模型蒸馏、“对抗性蒸馏”和“蒸馏攻击”

最近和一些业内同仁讨论模型蒸馏问题，感觉存在一些概念混用和界定不清晰的地方，值得条分缕析说一下。

知识蒸馏（Knowledge Distillation）是一种常见的大模型训练方法。简单来说，就是让一个“学生模型”学习“教师模型”的输出。例如，一家公司拥有一个能力很强但运行成本较高的大模型，可以先让它生成大量回答，再利用这些回答训练一个更小、更便宜的模型。学生模型并不需要复制教师模型的参数，而是学习它解决问题的方式和输出规律。

在大模型领域，可用于蒸馏的训练材料十分广泛，不仅包括最终回答，还可以包括代码、工具调用、推理过程、偏好评分、奖励信号等。蒸馏的目的也不仅是压缩模型，还包括增强特定能力、降低部署成本以及训练专门模型。因此，蒸馏本身是一项中性的技术，也是行业内普遍采用的训练方式。Anthropic也承认，前沿模型公司都会通过蒸馏自己的模型，推出成本更低、速度更快的小模型。

Anthropic并非最早提出“对抗性蒸馏”（Adversarial Distillation）这一术语，但率先将其用于描述未经授权提取商业大模型能力的行为，并与“蒸馏攻击”（Distillation Attack）一起作为模型安全概念加以推广。相关思想与此前“模型抽取攻击”（Model Extraction Attack）的研究一脉相承，只是应用场景从传统机器学习模型扩展到了大语言模型。

上面这些和普通蒸馏最大的区别，不在于训练方法，而在于教师模型并不属于训练学生模型的一方，模型提供商也没有同意这种用途普通蒸馏关注的是“如何训练”，而蒸馏攻击关注的是“训练数据是通过什么方式获取的”。

根据Anthropic的说法，所谓“蒸馏攻击”，是指有人在模型提供商不同意的情况下，有组织地规避访问控制，大规模收集具有训练价值的模型输出，再用于训练竞争模型。

Claude等Anthropic的模型不是公共基础设施，个人也不存在一项普遍的“访问Claude权”。作为私营企业，Anthropic通常可以选择服务覆盖地区。目前其支持地区名单不包括中国大陆，并且用户条款明确要求只能从支持地区访问。违反地区政策时，Anthropic可以限制或终止账户。这主要来源于企业的经营自主权和合同自由。

它认为，相关中国机构不仅违反使用条款访问了Claude等模型，还使用了这些模型的输出，并通过注册大量虚假账户、使用代理网络访问Claude、将请求分散到不同账户和平台、账户被封禁后迅速更换账户等方式，绕过Anthropic针对中国地区及部分中国企业的访问限制。据Anthropic披露，这些机构共使用约2.4万个虚假账户，与Claude进行了超过1600万次交互。

不过，大规模调用API本身并不能证明存在蒸馏。大型企业、搜索服务和软件开发平台每天都可能产生海量正常请求。Anthropic认为，判断正常使用与蒸馏攻击的区别，关键在于整体行为模式，而不是调用次数。

具体来看，Anthropic主要关注几个方面。

第一，查询内容是否高度集中于模型的核心能力，例如编程、复杂推理、工具调用、智能体或计算机操作等。

第二，提示词是否高度重复。单独一条提示词可能十分正常，但如果数以万计的相似提示词通过大量关联账户同时出现，就可能是在批量生成训练数据。

第三，模型输出是否明显适合直接用于训练。例如，持续要求Claude展示完整推理过程、生成大量覆盖不同任务的样本，或者要求Claude评价其他模型的回答，都可能是在收集监督微调或强化学习所需的数据。

第四，是否存在协同和规避行为。例如，不同账户使用相同支付方式，在相近时间同步发送请求，或者通过代理网络分散流量、隐藏真实使用者。

第五，行为目的是否明显指向能力复制。如果某个机构在Claude发布新模型后迅速调整请求内容，集中获取新模型最突出的能力，而不是正常使用产品，这种行为就更接近系统性的模型抽取。

所以，Anthropic所针对的，并不是一般意义上的“模型蒸馏”。综合来看，根据他们的定义，一项行为要构成“蒸馏攻击”，通常需要同时具备三个要素：第一，系统性利用模型输出训练另一模型；第二，未经模型提供商授权；第三，伴随欺骗、规避访问限制等行为。

因此，按照Anthropic的标准，实际上可以把判断某些蒸馏行为是不是“蒸馏攻击”的过程分为三个层次：

第一步，判断是不是蒸馏。也就是Claude等教师模型的输出，是否被系统性用于训练另一个模型。如果只是偶尔利用Claude写代码、辅助研究，或者比较不同模型的表现，一般不能据此认定为蒸馏。

第二步，判断是不是未经授权的蒸馏。这主要取决于模型提供商是否允许将输出用于训练其他模型，以及服务条款如何规定。

以Anthropic为例，其商业条款一方面规定客户原则上拥有自己获得的输出，另一方面又明确禁止客户未经许可利用Claude开发竞争产品或训练竞争模型。因此，即使用户付费获得了API输出，也不意味着可以无限制地将这些输出用于训练其他模型。

第三步，判断是否进一步构成“蒸馏攻击”。除了未经授权之外，还需要结合是否存在虚假身份、多账户协同、绕过地区限制、大规模自动采集、针对性能力提取等规避行为进行综合分析。

需要注意的是，“蒸馏攻击”目前并不是一个具有统一定义的行业标准。Anthropic并没有公布明确的技术门槛，例如调用多少次API属于攻击、学生模型与Claude达到多高相似度才算能力复制、训练数据中来自Claude的比例达到多少才构成蒸馏，也没有规定模型规模或是否开源等标准。它主要依据账户、支付方式、网络基础设施、请求内容和访问方式等多项因素进行综合判断，而不是依赖某一个单一指标。

模型是否开源，也不应成为判断是否存在蒸馏攻击的标准。闭源模型同样可能通过未经授权的方式蒸馏而来；开放权重模型也可能完全使用自主数据、获得许可的数据或自己的教师模型训练。Anthropic认为开放权重会增加危险能力扩散的风险，但这是对模型发布后果的评估，并不能据此证明此前一定发生了蒸馏攻击。

“对抗性蒸馏”或“蒸馏攻击”不是学术界已经统一使用的概念，在学术文献中，它们通常被放在“模型抽取”“模型窃取”“功能复制”或“基于API的知识蒸馏”等框架下讨论。

Hinton等在2015年发表的《Distilling the Knowledge in a Neural Network》是蒸馏问题的起点，但当时实际预设的前提是教师和学生由同一开发者控制。Florian Tramèr等人在2016年发表的《Stealing Machine Learning Models via Prediction APIs》第一次提出“模型抽取攻击”概念。论文指出，攻击者可以通过黑盒API设计查询、收集输出，再训练一个复制目标模型功能的替代模型。Tribhuvanesh Orekondy等人的《Knockoff Nets: Stealing Functionality of Black-Box Models》进一步证明，即使不知道目标模型的参数、架构和训练数据，也可以利用公共数据和API输出复制其部分功能。

此后，相关的研究开始区分“任务能力接近”和“复制模型行为”。Matthew Jagielski等人的《High Accuracy and High Fidelity Extraction of Neural Networks》提出，学生模型在同一任务上取得相近成绩，只能说明其准确率接近；只有当它在各种输入上都尽量作出与教师模型相同的判断时，才属于高忠实度抽取。Santiago Zanella-Béguelin等人的《Grey-box Extraction of Natural Language Models》发现，有些高忠实度抽取只需要少量正常查询，因此未必表现为高频或异常流量。Xuanli He等人的《Model Extraction and Adversarial Transferability, Your BERT is Vulnerable!》则证明，攻击者可以通过有限查询复制BERT类服务，并利用替代模型寻找原模型的漏洞。

大模型出现后，关于蒸馏的研究重点转向能否利用商业模型输出训练本地替代模型。Arnav Gudibande等人的《The False Promise of Imitating Proprietary LLMs》发现，学生模型很容易模仿ChatGPT的语言风格和回答形式，却很难复制其知识、推理和泛化能力。因此，回答风格相似或者部分基准成绩接近，并不能证明一个模型已经复制了教师模型。Lewis Birch等人的《Model Leeching: An Extraction Attack Targeting LLMs》则证明，可以通过查询GPT-3.5 Turbo，把特定任务能力转移到小模型中，并利用替代模型辅助攻击原模型。

与此形成对照的是Wenxuan Zhou等人的《UniversalNER: Targeted Distillation from Large Language Models for Open Named Entity Recognition》。研究者使用ChatGPT生成标注数据，训练一个专门从事命名实体识别的小模型。这被称为“定向蒸馏”，而不是攻击，因为目标是完成一个有限任务，而不是全面复制ChatGPT。Nicholas Carlini等人的《Stealing Part of a Production Language Model》则走得更远：研究者从API输出中恢复了生产环境语言模型的隐藏维度和投影层信息。这已经不只是学习模型回答，而是提取模型内部结构，更接近传统意义上的逆向工程。

目前最直接研究大模型蒸馏型抽取的同行评审论文之一，是Zi Liang等人的《“Yes, My LoRD.” Guiding Language Model Extraction with Locality Reinforced Distillation》。LoRD利用商业模型回答构造偏好信号，减少API查询量，提高学生模型与目标模型的一致性，并削弱水印保护。它之所以被定义成攻击，主要是因为研究目标是复制第三方商业模型并规避防御，而不是因为使用了某种特殊的蒸馏算法。

防御研究说明了普通使用和模型抽取很难截然分开。Pingzhi Li等人的《DOGe: Defensive Output Generation for LLM Protection Against Knowledge Distillation》尝试调整模型输出，使其对正常用户仍然有用，却不适合训练学生模型。但这种做法存在损害回答质量的风险。Shuze Liu、Qianwen Guo和Yushun Dong的《An Embarrassingly Simple Detector for Model Extraction Attacks in Large Language Model API Traffic》则通过分析一段时间内的查询分布识别抽取行为，说明高频、集中和重复查询可以作为风险信号，但不能仅凭这些信号判断用户是否获得授权。Isabell Lederer、Rudolf Mayer和Andreas Rauber的综述《Identifying Appropriate Intellectual Property Protection Mechanisms for Machine Learning Models: A Systematization of Watermarking, Fingerprinting, Model Access, and Attacks》进一步系统整理了水印、指纹、访问控制和模型抽取之间的关系。

和蒸馏相关的法律研究相比之下更少。Claudia Philipp的《From Prompt to Clone: Copyright Challenges in AI Model Distillation》认为，未经授权的蒸馏未必构成版权侵权，更现实的法律依据可能是服务条款、合同违约和规避访问控制。Myoungseob Mun的《A Review of Knowledge Distillation Technology from an Intellectual Property Law Perspective》同样认为，蒸馏本身是通用技术，法律评价取决于输出来源、访问权限、合同约定和竞争关系，不能仅从使用了蒸馏直接推导出侵权。

因此，基于目前已有的研究，我们能得出两个结论：一是Anthropic所谓的“对抗性蒸馏”有它一定的学理基础支持，尽管这个基础十分薄弱；二是法律上对何为蒸馏、如何规范蒸馏，基本上是空白状态。Anthropic可以依据自己的服务条款封禁账户、停止提供服务，或者追究违约责任。但即便把某种行为称为“蒸馏攻击”，也不能导致它当然构成“知识产权盗窃”。

模型生成的具体回答是否落入“知识产权”，需要结合具体内容逐项判断。模型能力、回答风格以及一般性的推理方法，也并不当然属于商业秘密。特别是在Anthropic的合同已经规定输出原则上归客户所有的情况下，其最直接的法律主张更可能是客户违反了合同中关于输出用途和竞争性训练的限制，而很难构成美国政府指责的“知识产权盗窃”。如果使用者通过虚假身份、代理网络等方式绕过访问控制，还可能涉及非法访问、欺诈、不正当竞争等其他法律问题。但这些责任是否成立，仍需依据具体行为、适用法律以及相关合同条款的有效性进行判断，而不能仅凭Anthropic对行为的定性就直接得出法律结论。

文章仅做学术探讨和研究交流使用，相关判断不代表任何公司或机构立场，也不构成任何法律、商业或投资建议。转载请注明出处。