大模型的门，正被两种方式撬开

Anthropic 发了一篇战报，捕获量降了九成；同一周，环球时报在讨论另一件事——有人往主流大模型的语料里，塞进了篡改过的历史。

这两件事看起来八竿子打不着，但在数据从业者眼里，它们指向同一个事实：大模型的安全战争，正在从模型层下沉到数据层。一场是别人来偷你的数据，一场是有人往你的数据里下毒。攻防两端，都围绕着同一个资产——语料与推理记录。

这篇文章，我们把这两条战线拆开来看。

🕵️ 蒸馏：用别人的模型，练自己的兵

便宜的能力，往往是从别人那里『抄』来的。

先说场景。假设你是一个中型 AI 团队，想做一个能力不错的对话模型，但从头预训练要烧几千万甚至上亿美元。怎么办？业界流传一条捷径：调用某家前沿模型的 API，批量生成几百万条高质量回复，拿这些数据对自己的小模型做监督微调（SFT），成本可能只要前者的一个零头，能力却能逼近一大截。

这就是Anthropic在博客里点名的『蒸馏攻击』（distillation attack）。按其描述，这是一种隐蔽的、工业规模的做法：用大量非法账号，从更强、更大的模型（这里就是 Claude）生成数百万条回复，再拿这些回复去教一个小模型模仿前者的行为——用开发时间和成本的一小部分，逼近前沿能力。

注意几个关键词：『大量非法账号』『数百万条回复』。这说明攻击不是个人行为，而是有组织的批量作业——注册一堆账号、绕过配额、持续抽取，本质上是把别人的模型当成免费的高质量数据工厂。

产业逻辑很直白：前沿能力是最稀缺的资产，而蒸馏是获取它最便宜的通道。前沿模型厂商花了几亿美元、几个月时间换来的能力，被别人用 API 调用费的价格搬走。这笔账，任何一家投入重金做预训练的公司都算得明白。所以Anthropic要把这事拿到台面上讲，并且公开战报——这既是技术防御，也是一次姿态宣示：数据资产的边界，我们不打算让。

⚔️ 90%的背后：一场不对称的防御战

防御方的每一分努力，都是为了把攻击成本抬高一个数量级。

Anthropic给出的核心数字是：过去几个月，蒸馏攻击的捕获量下降了约九成。这个数字意味着，其账号风控与滥用检测体系在真实流量里压制住了绝大多数批量抽取行为。

这场攻防的结构，可以画成一条链路：

从这条链路能看出防御方的思路：不是在单点上堵，而是在全链路上抬高成本。攻击者要在『注册—调用—抽取—清洗—微调』五个环节都保持可用，而防御方只需在任何一个环节让攻击的边际成本失控——账号被识别、流量被限速、数据被污染标记——整条产业链就断了。

这里的产业判断有三层：

第一，这是一场天然不对称的战争。攻击方的成本是 API 费用加人力，防御方要维护整套风控体系。但反过来，攻击方的『收益』建立在对方不设防的前提上——一旦防御到位，攻击性价比迅速崩塌。九成这个数字，就是攻防天平重新倾斜的证据。

第二，推理记录正在被当成核心数据资产管理。过去大家谈数据安全，谈的是用户数据和业务数据；现在，『模型自己生成的输出』成了新的高价值资产，需要独立的治理策略。这是一类全新的数据资产类别。

第三，一个不算秘密的共识正在业内形成：API 之外的能力外溢，都会被逐步收紧。据多位接近头部模型厂商的人士观察，各家对批量调用、异常采样的容忍度在过去一年明显下降——蒸馏红利期正在关闭，想走捷径的团队，窗口越来越窄。

🧪 投毒：另一条更安静的战线

偷数据的怕被发现，下毒的最怕你验货。

如果说蒸馏是『偷』，那另一条战线就是『换』。据环球时报报道，日本右翼势力持续向国际主流大模型提供经过篡改的二战历史语料，导致一些大模型在对话中输出带有明显错误史观的回答。报道中多位 AI 专家谈了技术上的应对与防范之道。

这条战线的隐蔽性比蒸馏更高。蒸馏攻击好歹要打你的 API，留下流量痕迹；而语料投毒混在公开网页、电子档案、社区内容里，跟着爬虫一起进入训练管道。等用户在对话里察觉史观不对时，污染早已沉淀进了模型权重。

值得注意的还有微博评论区里那句被大量转发的话：『我们自己也应该多开放数据库啊，否则大模型可不就是只检索人家的吗。』这句话糙理不糙——它点出了一个供给侧的真相：当高质量、权威性的中文历史语料供给不足，模型的『知识地基』就只能建立在别人的语料之上。投毒之所以能奏效，恰恰是因为某些领域的权威语料存在真空，垃圾信息才有机会补位。

产业逻辑在这里非常清晰：语料的供给权，就是模型话语权的地基。推理时的 RAG 检索污染还好拦，训练语料的污染几乎无法事后剥离。所以应对之道不只在『过滤』，更在『供给』——把权威数据开放出来、结构化起来、可溯源起来，让正确的语料在规模和可信度上压过污染源。这是一场数据基础设施层面的竞赛，而不是一次性的内容审核。

模型可以追，数据防线的差距追不上。

把两条战线放在一张表里对比，共性就浮出来了：

两条战线，攻的都不是模型参数，而是数据的流向与质量。这给整个产业一个明确信号：

第一，数据安全预算正在从合规成本变成竞争力成本。过去谈 Data for AI 的治理，多数团队停留在数据质量清洗；现在，推理记录的防抽取、训练语料的防投毒、数据来源的可追溯，都会进入正式的架构设计。谁来审计一版训练集的每个来源？这个问题会催生新的工具链和新的岗位。

第二，数据防线是比模型更难追赶的护城河。模型能力可以被蒸馏逼近、被开源追赶，但一套经过实战打磨的滥用检测体系、一个权威语料的覆盖网络，是时间和信任的堆积，抄不走。Anthropic的九成战报，本质上是在展示这种『抄不走』的能力。

第三，对中文语境的启示尤其直接。反制投毒最有效的方式，不是事后辟谣，而是让权威、可溯源的语料足够多、足够开放、足够机器可读。数据要素流通的基础设施做得越扎实，污染语料的生存空间就越小。这不是一句口号，而是一笔具体的投入：档案数字化、术语规范化、来源元数据标准化——每一样都不性感，但每一样都在决定未来模型开口说什么是可信的。

小结

Anthropic 的反蒸馏战报和环球时报的投毒报道，一东一西，讲的是同一件事：大模型的攻防主战场，正在从算法和算力，转移到数据的完整性上——一边防人偷走你的能力，一边防人污染你的认知。

可以预判的是，接下来数据溯源、语料审计、滥用风控会成为平台标配，而权威语料的开放与自主供给，会从公益话题变成竞争议题。门被两种方式撬开过之后，锁会越造越厚——而造锁本身，就是一门大生意。