OpenAI称月之暗面发起蒸馏行动，开源权重对手正在缩小差距

CNBC在周四报道了这一披露，《The Register》当天跟进，并点出了时间点：就在同一周，Anthropic也公开了对中国开发者的一系列指控。OpenAI称，相关活动始于7月初，在7月24日和25日达到高峰，并在7月28日被完全阻断。

没有任何东西被攻破。

OpenAI对CNBC表示，操作者没有破解其加密，没有入侵其数据库，也没有接触到已存储的用户对话。按照该公司的说法，他们做的是操纵模型交互，让受保护的推理以请求方可见的形式被复现出来。《The Register》引用了OpenAI周三博客中的原话：“操作者没有破解我们的加密，没有入侵数据库，也没有直接访问已存储的用户对话。”

蒸馏在这里到底指什么

OpenAI把这种手法称为“对抗性蒸馏”。这个思路在机器学习里并不新鲜：一个模型的输出被用来训练或改进另一个模型。OpenAI描述的是它的放大版，即批量查询的目的不只是拿到最终答案，而是复现更大模型的推理过程和能力。该公司认为，提取推理能力可以让对手在不投入同等训练和安全成本的情况下复现高级行为。它把这一定性为安全和国家安全问题，而不只是商业问题。

《The Register》对这件事的观感说得很直接。9月30日的标题称OpenAI的投诉颇具讽刺意味，指出OpenAI“在版权之争中大肆抓取互联网内容”，却把自己模型被蒸馏当作安全风险。这是当前报道中最有力的反驳，也值得直说：同一套关于训练数据的说法，由不同的人说出来，效果并不一样。

OpenAI表示，尚不清楚参与其中的每个操作者是否都属于同一个行为方。它只把“核心的一批”归因于与月之暗面有关联的人员。月之暗面没有立即回应CNBC或《The Register》的置评请求。《The Register》还问OpenAI哪些模型是目标，未获回复。这个细节很关键，因为任何蒸馏指控的严重程度取决于被复制的是什么。

“对抗性蒸馏带来安全和国家安全风险，”OpenAI周三表示。“被提取的推理可能被用来训练另一个模型，而不保留原模型面向用户的输出所适用的防护措施。”

围绕开放权重的更大争斗

这项指控处在AI能力分布方式更大转变的背景之中。开放权重模型已从一种小众的发布习惯，变成生产流量中不可忽视的一部分。档案背景信息流中引用的近期行业报道称，开放权重模型首次处理了大部分AI token，token账单也在把企业级负载推向开放权重选项。这些都不来自下面的来源，所以应当视为趋势方向，而不是已核实的数字。

可以核实的是，压力确实存在。据《The Register》报道，Anthropic的Claude Opus 5.5在OpenAI博客发布前一周推出，带有名为“preserved thinking”的防蒸馏机制，与Fable 5.1一同引入。这是产品层面对训练层面问题的回应。如果模型厂商开始把反提取功能做进已发布的模型，说明它们把蒸馏当作长期现象，而不是一次性事件。

政府一侧也有记录可查。《The Register》指出，7月下旬，美国总统唐纳德·特朗普的科技助理迈克尔·克拉齐奥斯指责月之暗面通过蒸馏Anthropic的Fable来构建其Kimi K3模型。这一指控比OpenAI的博客早约两个月，涉及的是另一家公司的模型，说明这些指控并非孤立于某一个实验室或某一起事件。

与此同时，开放权重技术栈仍在不断出货

美国实验室在争论抄袭问题时，开放权重生态本周发布了一批稳定的成果。Meta的研究部门发布了Context Language Models，这种方法把模型的上下文当成一个由模型自己更新的文件。该仓库来自一个横跨华盛顿大学、Meta Superintelligence Labs、MIT和Trillium Labs的团队。团队报告称，在BrowseComp-Plus上准确率提高11.4%，FLOPs减少21.5%；Qwen3.5-9B在同一基准上经过在线强化学习后提升47.6%，FLOPs减少12%。

另外，英国AI安全研究所和Meridian Labs发布了Inspect，一个面向前沿模型的开源评测框架。Inspect自带200多个预置评测，并支持在沙箱中运行任意外部智能体，例如Claude Code、Codex CLI和Gemini CLI。这类基础设施让开放权重模型的独立测试更便宜，对那些主张应限制能力转移的人来说，这有点难堪。

还有志愿者参与的角度。一个名为Coop的项目在用捐赠的消费级硬件和免费服务额度预训练一个小模型，伪梯度以Hugging Face pull request的形式提交，由一个无状态的GitHub Actions定时任务汇总。它的第一阶段运行是在TinyStories上训练一个1500万参数的模型，六天内跑完并超过了Chinchilla最优预算，验证损失从9.01降到2.8。它很小。但它也证明，训练循环可以不用数据中心就能跑起来。

此外，一个名为PSSA的非Transformer模型用Rust从零写成，声称具备线性时间推理能力，采用循环状态空间层和情景记忆库。该项目自己的仓库称，在同一CPU上生成文本比参数匹配的Transformer快约十二倍，在参数匹配时学习也更快，不过其训练流程仍依赖DeepSpeed，作者也承认这一限制。这些基准说法应视为项目方的说法，而非独立核实的结果。

为什么这项指控难以裁定

令人不舒服的地方在于，双方都能指向真实的行为。OpenAI可以指向两天内来自4000多个用户的16000次请求，称这一模式违反了其服务条款。批评者可以指向美国构建的每一个前沿模型的训练数据来源。两个事实并不互相抵消，而档案中没有足够细节来判定目标是哪个模型，或究竟转移了多少能力。

OpenAI称，它封禁了相关账号，收紧了注册和基础设施控制，扩大了监控，并关闭了一条让人可以重放另一名用户的加密推理、从而还原其内容的路径。它通过Frontier Model Forum和政府信息共享渠道分享了发现。这些都是具体的缓解措施，描述的是对提取的防御，而不是对底层经济账的修复：只要蒸馏比训练便宜，就会有人尝试。