OpenAI 披露：Moonshot AI 关联账号试图批量窃取模型推理过程

9 月 30 日，OpenAI 发博客说，它发现并打断了一场针对自家模型的“对抗性蒸馏”行动。

发生了什么

时间线很具体。活动从 7 月 1 日开始，起初量很小。7 月 24 日到 25 日突然放量：两天时间里，4000 多个用户账号提交了约 16000 次符合提取模式的请求。顺藤摸瓜，OpenAI 又找到 15000 多个有相关提示词模式活动的用户。7 月 28 日，整场行动被完全打断。

OpenAI 把其中“核心的一批”归因于 Moonshot AI 相关人员。Moonshot 是北京的公司，做了 Kimi。但 OpenAI 也留了话：它无法确认所有操作者是否属于同一个组织，也没有公开支撑归因的技术证据，理由是安全考虑。

对方是怎么做到的

关键细节是：对方没有破解加密，没有入侵数据库，也没有直接拿到存储的用户对话。

OpenAI 的说法是，操作者操纵了模型交互，让原本对请求者隐藏的推理过程，以可见的形式复现出来。它举了一个具体手法：把一段对话里的加密推理复制出来，贴到另一段对话里，让模型“解密并转写”隐藏内容。

这种行为，OpenAI 称之为“对抗性蒸馏”：系统性、未经授权地拿一个模型的输出或推理，去训练、复制或改进另一个模型。

事后 OpenAI 做了几件事：封了涉事的欺诈账号，收紧了注册验证，堵上了一个“重放通道”——之前拿到别人加密推理的人，可以靠重放把内容恢复出来；还加了新的检查，拦截可能泄露推理的流式输出。相关发现也通过 Frontier Model Forum 和政府渠道分享给了同行。

为什么这事值得注意

OpenAI 在博客里把话说得很重：“对抗性蒸馏带来安全和国家安全风险。”提取出来的推理，可以被拿去训练另一个模型，而原模型面向用户输出时施加的安全措施，不会跟着过去。

换句话说，蒸馏一旦成规模，等于用别人的安全投入，低成本复制走能力。模型在军民两用领域越强，这个问题越大。

负责战略国家安全政策的 Caroline Zier 对 Bloomberg 补了一句，划清界限：“我们关心的是违反服务条款，不是开放模型或正当的蒸馏。”

几点需要冷静看的

第一，这是“试图提取”，不是“提取成功”。OpenAI 公布的是尝试的规模，没有给出成功率。

第二，归因的对象是“与 Moonshot 相关的人员”，不是 Moonshot 公司本身。OpenAI 没有说这些人受公司指使，也没有说创始人知情。把“关联人员”直接等同于“公司行为”，是越界解读。

第三，这不是第一次。几个月前，Anthropic 也指控过包括 Moonshot AI 和阿里在内的中国 AI 开发者，用 Claude 的模型做大规模蒸馏。两家美国公司接连点名同一家中国公司，中美模型竞争的前线，正在从“谁的分更高”转向“谁在偷谁的思考过程”。

这场攻防才刚开始。隐藏推理是推理模型的核心资产，也是最敏感的部分。各家接下来拼的，不只是把模型做强，还有把“思考过程”藏好。