OpenAI 指控月之暗面 Kimi 提取模型推理，蒸馏争议升级

OpenAI 在 9 月 30 日发布说明，称已识别并瓦解一场针对其模型「受保护推理」（protected reasoning）的协同提取活动。所谓受保护推理，指的是模型在给出答案之前、内部用来推演的那段过程；它通常不会出现在最终回答里，却可能包含被刻意省略的信息，因此 OpenAI 会把它加密保存。

按 OpenAI 的说法，最早的可疑活动出现在 7 月 1 日，起初量级很低；到 7 月 24、25 日出现高峰，两天内有约 4,000 个账号发出了 16,000 次带有相同提取模式的请求。到 7 月 28 日，一个超过 15,000 个账号的相关集群被「完全瓦解」。官方同时说明，这些数字是「尝试提取」的次数，并不等于成功提取的规模，究竟有多少推理内容真的被拿走，目前没有公布。

这起披露的原文见 OpenAI 官方说明。

这次的手法与「攻破加密」无关。OpenAI 明确表示，运营者没有破解加密、没有入侵数据库，也没有直接读取已存储的用户对话。他们做的，是操纵模型交互本身。

具体路径是：把一段加密的推理内容从一次对话里拿出来，放进另一次对话，再要求模型把它解密、逐字转写成明文。之所以行得通，是因为推理块在同一家服务商生态内可以跨会话、跨用户甚至跨模型复用；当它被塞进防护更松、能力更弱的模型时，后者就可能把强模型的隐藏内容原样打印出来。换句话说，被利用的不是某个漏洞，而是产品里默认存在的兼容与传递能力。

独立研究者此前也报告过同类问题。8 月 10 日提交的论文《Stealing Reasoning Traces from Proprietary LLM APIs》指出，加密推理块在同一家厂商的生态里「完全兼容、可互换」，并在 Anthropic、OpenAI、Google 三家环境中做了演示。OpenAI 表示，已修复通往「持有他人加密推理即可重放还原」的路径，并增加了对流式输出的检测与拦截。

OpenAI 这次的表述既有指向、也有保留：它认为无法确定这段时间观察到的所有操作者都来自同一主体，但把「活动的核心集群」归结为与月之暗面（Moonshot AI，Kimi 的开发方）相关的人员。多家媒体指出，OpenAI 的公告没有给出支撑这一归因的技术证据，月之暗面在发稿时也未公开回应。

措辞的边界值得留意：「与月之暗面相关人员」并不等于「公司层面的官方行为」，OpenAI 也没有这样表述。这既是一次安全事件披露，也是一次指向竞争对手的公开指控，两者性质不同，读的时候应当分开看。

这并非孤立事件。9 月中旬，Anthropic 也曾指称包括月之暗面、阿里在内的多家中国 AI 公司，借助其 Claude 模型帮助训练自家系统。一个月内出现两次类似指控，让「对抗式蒸馏」（adversarial distillation）从技术圈内部话题，变成公开的行业摩擦。

蒸馏本身不是新东西，用强模型的输出训练小模型一直存在。这次真正值得留意的是入口：攻击走的不是漏洞利用，而是产品里再普通不过的功能——把状态从一次对话带到下一次，再把它交给出价更低、限制更少的模型。

这直接影响三类人。做 Agent 的团队：如果你的产品会缓存、传递或回放推理与思考内容，就要把它当成敏感数据来管理，而不是可以随便搬运的中间产物。用第三方模型做底座的公司：需要确认供应商是否允许推理内容跨会话、跨用户复用，以及这个能力默认是否开启。企业采购方：推理内容的留存与隔离能力，会像数据留存条款一样，成为选型时的新一问。

编辑判断是，短期内真正会变的是接口默认行为，而不是某篇公告的口水。凡是可搬运的推理产物，都会逐步被收紧。

可以按几条线索自查：一是列出产品里所有会保存「思考过程」的位置，包括缓存、日志、向量库和跨会话记忆；二是测试把 A 用户的推理块喂给 B 用户或更弱的模型，看会不会被还原成明文；三是检查流式输出里有没有可能泄露推理的片段；四是确认推理字段在 API 契约里是否被当作可移植对象来处理。

OpenAI 给出的通用提醒只有一句：任何支持「可移植或可重放推理产物」的系统，都可能面临同类风险。这句话不只适用于 OpenAI 自家平台，云上部署的第三方版本同样需要防护。验证方式其实很朴素——用自己的账号做一次小规模回放测试，看明文会不会出现；如果出现了，就说明同一条路径在你的系统里也是通的。

对开源和国产模型来说，这件事有两面。一方面，指控会把「国产模型能力提升是否靠蒸馏」的质疑再推一轮，海外企业客户在做合规审查时可能更谨慎；另一方面，OpenAI 自己也承认，这是「业界共同的安全挑战」，而不是某一家独有的问题，说明单点封堵解决不了。

编辑判断是：短期真正会变的，是各家 API 的默认设置——推理内容的可移植性会被收紧，跨会话、跨模型的推理复用很可能默认关闭，开发者需要重新审视依赖这些行为的集成。中期看，能自证「训练数据与推理来源干净」的厂商，在海外市场会更占优势，这类「来源可追溯」的能力，可能变成新的卖点。

接下来值得盯三件事：月之暗面是否会公开回应，以及用什么口径回应；OpenAI 会不会像处理此前安全事件那样补充技术细节；以及是否会有更多厂商跟进、收紧推理接口。如果后续出现互相指控的连锁反应，蒸馏争议就可能从一次事件，演变成长期的规则之争。

对普通用户来说，这次没有立刻要做的动作；但对任何把 AI 接进业务系统的人，现在就该确认一件事——你手里的推理内容，到底是可搬运的中间数据，还是必须隔离的敏感资产。这一点，会决定你在下一次同类事件里是被动挨打，还是提前设防。

本文由 AI 潮汐编辑部基于官方公告与公开资料整理，补充了行业影响、适用场景和行动建议，帮助你在阅读原文前先理解这条信息为什么重要。

原始来源：https://openai.com/index/disrupting-a-coordinated-model-distillation-campaign/

如发现事实、价格或链接有误，可通过 联系我们 提交更正。