛顿分裂为两个阵营。一个阵营对中国 AI 扩散伴随的合法安全风险（https://warontherocks.com/2026/04/chinas-ai-is-spreading-fast-heres-how-to-stop-the-security-risks/）感到警觉，倾向于直接限制或禁止中国 AI 模型进入美国基础设施。他们指出美国知识产权的被盗是打压中国 AI 的若干理由之一。另一个阵营由依赖中国模型的软件工程师和技术专家（https://aiweekly.co/alerts/little-tech-group-urges-trump-not-to-ban-chinese-open-models）力挺，他们警告限制软件开发会带来过高成本，并坚称美国知识产权没有发生任何不妥之事。

在这场喧嚣中，特朗普政府正走在一条艰难的钢丝上。官员们迄今一直支持开源软件，同时寻求惩罚隐蔽的、工业规模的美国商业秘密窃取行为。这一原则是正确的界线，而华盛顿已经拥有执行它所需的法律机制。简而言之，美国应准备制裁那些从事工业规模欺诈的中国 AI 实验室，而不是制裁 AI 行业广泛使用的“蒸馏”行为本身。

订阅我们的通讯（https://warontherocks.com/cogs-of-war-newsletter-sign-up/）

蒸馏是技术，提取是欺诈

围绕 AI 蒸馏的政策讨论，已与当今 AI 行业的技术现实严重脱节。在考虑美国政策方向之前，有必要理解什么是蒸馏、它在中国 AI 实验室取得进展中扮演了什么角色，以及它有时如何被滥用从而侵犯知识产权。

首先，蒸馏（https://arxiv.org/abs/1503.02531）——即利用更强大的“教师”模型的输出，来训练一个更小的“学生”语言模型（https://warontherocks.com/cogs-of-war/the-pentagons-ai-edge-is-being-distilled-away/）——是一种行业标准方法，所有 AI 实验室都在使用（https://www.interconnects.ai/p/the-distillation-panic），包括美国前沿实验室蒸馏自己模型，以及中国的开放权重竞争者。禁止蒸馏在技术上不可行（https://www.lawfaremedia.org/article/responding-to-ai-distillation-without-panic），因为任何能够访问模型输出的人——包括合法客户——都可以将这些输出重新整理为训练数据。即使完全阻止蒸馏是可能的，一个仅限于生产不可蒸馏模型的美国 AI 生态系统，也会以牺牲所有其他试图适配科学创新的 AI 开发者为代价，人为保护两三个前沿实验室。

其次，蒸馏并不能像华盛顿许多人愿意相信的那样，解释中国模型近期的大部分表现。虽然蒸馏帮助中国实验室启动推理能力（https://www.interconnects.ai/p/the-distillation-panic），但这些实验室仍在进行自己严肃的工程研究。DeepSeek R1 在 2025 年 1 月的效率突破（https://www.iiss.org/publications/strategic-comments/2025/04/deepseeks-release-of-an-open-weight-frontier-ai-model/）主要来自强化学习的变化，而不是复制美国竞争对手。Moonshot 在 2026 年早些时候对代理集群（agent swarming）的关注（https://www.constellationr.com/insights/news/moonshots-kimi-k25-introduces-agent-swarm-highlights-open-source-model-momentum）同样是一项自主能力。尽管阻止针对美国前沿实验室的蒸馏攻击仍然是一个崇高的政策目标，但华盛顿应认识到，这样做只会减缓、而不是阻止中国的进步。

第三，中国 AI 实验室的令人反感行为不仅仅在于蒸馏，而在于旨在窃取美国商业秘密的大规模、系统性欺诈。理解这一区别，需要区分作为合法模型训练技术的蒸馏，与蒸馏攻击——即企业通过欺骗手段获得竞争对手产品的访问权以复制它。违反用户协议通常属于民事事务，但通过欺诈手段获得并维持未经授权的访问——包括使用伪造身份、专门构建的规避基础设施、系统性绕过安全控制——则属于《计算机欺诈和滥用法》（https://www.justice.gov/jm/jm-9-48000-computer-fraud）和电信欺诈（https://www.law.cornell.edu/uscode/text/18/1343）法规的管辖范围。

到 2026 年 2 月，Anthropic 追踪到 Moonshot 与其模型进行了超过 340 万次交互（https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks）。这些交互通过数百个虚假账户路由，使用一个为规避检测而专门构建的内部平台。随后在 6 月，Anthropic 告诉参议院银行委员会，阿里巴巴的 Qwen 实验室对它实施了“已知最大的蒸馏攻击”（https://www.cnbc.com/2026/07/21/bessent-china-ai-sanctions.html）。

知识产权只是故事的一部分

蒸馏作为技术 vs 蒸馏作为攻击的区别，有助于界定美国政府可以可信地惩罚哪些行为，但这并不能完整说明特朗普政府为何或应该对中国的模型感到担忧。

根据美国法律，仅模型输出本身不受版权保护（https://www.congress.gov/crs-product/LSB10922），因为它们需要人类作者身份，这使得“知识产权盗窃”在法律上是一个可疑的描述。商业秘密法（https://uscode.house.gov/view.xhtml?path=/prelim@title18/part1/chapter90&edition=prelim）是更合适的选择。

怀疑者会反对说，通过商业界面提供的模型输出不可能保持“秘密”，但对前沿模型的所有权访问并非完全公开。它是经过认证、付费、限速、并受服务条款限制的。此外，涉案的商业秘密不是 Claude 或 ChatGPT 对单个查询的回应，而是跨数百万次对话中集体编码的底层模型行为——这只能通过系统化的大规模方式提取。

美国前沿实验室的批评者已经指出（https://x.com/DavidSacks/status/2081867338392150282?s=20），Anthropic 本身也在盗版图书上进行了训练（https://blog.ai-laws.org/copyright-vs-code-the-ai-training-debate-and-the-anthropic-case/），并为此支付了 15 亿美元的和解金（https://www.benzinga.com/markets/prediction-markets/26/07/60620441/bessent-wants-chinese-ai-sanctioned-but-jensen-huang-says-distillation-is-learning）。具有讽刺意味的是，这种比较恰恰说明了问题所在：Anthropic 在美国法院被起诉，并支付了历史上最大的一笔版权和解金。而 Moonshot 成功提取和复制 Anthropic 的商业秘密后，没有任何一个法庭会让它付出代价。调和这种不对称性，是政府应处理的重要部分。

撇开欺诈本身不谈，对中国 AI 实验室采取惩罚性行动的更有说服力的理由是基于国家安全。通过将美国在算力和机器推理研究上的数十亿美元研发支出转化（https://conversion.uslegal.com/criminal-conversion/）为免费发布的结果，中国实验室正在全球价格敏感市场上削弱美国公司（https://www.aei.org/research-products/working-paper/chinas-transition-to-scalable-intelligence/）的竞争力。

美国 AI 的经济流离失所，加剧了这些模型带来的其他国家安全风险（https://warontherocks.com/2026/04/chinas-ai-is-spreading-fast-heres-how-to-stop-the-security-risks/）：供应链容易受到恶意权重污染，而这些污染无法在安全审计中被可靠地发现；用户流量被路由到受中国《国家情报法》约束的服务器，从而造成情报收集；以及恶意行为者能力的提升。如今的基础软件（https://warontherocks.com/cogs-of-war/your-defense-code-is-already-ai-generated-now-what/）正由旧金山的软件工程师（https://www.aei.org/foreign-and-defense-policy/code-red-is-the-future-of-american-ai-being-built-in-beijing/）使用服从于国家安保部门的中国模型编写。

开放 AI 市场竞争是否可取，与另一个问题——美国是否应容忍中国对 AI 影响力的不断扩大——是两回事。一种竞争规则是，一方花钱推动前沿进步，另一方通过欺诈收割成果，然后利用国家补贴的扩散（https://www.aei.org/research-products/working-paper/chinas-transition-to-scalable-intelligence/）来锁定全球市场份额，这并非自由市场派所推崇的开放竞争。这是由产业政策支撑的搭便车，是中国在无数其他行业（https://www.uscc.gov/sites/default/files/2025-11/2025_Executive_Summary.pdf）中已经采用过的剧本。美国在钢铁（https://www.cfr.org/articles/trumps-new-aluminum-and-steel-tariffs-explained-six-charts）、太阳能（https://www.energy.gov/cmei/systems/overview-trade-and-policy-measures-us-solar-manufacturing）和造船业（https://ustr.gov/about/policy-offices/press-office/fact-sheets/2025/april/fact-sheet-ustr-takes-action-bolster-us-shipbuilding）上没有接受这种安排，在 AI 上也不应接受。

创造公平的竞争环境

特朗普政府现在正试图在“合法”的 AI 蒸馏（https://thehill.com/policy/technology/5984510-white-house-moonshot-ai-anthropic-nvidia/）——作为科学事业的机器学习中发挥重要作用——与旨在提取美国专有技术的大规模、隐蔽蒸馏攻击之间划清界限。四个步骤将有助于将这一立场付诸实践。

首先，美国 AI 标准与创新中心或类似的独立监督机构（https://www.cfr.org/articles/the-u-s-is-about-to-design-an-ai-regulator-heres-how-to-get-it-right）应发展出独立验证蒸馏攻击的能力，并区分这种攻击与仅仅在公开可用数据上训练的企业。迄今为止，蒸馏攻击归因的证据来自受害实验室自身的取证。仅凭原告的内部分析就制裁一家外国企业，会引发裁决和正当程序问题，并可能导致对 AI 市场的临时性国家干预。第一步应涉及制定标准，描述发生了什么，以及什么构成不可接受的国家安全风险活动。

其次，政府应制裁那些被抓获的、实施提取行动的实验室，其目的不一定是为了限制模型的可用性——开放模型权重一旦发布就无法收回——而是为了威慑未来的蒸馏攻击。Peter Harrell 已经编制了若干足以胜任的工具（https://x.com/petereharrell/status/2080025842047135923），其中可以包括商务部实体清单的指定、根据《国际紧急经济权力法》实施的制裁，或对通过美国云基础设施部署的限制。取决于所采用的工具，美国政府的行动可以切断中国实验室访问美国云基础设施、美国资本，以及关键的西方企业客户——后者正是中国开放权重实验室最积极争取的对象。无论如何，触发条件应严格基于某个实体窃取美国商业秘密的行为，而不是技术成就。一个建立虚假账户网络和基础设施以规避检测、同时提取竞争对手输出的实验室，理应成为制裁目标。而在开放互联网上训练或从故意开放的模型中蒸馏的实体，则应被视为公平竞争。

诚然，对提取行动采取惩罚性姿态，并不能完全阻止一个决心坚定的实验室通过 API 聚合器或第三国贴牌公司来洗白其行为——正如出口管制未能阻止中国实验室通过东南亚的空壳公司（https://nationalinterest.org/blog/techland/americas-export-controls-shouldnt-run-on-the-honor-system）购买算力一样。尽管如此，惩罚性制裁的存在是为了提高被禁止活动的成本并降低其规模。商务部可以调整其现有的实体清单指定转运中介的做法（https://www.bis.gov/press-release/commerce-further-restricts-chinas-artificial-intelligence-advanced-computing-capabilities），将其应用于蒸馏中间商，迫使违规者使用更慢、更昂贵、规模更小的渠道。

第三，为了应对中国开放权重模型带来的合法国家安全风险，联邦政府应要求披露其使用情况。华盛顿不应试图通过禁令来解决开放权重扩散问题，而应确保美国企业知道自己在什么平台上构建，并将潜在的安全风险计入价格。正如 Bessent 所预告的（https://www.bloomberg.com/news/articles/2026-07-21/bessent-says-us-will-scrutinize-chinese-ai-models-for-ip-theft），联邦贸易委员会应要求在美国运营的 AI 服务披露其基础模型的来源（https://thehill.com/policy/technology/5980722-scott-bessent-china-sanctions-ai-theft/）以及用户数据的处理地点——即为 AI 供应链提供一张“营养成分标签”。当然，披露只能抓住疏忽者，而无法抓住故意者，价格敏感的初创公司也势必会继续做出价格敏感的选择。但当 eli