Moonshot AI 指控使模型蒸馏与提取问题受到审视

Moonshot AI 因一项直接指控登上 Google News：美国官员称，中国实验室曾以工业化规模秘密复制美国模型。随着 Kimi K3 作为开放权重模型发布，争议进一步升级，这意味着其训练参数可被下载并部署到 Moonshot 服务器之外。

这项指控重新引出了一个棘手的政策问题。华盛顿希望保护美国的 AI 研究，同时不禁止蒸馏——这是一项在整个行业广泛使用的标准技术。它也希望开放式开发能够持续，同时不让外国竞争者通过欺诈性访问轻易获利。

这种区分比新闻标题本身更重要。核心冲突并不只是美国与中国的对立，也不只是闭源模型与开放模型之争，而是合法的技术学习与建立在虚假账户、隐瞒身份和规避基础设施之上的系统性提取之间的较量。

Google News 标题究竟改变了什么

Kimi K3 将一场长期存在的技术争议，变成了华盛顿亟须面对的执法问题。

争论在 2026 年 7 月 21 日获得动力。财政部长 Scott Bessent 表示，政府在中国系统中发现了来自美国大语言模型的水印。他还提及，可能对通过窃取构建模型的实验室实施制裁。

次日，白宫科学顾问 Michael Kratsios 将注意力聚焦于 Moonshot AI。根据原始政策分析中概述的指控，Moonshot 建立了旨在复制 Anthropic 模型并规避侦测的基础设施。

这些目前仍是需要经过审慎法律与技术评估的指控。相似的模型行为并不能自动证明存在窃取。共同的基准测试答案、相似的训练来源以及常规蒸馏，也都可能产生可识别的相似之处。

Anthropic 提出了更具体的证据。该公司称，截至 2026 年 2 月，它已将与其模型进行的 340 多万次交互关联至 Moonshot。Anthropic 将这些交互归因于数百个虚假账户，以及一个据称为绕过其安全措施而建立的系统。

这样的规模改变了争议的性质。开发者从公开可访问的输出中学习，是一种政策问题；而一家公司被指控隐瞒身份、进行数百万次有针对性的查询，则是另一种问题。

Kimi K3 的发布使所谓的提取行为具有了商业重要性。开放权重允许开发者下载、修改并在自己掌控的基础设施上托管模型。一旦发布，这些权重无法通过出口限制或法院命令收回。

Kimi K3 的推出也恰逢中国模型在国际上的采用日益增长。开发者正越来越多地使用 Moonshot、DeepSeek、Alibaba 和其他中国实验室的产品，因为它们提供了实用能力和灵活的部署条款。

对企业而言，本地部署可降低若干常见风险。敏感提示词无需传输至中国提供商的应用程序接口，即 API。企业可将模型置于自己的云账户中，并实施内部安全控制。

然而，本地托管并不能消除所有担忧。模型仍可能包含薄弱的安全防护、政治偏见、安全漏洞，或继承自可疑训练方式的行为。若监管机构日后限制其使用，它也可能带来采购风险。

因此，Google News 的框架只呈现了表层事件。Kimi K3 并未突然创造蒸馏、模型提取或中美技术竞争。它迫使官员决定，他们真正打算惩罚的行为究竟是什么。

针对中国模型的广泛回应，会影响从未参与提取的开发者。狭窄的回应则需要证据，将特定实验室、账户和技术系统与欺骗性访问联系起来。

这一证据门槛令人不适，但必不可少。缺少它，“蒸馏攻击”就可能沦为一种标签，被套用到任何性能接近美国模型的竞争者身上。

这一事件还揭示了一个现实期限。开放权重会迅速通过托管服务、模型仓库和私有基础设施传播。执法部门可以在发布后惩罚某家实验室，却无法让已在全球分发的文件消失。

因此，华盛顿正在决定的不仅是 Moonshot 是否应承担后果。它还在决定，AI 竞争将由可识别的行为来约束，还是由开发者的国籍来界定。

蒸馏很常见，但提取可能越界

可行的政策边界，应当将常见训练方法与以工业化规模进行的欺骗性访问区分开来。

蒸馏是指使用一个模型的输出训练另一个模型。更强大的“教师”模型生成示例、解释或分类结果，用以指导较小的“学生”模型。实验室利用这种方法降低推理服务成本、转移能力，或创建专用系统。

这项技术并非中国企业独有。美国实验室会将自身更大的模型蒸馏为较小的产品。独立研究人员也会蒸馏开放许可系统，用于科学研究和实际部署。

因此，全面禁止将与日常机器学习实践发生冲突。它也难以执行，因为普通客户可以收集模型输出，并将其重新组织成训练数据。

当访问依赖于欺骗时，法律问题会变得更尖锐。伪造身份、协调运作的虚假账户、隐藏自动化行为以及故意规避限制，都可能表明这已超出普通合同违约的范畴。

这种区分类似于观察商业产品与秘密攻破其访问控制之间的差别。两种活动都能产生知识，但其方法、规模和法律后果并不等同。

美国有关计算机犯罪和欺诈的法律提供了可能的执法路径。计算机欺诈法规涉及某些形式的未经授权的计算机访问，而联邦电信欺诈法可覆盖通过电子通信实施的诈骗计划。

商业秘密法可能比版权法更贴切。美国版权局一再强调，获得版权保护需要满足人类作者身份要求。单条机器生成的回复，并不会自动成为由模型提供商拥有的受保护作品。

具有商业价值的资产范围更广。前沿实验室会投入训练数据、算力、评估、强化学习和安全工作。数百万条经战略性选择的回复，能够揭示普通客户无法从随意使用中重建的行为。

不过，将所有收集到的输出都称为被窃取的商业秘密，同样会过度扩张这一概念。商业 API 出售的是对输出的访问权。客户通常会保存这些结果、对其进行评估，并将其用于应用程序。

更有力的案件取决于整个方案。调查人员需要审查账户是否使用虚假身份、访问控制是否被攻破，以及查询是否经过协调以复现受保护的模型行为。

他们还需要将推断与证据区分开来。相似的回答可能提示存在蒸馏，但并不能独立证明是谁实施了该行为，或访问是如何发生的。只有当水印的设计与误报率经得起审查时，水印才能加强归因。

这正是针对 Moonshot 的指控值得调查、而不应自动接受的原因。Anthropic 在保护其模型优势方面拥有商业利益。它也掌握外部观察者无法获得的账户记录和流量模式。

独立验证将有助于厘清，这 340 多万次交互是否确实来自 Moonshot 本身、承包商、中介机构，还是无关客户。当流量经过 API 聚合商或数据标注公司时，归因会变得更加困难。

制裁政策应反映这些不确定性。在确认存在有记录可查的提取行动后，主管部门可以针对某个实体采取行动。它们不应将技术成就、低价或中国所有权当作替代性证据。

这种以行为为基础的标准能保留合法竞争。一个使用授权数据训练、借鉴开放研究，或蒸馏刻意开放模型的中国实验室，应继续被视为竞争者，而非违法者。

同样的标准也必须适用于美国公司。前沿实验室曾因受版权保护的书籍及其他训练材料而面临诉讼。国籍不应消除对可疑数据获取行为的问责。

一致的规则还会增强美国在海外的立场。盟友更可能支持以可证明的欺诈行为为依据的执法，而不是为保护特定美国公司免受竞争而制定的限制。

这种区分并非道德上泾渭分明。开放研究、商业 API 与专有行为在现代 AI 开发中彼此交织。尽管如此，政策仍需要一条工程师、法院和国际伙伴能够识别的边界。

这条边界应聚焦于欺骗和规避。它不应将从可获得技术中学习，或模型之间的常规知识转移定为犯罪。

真正的权衡在于安全与开放竞争

过度宽泛的限制可能保护美国既有企业，却削弱华盛顿声称希望维护的开放生态系统。

支持加强控制的人士援引国家安全理由。前沿模型可协助软件开发、网络行动、情报分析和军事规划。复制这些能力的竞争对手，可以避开原始开发者承担的一部分成本。

随着性能差距缩小，这种战略担忧被进一步放大。相关分析引用的 AI Index 研究结果显示，在一项竞技场基准上，领先的美国与中国模型之间的差距为 2.7%。据报道，这一差距在 2023 年曾达到 17%。

基准测试并不衡量所有能力，排行榜位置也变化很快。不过，其走向很重要。中国实验室已不再只是产出可被轻易视为遥远复制品、实用价值有限的系统。

蒸馏可能加速这一趋同，但并非全部原因。DeepSeek 在强化学习方面的工作，以及 Moonshot 在智能体协同方面的开发，都表明存在独立工程能力。限制对美国输出的访问会放缓一部分学习，却无法阻止中国本土研究。

支持开放竞争的理由同样具体。开发者选择开放权重模型，是因为他们可以检查、修改、微调并托管模型。这些选择对于受监管行业、私有数据，以及需要可预测运营控制的应用至关重要。

开放权重模型可以完全运行在美国基础设施上。在这种安排中，用户提示词无需传送至 Moonshot 或另一家中国提供商。企业控制网络访问、日志记录、存储和模型更新。

这种架构降低了数据传输风险，但并不意味着模型本身已通过认证。安全团队仍需测试提示注入、有害协助、隐藏行为以及涉及政治敏感议题的响应。

美国商务部旗下 AI 标准机构的研究指出，中国开源权重系统存在弱点。根据后续的一项安全评估，政府测试发现其安全防护薄弱，并且反复与中国政府叙事保持一致。

这些发现支持开展测试和信息披露，但并不必然支持全面禁止。模型行为会因版本、微调、系统提示词和部署环境而异。

广泛禁令带来的竞争风险显而易见。严格的合规要求可能有利于规模最大的闭源实验室，因为它们拥有法务团队、既有的政府关系和完善的安全运营能力。

规模较小的美国开源模型开发者将承担同样的义务，却没有相应的资源。其结果可能是市场由少数闭源供应商主导——这恰恰是开源倡导者所担心的局面。

Nvidia 首席执行官黄仁勋曾表示，当强大的中国模型在成本方面更具竞争力时，美国公司应当使用它们。这一立场反映了 Nvidia 的商业利益，但也反映了开发者的实际行为。

团队经常将常规任务交给成本更低的开源模型，而将前沿 API 留给更困难的工作。禁止这种模式会提高初创企业和企业内部团队的成本。

替代方案并不是毫无限制地信任。组织需要知道其购买的产品中运行着哪些基础模型，也需要知道提示词在哪里处理，以及供应商能否悄然更换底层模型。

模型溯源标签可以弥补这一信息缺口。软件供应商将以标准化格式披露基础模型、开发者、托管地点和数据处理路径。

这些信息将帮助采购团队比较风险，而无需规定统一答案。本地托管的中国模型与直接连接中国实验室的 API，带来的风险暴露并不相同。

披露还将支持按行业制定规则。面向消费者的写作助手、国防承包商和医院并不面对相同的威胁模型。采购限制可以反映这些差异。

企业已经为其系统中使用的组件维护软件物料清单。AI 模型清单可发挥类似作用，记录模型版本、托管安排、微调情况和获准使用场景。

这对动态路由请求的工具尤为重要。客户可能以为自己购买的是某一模型的访问权限，但供应商却将部分提示词发送给更便宜的替代模型。

知识工作者也面临同一问题的缩小版。他们经常将内部文件粘贴到 AI 产品中，却不了解提供商、数据保留政策或模型路由。一套严谨的AI 知识库工作流，始于对来源和处理过程的清晰控制。

因此，政策权衡是可控的。华盛顿可以要求透明度和安全测试，同时保留对合法开源模型的访问。它无需在全面禁止与完全漠视之间二选一。

制裁可以提高成本，但无法收回开源权重

有针对性的处罚可以遏制未来的数据提取行动，尽管它们无法逆转已经在全球范围分发的模型发布。

一旦开源权重进入公共代码库，执法便从预防转向威慑。副本可以在云账户、私有服务器和存储系统之间流转，而无需联系原始开发者。

制裁仍可能影响模型背后的组织。被列入实体清单可能限制其获取美国技术。金融制裁可能使投资、支付和国际合作更加复杂。

美国当局还可以限制其通过美国云基础设施部署。这一点很重要，因为全球开发者往往偏好成熟的托管服务商，即使底层模型来自中国。

西方企业客户构成了另一个施力点。遭制裁的实验室将难以与依赖美国银行、云服务或政府合同的公司建立直接合作关系。

这些措施不会消除 Kimi K3。若调查人员证实存在数据提取指控，它们可能会削弱 Moonshot 未来的收入、分发能力和资源获取渠道。

当触发执法的依据被清晰记录时，执法效果最佳。基于虚假账户和蓄意规避安全措施的认定，比基于强劲基准测试结果的认定更容易辩护。

中间方使情况更加复杂。实验室可以从承包商处购买生成数据，或通过聚合商发送查询。模型开发者随后可能声称自己从未直接访问过美国提供商。

商务部已经通过将转运中间商列入清单，应对硬件供应链中类似的规避行为。类似做法可以针对那些明知故犯、组织欺骗性模型提取活动的公司。

这种策略仍然需要正当程序和技术证据。数据标注服务处理许多合法任务，API 聚合商也服务于普通开发者。仅凭交易量无法证明存在不当行为。

美国前沿实验室同样负有责任。它们运营着据称允许数百个虚假账户提交数百万次查询的系统。政府处罚不能取代客户验证、行为监控和速率控制。

提供商可以检测同步创建账户、重复的查询模式、共享支付工具以及试图映射模型行为的异常活动。它们还可以在审查可疑活动期间，延迟开放最强大的系统。

没有任何防御措施能让提取变得不可能。商业 AI 依赖于为客户生成有用的输出，而这些输出包含有关底层模型的信息。

目标是让工业化提取更慢、成本更高，也更容易追溯。这为美国实验室改进模型以及当局调查协同欺诈创造了时间。

前沿公司也应避免把正常竞争都定义为攻击。如果每一个评测数据集、合成示例或模仿尝试都被称为“盗窃”，它们的论点将失去研究人员的信任。

政策应保护商业机密，而不应赋予对理念的永久控制权。强化学习技术、已发表论文和公开发布的模型，仍属于共同的技术公域。

这种平衡对美国开源模型项目具有现实意义。Meta、获得 Nvidia 支持的开发者、大学和独立实验室，需要获得闭源供应商同样在内部使用的技术。

已被撤销的 2025 年扩散框架说明了同时监管多个层面的困难。正如该出口框架所示，政策制定者试图涵盖先进芯片、云算力和某些闭源模型权重。

开源权重仍处于这些控制措施之外，因为公开发布改变了限制的逻辑。当相当的能力已经可以自由获取时，对闭源模型实行许可提供的战略保护就更有限。

可持续的应对措施必须覆盖不同层面。硬件管制针对算力，API 安全针对数据提取，制裁针对已证实的不当行为，测试和披露则针对部署风险。

将这些工具合并为一项普遍禁令，会使执法失去精准性。它还可能促使开发者隐瞒模型使用情况，削弱监管机构所需的透明度。

最棘手的限制在于地缘政治。坚定的中国实验室可以使用国内基础设施、第三国承包商，或超出美国直接管辖范围的中间方。

制裁会增加阻力，而非构筑完美屏障。其价值在于改变下一次数据提取行动发生前的激励机制，而不是改写已发布模型的历史。

三个信号将显示华盛顿是否找到了正确边界

下一项考验在于，官员是否针对有据可查的行为采取行动、提高模型透明度，并支持可信的美国开源替代方案。

第一个信号是与具体证据相关联的正式执法行动。调查人员应识别任何被指控行动背后的账户、访问方式、规避系统和责任组织。

基于行为的案件将强化这样一种论点：华盛顿可以惩罚欺诈，而无需将蒸馏定为非法。主要基于国籍或模型性能的模糊认定，则会削弱这一论点。

第二个信号是针对在美国销售的 AI 服务提出有实质意义的溯源要求。客户应了解基础模型、其开发者、推理发生地点以及其数据的流向。

一项有用的规则应覆盖那些在不同提供商之间悄然路由请求的产品。它还应区分直接连接的外国 API 与本地托管的开源权重，而非将两种架构一视同仁。

首先关注联邦采购。政府机构施加模型清单和披露要求的速度，可能快于国会建立广泛的私营部门制度。国防承包商和受监管供应商很可能随后跟进。

第三个信号是对美国开源权重开发提供可衡量的支持。限制中国实验室，并不会说服开发者放弃那些能力强、灵活且经济的模型。

替代方案必须在许可、部署控制、微调和推理服务效率方面具备竞争力。政府支持的算力可以帮助研究人员训练这类模型，但获取条件应保留真正开放的发布条款。

国会曾考虑通过 CREATE AI Act 扩展共享研究基础设施。一条专门的开源模型路径可以让大学和较小实验室获得它们无法独立搭建的算力。

公共采购也可以创造需求。早期半导体发展受益于愿意购买昂贵新兴技术的政府客户。AI 采购可为安全的美国开源模型提供类似支持。

这些努力伴随着成本和执行风险。共享算力可能变得官僚化，采购承诺可能偏向政治关系密切的供应商，而名义上开源的模型可能附带限制性许可。

明确的评估标准将十分重要。获得资助的项目应记录训练数据溯源，发布有实质意义的模型信息，并允许实际可行的下游使用。

结果将影响的不只是国家实验室。开发者在为预计将运行多年的产品选择模型前，需要稳定的规则。企业买家需要确信，获批的技术栈不会在毫无预警的情况下变为被禁止使用。

随着 AI 进入文档搜索、会议分析、编程和研究，知识工作者同样需要可靠的溯源信息。团队应记录哪些模型处理过敏感材料，并通过可搜索工作流保留来源上下文。

Google News 周期带来的更广泛教训是：模型来源、访问方式和部署地点是彼此独立的变量。将它们视为同一个问题，会导致糟糕的安全决策。

本地部署的中国模型可以保护提示词数据，同时也可能带来其他风险。美国闭源模型可以降低来源追溯方面的担忧，却可能使企业面临定价、可用性和供应商控制方面的风险。

组织应当同时盘点这两类风险。它们应测试模型行为，记录托管安排，审查供应商路由方式，并为关键工作流程准备替代方案。

华盛顿在国家层面也面临同样的架构性任务。它需要足够精准的管控措施，以惩罚有组织的欺骗行为，同时又不阻碍正常研究，也不让既有实验室获得不当保护。

针对 Moonshot 的指控提供了一个具体测试。如果证据证实存在一场工业化数据攫取行动，当局可以动用多种工具。它们应说明被禁止的行为，并展示证据如何满足这一认定标准。

如果证据仍不完整，官员也应如实说明。战略竞争并不能免除归因的必要性，尤其是在制裁可能重塑全球对一款广泛使用模型的获取渠道时。

未来一到三个月将揭示，政府是否会以一份有据可查的案件来落实其表态。关于模型来源的规则以及对开放模型的支持，将显示其是否拥有更广泛的战略。

通过 Google News 关注此事的读者，不应只停留在“中国 AI 是抄袭还是原创”这个简单问题上。现代模型融合了已发表的研究、共享技术、授权材料、公开数据和专有实验成果。

可执行的问题在于，实验室如何获得受保护的访问权限。竞争问题在于，美国替代方案是否能满足开发者需求。安全问题在于，买家是否了解其产品内部实际运行的是什么。

这三个问题构成了一条更聚焦、更可信的政策路径：惩罚已被证实的攫取行为，披露模型来源，并通过开发者真正愿意使用的开放系统展开竞争。

这种做法无法阻止中国在 AI 领域继续进步。没有任何现实可行的政策能够实现这一结果。但它可以减少欺诈性访问，同时保留同样推动美国技术实力增强的开放实验环境。

最后的检验很简单：下一次中国发布重要模型时，是否又会引发一场仓促拼凑的争论，还是企业和监管机构早已清楚规则？