Anthropic在2026年9月10日发布最新威胁情报报告，称自今年2月以来发现并阻断了来自7家中国AI公司的“未经授权蒸馏”活动，点名阿里巴巴、月之暗面、DeepSeek、智谱、小米、商汤和MiniMax。
文章作者、来源：ME News
TL;DR
- Anthropic在2026年9月10日发布最新威胁情报报告，称自今年2月以来发现并阻断了来自7家中国AI公司的“未经授权蒸馏”活动，点名阿里巴巴、月之暗面、DeepSeek、智谱、小米、商汤和MiniMax。
- 单计Anthropic披露明确交互规模的阿里、月之暗面、DeepSeek、智谱和小米五家公司，相关交互就超过1.899亿次。其中阿里超过1.51亿次，是报告中规模最大的案例。
- 真正值得重视的已经不只是“用强模型教弱模型”。Anthropic指控月之暗面、DeepSeek和小米将部分真实用户请求、代码和敏感信息重新路由至Claude；商汤和MiniMax涉及的则是第三方数据交易与模型中转生态。
- 这些说法目前主要来自Anthropic自身的流量监测、账号关联和基础设施归因，并没有经过独立第三方完整取证或司法程序验证。因此，“发生了蒸馏”与“Anthropic已经证明七家公司违法”是完全不同的两件事。
- 但即使暂不讨论法律定性，这份报告仍然暴露出一个比模型榜单更现实的问题：大模型行业正在从“训练数据来源不透明”，进一步走向“用户交互本身成为训练资产”。谁能够解释清楚数据去了哪里，正在成为下一阶段企业AI竞争的基本门槛。
- 更大的背景是，美国NSA、FBI和CISA在9月8日刚刚联合发布针对中国AI公司的蒸馏安全通告。模型蒸馏正在从企业之间的知识产权和服务条款争议，升级为中美AI竞争中的国家安全议题。
Anthropic这一次，讲的已经不只是“抄作业”
如果只看“Anthropic又指控中国公司蒸馏Claude”，这件事很容易被理解成过去一年中美AI争论的又一次重复。毕竟，模型蒸馏并不神秘，更不是中国公司发明的特殊技术。一个能力更强的教师模型产生高质量回答，再用这些回答训练能力较弱或者成本更低的学生模型，是机器学习行业长期存在的标准方法。Anthropic自己也明确承认，蒸馏本身是合法、常见而且有价值的训练方式。
真正让这份9月10日报告变得敏感的，是Anthropic给“正常蒸馏”和所谓“非法蒸馏”划出的界线发生了变化。按照它的定义，问题不在于有没有拿别的模型生成训练数据，而在于是否通过大批虚假账户、代理服务、被盗API密钥等方式绕过访问限制，并系统性提取模型最有价值的推理、编程、工具调用和Agent能力。更进一步，这次出现了一个过去讨论相对较少的变量：一些训练数据据称并非人工构造的提示词，而是来自真实用户。
这使事情的性质发生了变化。过去谈蒸馏，人们想到的是一家实验室不停向另一家实验室的模型出题，好比学生拿着海量习题向老师求解，再把答案整理成自己的教材；Anthropic此次描述的部分案例，则更接近于平台把真实用户正在处理的代码、企业资料甚至访问凭证拿去询问另一个模型，再把这些交互沉淀为训练数据。前者主要涉及模型能力和商业利益，后者已经直接碰到数据治理、商业秘密和用户知情权。
因此，我认为这份报告最值得中国AI行业认真看的地方，并不是Anthropic又一次给中国公司贴上了什么标签，而是它把行业一直有意模糊的一条边界摆到了台面上：当用户和模型的每一次互动都可能成为高价值训练材料时，用户究竟是在“使用模型”，还是同时在为下一代模型生产数据？
近1.9亿次交互，七家公司对应的是四种不同玩法
报告中最醒目的数字来自阿里。Anthropic称，2026年5月至7月，其归因于阿里的相关活动超过1.51亿次交互，峰值接近每天300万次，并通过数千个虚假账户运行。报告称这些请求主要针对Claude Opus 4.6和4.7的推理轨迹，所得数据被转换成监督微调材料，用于Qwen 3.5、3.6和3.7，并被用于Agent、软件工程、内核开发和长周期任务训练。Anthropic还声称，Claude同时被用于辅助强化学习环境和模型架构研究。
如果Anthropic的归因成立，这已经不是研究人员零星测试竞争对手模型，而是一条高度工业化的数据生产管线。151 million这个量级最重要的信息，不在于它听起来有多惊人，而在于大模型竞争中“调用模型生产训练数据”已经能够像传统互联网时代的爬虫一样被工程化、自动化和规模化。
月之暗面和DeepSeek则把争议推到了用户侧。Anthropic称，月之暗面曾在10天内通过5380个虚假账户向Claude转发近30万条客户请求，2026年5月至7月总交互超过2300万次；用户以为自己正在和Kimi交互，但部分请求实际上由Claude处理。报告还称，其中存在企业内部代码和有效访问凭证等敏感信息。DeepSeek被描述为采用了类似方法，并会识别通过Claude Code、Claude Agent SDK或OpenCode等工具访问DeepSeek模型的请求，再选择其中部分流量转给Claude Opus；仅2026年7月的14天内，Anthropic就称观察到超过1210万次相关交互。
这两家公司如果最终能够被独立证实，性质显然比普通的模型蒸馏更复杂。因为用户可以接受一家AI公司利用合法获得的数据改进模型，也可以根据协议选择是否授权训练，但很难接受自己以为正在把代码交给A模型，实际上请求却被静默转到了另一个商业主体的模型。尤其对于企业代码、内部文档和凭证数据而言，问题已经不再是“哪个模型更聪明”，而是企业的数据边界到底在哪里。
智谱和小米代表的则是另一类更系统化的后训练流程。Anthropic称，智谱利用Claude清洗、重构和评分推理数据，在2026年6月至7月的17天中观察到超过340万次相关交互；它还声称智谱曾尝试提取Fable的网络安全能力，因为防护措施较强而转向Opus 4.6以及另一家美国实验室的模型。对小米，Anthropic称其把MiMo用户已经产生的对话和编程会话重新交给Claude处理，以生成SFT和强化学习数据，20天超过40万次请求。需要特别强调的是，对于“小米是否有意通过MiMo-V2-Pro免费试用吸引海外开发者、进而增加可用于蒸馏的数据”这一点，Anthropic使用的是推断性语言，而不是已经证实的事实，这两者不能混写。
商汤和MiniMax的案例更加值得警惕，因为它们把问题推进到了“AI数据供应链”。Anthropic称，商汤的训练管线包含从第三方数据供应商购买的Claude用户交互记录，而这些数据最初来自代理和模型路由服务；MiniMax则被指通过一家与自身表面没有明显关联的公司运营代理服务，该服务只提供Anthropic和OpenAI模型，却不提供MiniMax自己的模型。Anthropic因此推断，这类服务可能承担了收集美国前沿模型交互数据的功能。
把七家公司放在一起看，会发现所谓“蒸馏”其实已经覆盖了四个不同层次：直接批量生成教师模型数据、转发自有用户请求、利用第三方路由器沉淀交互数据，以及建立或采购专门的数据收集网络。它正在从一种训练技术，演变成一条完整的数据产业链。
但Anthropic的报告，不应该被当成法院判决书
这里必须把另一半事实说清楚。到2026年9月11日为止，这些关于七家公司的具体行为、规模和归因，核心证据仍掌握在Anthropic手里。Anthropic表示，它结合IP地址、请求元数据、基础设施指标、账户行为以及部分行业伙伴提供的信息进行归因，并对部分归因给出“高置信度”判断，但公众目前并没有拿到足以自行完整复现这些调查结论的底层数据。
路透社等媒体对报告进行了报道，但报道本身并不是对1.51亿次请求逐条完成独立审计。被点名公司的公开回应目前也十分有限。因此，把Anthropic的说法直接写成“七家公司已经被证明偷窃Claude”，是不严谨的；同样，因为Anthropic是一家美国公司、又长期支持先进芯片出口限制，就顺势认定所有技术细节都是政治宣传，也缺乏依据。
更合理的判断是：Anthropic确实拥有外界难以替代的一手平台数据，它能够看到账号集群、请求模式、支付方式、代理网络和模型调用轨迹，因此其调查不能被轻易忽略；但与此同时，它既是证据提供者，也是商业竞争者和政策利益相关方，其所谓“illicit distillation”首先是Anthropic自身的安全与服务规则定义，并不自动等同于司法意义上的违法认定。
这个区别在当前中美AI竞争中尤其重要。
9月8日，也就是Anthropic发布新报告前两天，美国NSA、FBI和CISA刚刚联合发布安全通告，指称DeepSeek、月之暗面、阿里、MiniMax、阶跃星辰和智谱等六家中国公司自至少2024年末以来，对美国前沿模型进行了“工业规模”的蒸馏。中国商务部随后否认相关指控，称蒸馏是全球AI行业普遍采用的技术，并批评美国以此维护技术垄断。
值得注意的是，美国政府通告与Anthropic新报告并不是同一份材料，名单也并不完全相同：政府通告中有阶跃星辰，而Anthropic此次七家公司名单增加了小米和商汤。把两份报告简单拼成“一套证据”，反而容易把企业取证、政府安全判断和地缘政治主张混成一团。
真正的分水岭，不是有没有蒸馏，而是谁敢为数据来源负责
从产业竞争看，我并不认为这份报告足以推出“中国大模型的能力都是从美国模型复制来的”这种结论。一个前沿模型最终表现如何，取决于预训练数据、模型架构、算力效率、强化学习、推理系统、工程基础设施以及产品反馈等一整套体系。蒸馏可以显著提高后训练效率，却不能凭空替代所有基础研发。Anthropic自己描述的也是对特定“能力”的提取，而不是复制完整模型权重。
但是，反过来用“大家都蒸馏”替任何操作辩护，同样站不住脚。技术是不是行业惯例，与数据是不是经过授权，是两个不同的问题。就像搜索引擎抓取公开网页和偷偷读取企业私人数据库都可以叫“获取数据”，显然不能因为使用了相似技术就认为边界不存在。
而这恰恰是中国大模型下一阶段真正需要补的一课。过去两年，国内AI竞争的注意力集中在参数规模、推理价格、上下文长度和各种Benchmark排名上，但当模型真正进入企业开发、办公和Agent场景后，客户首先要问的会越来越具体：我的提示词会不会被保存？是否用于训练？是否会被发送给其他模型提供商？第三方路由服务是否再次留存？API代理背后究竟调用的是谁？
对于个人聊天，这些问题可能只是隐私条款中的几行字；对于一家把源代码、财务模型、供应链资料甚至生产系统权限交给AI Agent的企业，它们就是采购决策中的硬指标。一旦“模型A的API背后可能静默调用模型B”成为企业用户必须自行防范的风险，那么整个中国AI行业好不容易建立起来的企业级信任都会被打折。
所以，Anthropic这份报告真正留下的压力，并不是证明谁的模型更原创，而是逼整个行业回答一个过去长期被性能竞争掩盖的问题：训练数据的来源到底能不能经得起追问。
从模型战进入数据战，Anthropic也有自己的算盘
当然，Anthropic并不是站在商业竞争之外的裁判。过去一年，它不断强化对中国等不支持地区的访问限制，同时公开支持先进AI芯片出口管制，并多次把模型蒸馏与美国国家安全联系起来。2026年2月，Anthropic第一次公开点名DeepSeek、月之暗面和MiniMax，称三家公司通过约2.4万个虚假账户产生超过1600万次Claude交互；半年后，新报告扩展到七家公司，规模也迅速放大。
这种叙事显然有其战略利益。美国前沿模型公司的护城河过去主要是算力、人才和模型权重，现在又增加了一项：高质量推理轨迹本身也是需要保护的知识资产。如果竞争对手能够花远低于基础训练的成本，把最先进模型当成全天候教师使用，那么领先公司的研发投入就会部分转化为后来者的免费训练基础设施。Anthropic当然有强烈动力推动平台限制、身份验证乃至政府层面的反蒸馏政策。
这也是为什么此次事件不能只作为一家公司的安全新闻来看。9月8日美国三家安全和情报机构的联合通告已经说明，华盛顿正在把模型输出、推理轨迹和API访问视为类似先进芯片的新型战略资源。过去出口管制控制的是“训练模型需要什么硬件”，未来政策越来越可能同时试图控制“训练模型能够向谁学习”。
这会带来一个很现实的结果：中美AI竞争的边界将继续从芯片向模型服务层扩张。模型API、云平台、路由服务、身份验证、推理轨迹和训练数据来源，都可能成为新的管制与反管制战场。
最后真正值得担心的，是行业把用户当成了免费数据矿
如果Anthropic此次披露最终被更多证据证实，那么最严重的后果未必是某家公司因此少拿几个Benchmark第一，而是用户开始重新审视所有AI服务：我输入的数据，究竟还属于不属于我可控制的范围。
大模型行业长期存在一个诱惑。真实用户产生的代码修改、复杂推理、Agent调用和长周期任务，比实验室人工构造的数据更接近真实世界，也因此更有训练价值。用户越多，模型公司拥有的数据飞轮就越强。在激烈的模型竞赛下，把这些交互重新用于训练，甚至交给更强模型加工成高质量数据，从商业逻辑上非常容易理解。
但恰恰因为它太有诱惑力，所以边界才必须比过去更清楚。
Anthropic此次点名七家中国公司，当然有美国科技竞争和国家安全叙事的背景，相关指控也仍需要独立验证。然而，如果行业最后的回应只是“美国公司也会蒸馏”“这本来就是常规技术”，其实没有回答最关键的问题。常规训练方法不能自动赋予企业绕过访问规则的权利，更不能自动取得用户对数据跨平台转移和再训练的授权。
中国大模型真正走向全球，最终需要证明的不会只是模型能不能追上Claude、GPT或者Gemini，而是企业能否建立一套经得住国际客户审查的数据治理体系。模型能力差几个月，可以靠工程和算力追；用户一旦开始怀疑平台会在后台把自己的代码和商业数据送到哪里，失去的信任却没有那么容易重新训练出来。
从这个角度看，Anthropic这一次真正击中的，并不是中国模型的技术自信，而是整个大模型行业长期没有认真解决的数据责任问题。中美模型竞争越激烈，这个问题只会越来越重要，而不会因为任何一方强调“技术惯例”就自行消失。
参考资料
- Anthropic. Detecting and Countering Misuse of AI: September 2026. 2026-09-10.
- Anthropic. Detecting and Preventing Distillation Attacks. 2026-02-23.
- National Security Agency, Federal Bureau of Investigation & Cybersecurity and Infrastructure Security Agency. China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies. 2026-09-08.
- Reuters. Anthropic disrupts Russian, Chinese AI campaigns targeting its Claude models. 2026-09-10.
- The Wall Street Journal. How Chinese AI Firms Tried to Clone U.S. AI Models. 2026-09-10.
- Associated Press. China hits back at US claims of “malicious” AI distillation ahead of planned Trump-Xi talks. 2026-09-10.
- Anthropic. Updating restrictions of sales to unsupported regions. 2025-09-04.