基本介紹
- 中文名：蒸餾攻擊
- 外文名：distillation attacks
- 屬性：智慧財產權盜竊行為
定義,技術原理,主要案例,與模型蒸餾的區別,防範措施,
定義
蒸餾攻擊（distillation attacks）是模型蒸餾技術的一種異化套用，屬於智慧財產權盜竊，指攻擊者通過海量重複提問誘導模型泄露內部機制，最終實現克隆模型或強化自身AI系統。
技術原理
蒸餾攻擊依託於機器學習領域的知識蒸餾技術，該技術由Hinton等人在2015年提出，其核心思想是通過一個能力更強的“教師模型”指導一個較小的“學生模型”學習，實現知識遷移和模型壓縮。
攻擊式蒸餾通常無需獲得教師模型的底層許可權，僅通過調用其公開API接口，獲取“輸入-輸出”映射關係來構建偽訓練集。典型攻擊步驟包括：註冊大量虛假賬號規避API調用限制；生成海量結構化查詢覆蓋目標模型核心能力場景；收集包括答案內容、置信度、思維鏈在內的完整回響數據；清洗、標註數據構建訓練集；用該訓練集疊代訓練“學生模型”。
攻擊式蒸餾與傳統模型蒸餾存在本質區別：主體不同，前者發生在不同競爭主體之間，後者多在同一企業內部；訓練方式不同，前者依賴API黑盒輸出，後者使用軟標籤；商業目的不同，前者旨在快速技術追趕或規避研發成本，後者核心目的是模型輕量化與最佳化部署。
主要案例
當地時間2026年2月12日，谷歌披露，旗下 AI 聊天機器人Gemini正遭遇大規模 ‘蒸餾攻擊’，攻擊者通過海量重複提問誘導模型泄露內部機制，其中單次攻擊的提示次數竟超10萬次。谷歌表示，攻擊主要由帶有商業動機的行為者發起，幕後多為尋求競爭優勢的 AI 私企或研究機構，攻擊源遍布全球多個地區。
2026年2月23日（或24日），美國AI公司Anthropic發布報告，公開指控中國三家AI公司深度求索(DeepSeek)、月之暗面(Moonshot)與稀宇科技(MiniMax)對其Claude模型進行了“工業規模的蒸餾攻擊”。Anthropic稱，這三家公司通過約24,000個虛假賬戶，與Claude進行了超過1,600萬次互動，旨在提取Claude的核心能力以訓練自家模型。Anthropic表示，其通過IP位址關聯、請求元數據和基礎設施指標，將這些行為以“高置信度”歸因到了具體實驗室。該公司將此類行為定義為智慧財產權盜竊，並稱其“強化了出口管制的理由”。
此外，行業內亦存在其他與蒸餾相關的質疑。例如，2025年，DeepSeek的DeepSeek-R1模型因在數學推理、代碼生成基準測試中表現接近GPT-4，被OpenAI匿名研究員質疑“大規模蒸餾自GPT-4”。2026年1月，月之暗面(Moonshot)的Kimi K2.5模型因部分對話場景中偶爾自稱為“Claude”，也遭遇蒸餾質疑。
與模型蒸餾的區別
“蒸餾攻擊”與“模型蒸餾”在技術原理上同源，均源於知識蒸餾（Knowledge Distillation）技術，但兩者在實施目的、主體關係、數據獲取方式及法律與商業屬性上存在根本差異。
傳統模型蒸餾旨在實現模型輕量化與高效部署，是一種中性的技術最佳化手段；而蒸餾攻擊旨在規避高昂的從頭研發成本，快速復刻競爭對手的核心能力，具有直接的商業競爭甚至智慧財產權爭議屬性。傳統蒸餾通常發生在同一企業內部，用於最佳化自身產品；蒸餾攻擊則發生在存在直接或潛在競爭關係的不同市場主體之間。在數據來源與獲取方式上，傳統蒸餾通常可以獲得教師模型的“軟標籤”（Soft Labels）或內部數據；蒸餾攻擊則通常通過調用競爭對手的公開API，以“黑盒”方式獲取輸入-輸出對，構建訓練數據集，其數據獲取過程具有隱蔽性和規模性。模型蒸餾作為一項通用技術，其本身通常不涉及法律問題；而蒸餾攻擊因其大規模、有組織地調用競爭對手API以訓練競爭模型的行為，通常違反了目標公司的服務條款，可能引發契約違約、不正當競爭等法律爭議，但其是否構成智慧財產權盜竊在法律上尚存爭議。
防範措施
為應對蒸餾攻擊，模型提供商可採取技術防護手段，包括部署監控系統以識別高頻、重複、結構化的異常API調用模式並進行阻斷，以及對輸出語料進行“投毒”，如在正常語句中混入錯誤標點、打亂文字順序、植入隱性錯誤，以提高攻擊者的數據清洗成本。
在協定與法律層面，各大廠的服務條款里會明確禁止使用其服務來訓練或開發“與它競爭”的AI模型，並嘗試通過法律途徑主張違約或不正當競爭，但需指出AI模型的輸出在美國等法律框架下可能不享有著作權保護，相關指控主要基於契約違約。
對於使用前沿AI模型的企業，建議進行數據治理和匿名化處理以降低泄露風險，並向供應商詢問模型來源及防蒸餾保障措施；可對API接口設定查詢速率限制，並考慮使用水印技術來驗證模型輸出的真實性或來源；同時進行業務影響評估，計算數據的價值並設定相應控制措施。
