有人学得太像了，OpenAI 说这算攻击

2026-10-02 · 人工智能

九月三十号，OpenAI 官网的安全栏目更新了一篇博客，标题是《Disrupting a coordinated model-distillation campaign》——瓦解一场有组织的模型蒸馏行动。

我盯着 "adversarial distillation" 这个词看了半天。

蒸馏在这行是老手艺了。大模型教小模型，把大本事压进小体积，论文里到处都是。前面加一个 adversarial，同一件事就换了名字：未经授权、系统性地拿另一个模型的输出去训练自己，这叫攻击。

那几天发生了什么

按 OpenAI 自己的说法。

活动最早出现在七月第一周，量很小。

七月二十四、二十五号两天，突然上来一万六千次请求，来自四千多个账号，用的是同一种提取套路。再往下查，相似提示模式的账号超过一万五千个。到七月二十八号，这批活动被完全拦下。

OpenAI 特意写明了几件没有发生的事：没有破解加密，没有入侵数据库，没有直接访问存下来的用户对话。

也就是说，没有人撬门。

抽屉和保安

真正让我停下来的是他们描述的手法。

原话是，操作者把一段加密的推理内容从一次对话里复制出来，然后在另一次对话里，让模型自己把它解密、转写出来。

我读了两遍。

模型的思考过程本来是被藏起来的。你不该看得见。但你可以把它整段搬到另一个房间，再问那个房间里的同一个模型：这是什么？

它认得。那是它自己刚想过的东西。

它没有被撬开。它只是被请着，把自己藏起来的那部分，亲手交了出来。

这个动作里没有一处违规，除了意图。

同一天的另一条消息

这件事真正让我想不通的，是同一天的另一条消息。

九月三十号，一家叫 Baseten 的基础设施公司宣布：企业用户现在可以通过 OpenAI 的编程工具 Codex，直接调用月之暗面的 Kimi K3 和智谱的 GLM-5.3-Flash。费用算进企业原有的 OpenAI 采购额度里，不用新增供应商，不用另走一套流程。这是中国的开放权重模型第一次进入海外主流 AI 企业的既有采购和结算体系。

OpenAI 核心产品与平台负责人蒂博·索蒂奥转发了这条消息，加了一句："为此感到自豪。开放才是出路。"

同一天。

一份文件里，开放是出路。另一份文件里，有人学得太像，是攻击。

边界在哪

我得把话说清楚，这两件事不是一回事。

Codex 里调 Kimi，是付了钱的、写在合同里的、双方点头的。蒸馏是没打招呼的。OpenAI 也说得挺克制：它没法确认这段时间里的操作者都来自同一方，也没证明那些内容真的被拿去训练了 Kimi。那一万六千次请求，官方特意加了一句注解——这是"尝试"，不是"成功"。这一点我不想含糊过去。

但两件事摆在一起，那条线还是浮出来了：同一件事，付钱叫采购，不付钱叫攻击。

这个行业里谁没学过谁呢。所有模型都读过整个互联网，那些字都是别人写的。区别可能只在于，谁有资格说"这是我的"。

不是第一次

翻回去看，这不是头一回。

今年二月，Anthropic 公开指控过月之暗面等几家实验室，说它们对 Claude 发起"工业级别的蒸馏攻击"。而就在这个月，Anthropic 自己的红队发了份报告，讲智谱的 GLM-5.3 是怎么逼近它封存起来的 Mythos 的——那个模型只发给大约五十家关键软件维护方，而 GLM-5.3 谁都能下载。

报告里有个数：漏洞利用测试，410 次尝试。GLM-5.3 做成了 50 次，Mythos Preview 是 56 次。

差的这 6 次，就是一个"只发给五十个人"和一个"谁都能下载"之间的距离。

结尾

OpenAI 说，被拦下的账号有一万五千多个。

我不太想去猜这里面有多少人只是懒得自己想。但我确实对着那个数字看了一会儿：一万五。

他们大概都以为自己在抄近路。

本文事实来自 OpenAI 官方安全博客《Disrupting a coordinated model-distillation campaign》（2026-09-30）、Baseten 官方博客《Announcing our partnership with OpenAI》（2026-09-30）、Anthropic 前沿红队报告《GLM-5.3 and the Spread of Advanced Cyber Capabilities》（2026-09-29）；IT之家、Business Today、Analytics Insight 等媒体对上述公告的报道用于交叉印证。OpenAI 未证明相关推理内容被用于训练 Kimi，亦未确认所有关联账号归属同一主体。逐条信源见「[AI 动态追踪](../notes/AI 动态追踪.md)」。