Claude 關門之後，蒸餾流向 GPT-6？AI 模型防盜戰的最鬆閘門定律

台灣科技週刊｜AI 模型與產業深度分析 資料查核截至：2026 年 11 月 4 日

十月底，路透社轉述《The Information》報導：DeepSeek 與 Moonshot AI（月之暗面，Kimi 的開發商）最新模型的訓練，大量用了 OpenAI 旗艦模型 GPT-6 Astra 的輸出。兩週多前，Anthropic 才宣布把蒸餾者從 Claude 取走的資料壓低約 90% 至 99%。這件事的重要性在於，如果報導屬實，單一公司的防禦改變的可能只是攻擊路線，而不是總量。

先把證據等級講清楚。《The Information》的消息來源是匿名知情人士，OpenAI、DeepSeek、Moonshot 在路透社求證時都未立即回應。目前沒有公開的伺服器紀錄或訓練資料能佐證這次的 Astra 指控。Moonshot 過去否認以蒸餾方式開發模型，中國外交部也在九月駁斥美方的相關指控。

時間點也巧。Moonshot 在官方部落格寫明，Kimi K3.1 Pro 的完整權重將在 11 月 4 日前釋出。本刊截稿前查看其 Hugging Face 頁面，尚未看到 K3.1 的模型庫。這個被點名的模型，可能很快就會讓任何人都能下載。

蒸餾攻擊是什麼？為什麼這一波爭的是「推理軌跡」

蒸餾（distillation）是用較強模型的輸出訓練另一個模型的技術，本身合法且常見。Anthropic 二月的公告也承認，前沿實驗室經常用它做出自家較小、較便宜的版本。爭議不在技術，而在未經授權，以及為了取得輸出而使用假帳號、代理網路與規避地區限制的手段。

今年，戰線從「答案」移到「推理軌跡」，也就是模型處理任務時的內部思考紀錄。Anthropic 用 Claude Opus 4.8 的資料做過對照：以完整推理軌跡訓練的模型，在 SWE-bench Verified 程式任務測試得到 80.4%，只用摘要版則是 71.8%。這是公司自己的實驗，但 8.6 個百分點足以解釋各方為何圍繞這類資料攻防。OpenAI 九月底也用了相近說法，稱受保護的推理內容可能洩露最終答案中沒有的資訊，並協助他人複製模型能力。

美國政府的定調更重。NSA、CISA、FBI 在 9 月 8 日發布的聯合資安通報 AA26-251A，點名 DeepSeek、Moonshot、阿里巴巴、MiniMax、StepFun、Z.AI 六家，稱蒸餾是這些公司模型開發的「critical core」（關鍵核心），活動「可能在中國政府知情下」進行。這是情報與資安機關的評估，本刊查閱的通報內容未附可供外界驗證的原始紀錄，也不是法院認定。

過去 30 天發生了什麼？

十月的新事實集中在兩件事：防守方開始公布成效，以及目標可能轉移。下表把時間線與證據性質並列，避免把公司自述和匿名報導讀成同一種東西。

有一點容易混淆：被指遭蒸餾的 GPT-6 Astra 是已上市模型，和本刊九月底分析的遭取消發布的 GPT-6.1 Astra 不是同一個。

Anthropic 真的擋下九成以上嗎？

答案是：這是公司自述的早期成果，外界無從獨立驗證，而且它只能量到自己看得見的東西。

Anthropic 在 10 月 12 日的公告中公布三層做法。第一層控制推理軌跡的去向，例如 Claude Sonnet 5.5 的推理內容只有發出請求的組織能存取，2026 年 8 月 31 日起新開的 API 帳號也不能修改 Claude 先前的上下文。第二層是兩階段分類器，用來攔截擷取嘗試。第三層讓重複嘗試變貴，包括收緊用量、停權，以及從 9 月 24 日起恢復對被攔下的相關請求收費。公司稱，推理 token 的外流量比分類器上線前低 10 到 100 倍以上，數萬個相關帳號被封，常在行動開始兩小時內完成。

同一份公告也留下三個保留。它稱這是「early evidence」（早期證據）；它承認尚未遇到高度複雜且持續的規避嘗試；它預期貓捉老鼠會繼續。更值得注意的是分母問題：下降幅度來自 Anthropic 偵測得到的流量，混在正常客戶請求裡、未被辨識的部分，本來就不在統計內。

但這份公告最重要的一句話，可能不是 90% 至 99%，而是對智譜（Zhipu，國際品牌 Z.ai）的描述。Anthropic 說，智譜在開發 GLM-5.3 期間想蒸餾 Claude Fable 5 的資安能力，因資安防護使攻擊效果變差而失敗，於是「switched to an older Claude model and another lab's model」（轉向較舊的 Claude 模型和另一家實驗室的模型）。公告沒有說另一家是誰。不過，防守生效帶來轉移，這是防守方自己寫下的觀察，比《The Information》的報導早了兩週多。

什麼是「最鬆閘門定律」？

本刊把這個現象稱為最鬆閘門定律：當多家前沿模型能力接近、都能透過 API 買到時，單一業者的蒸餾防禦主要決定攻擊往哪裡去，而不是攻擊是否發生；整個產業的防護強度，由最鬆的那個入口決定。

這裡的「入口」至少有三種。

第一種是公司之間。Artificial Analysis 在 10 月 27 日推出的 Intelligence Index v5 中，Claude Opus 5.5 為 58 分，GPT-6 Astra 為 57 分，幾乎可以互相替代。Gemini 4 Carbon 隔天以 59 分登頂，但仍限特定用戶。只要頂級模型不只一家，蒸餾者就有備胎。《金融時報》七月的報導（經風傳媒轉述）曾提到，OpenAI 沒有採用與 Anthropic 相當的驗證，部分中國用戶覺得 ChatGPT 較容易透過 VPN 使用；IBTimes UK 十月底也轉述，有消息來源稱 Claude 的限制把中國實驗室推向 OpenAI。這些都是二手或匿名說法，不能當成 OpenAI 防線較弱的定論。OpenAI 已表示強化跨使用者、組織與模型系列的推理防護。

第二種是世代之間。智譜轉向舊模型的案例說明，新模型的防護不會自動回溯。Anthropic 也已阻止推理內容被防護較弱的舊模型讀取。對 API 業者而言，還在服務的舊模型就是一扇可能沒關好的側門。

第三種是通路之間。AA26-251A 描述的攻擊路徑，包含雲端業者、第三方聚合商與名為「中轉站」（transfer stations）的代理灰色市場。OpenAI 也直接承認這塊還沒做完，說合作夥伴託管的部署需要與第一方服務相同的防護，管控仍在延伸到各雲端夥伴。Anthropic 則呼籲雲端與推論供應商一起行動。一家原廠封得再緊，同一個模型若經由防護較鬆的第三方提供，閘門就在那裡。

為什麼沒有人單獨解決？Anthropic 寫得很直白：「Defenses are expensive, and illicit distillers are still paying customers.」（防禦昂貴，而違規蒸餾者仍是付費客戶。）它自稱已經放棄可觀營收和數兆 token 的付費流量。本刊認為，這就是問題核心：防禦的成本由個別公司承擔，好處卻由整個產業分享。在這場賽局裡，防得最嚴的公司會把收入讓出去，也把攻擊推給對手。本刊九月底分析過 Anthropic 走向 IPO 的算力帳單；該公司已在 10 月 26 日宣布向 SEC 遞交 S-1，這種取捨此後會更受公開市場檢視。

這套定律也可以被否證。如果 OpenAI 或 Google 後續公布的數據顯示，蒸餾量與 Anthropic 同步下降、而非上升，就代表防禦有外溢效果，流量確實減少，本刊的判斷就該修正。OpenAI 提到的前沿模型論壇（Frontier Model Forum）和政府管道情資共享，是目前最直接處理這個結構問題的機制，但公開成效還看不到。

蒸餾真的讓中國模型追上來了嗎？

目前的公開資料無法證明這件事，甚至有訊號指向相反方向。

資料來源：Artificial Analysis，2026 年 10 月 23 日、27 日、28 日；「—」表示本刊未取得可比數字。

K3.1 Pro 上市時排名第四，距離榜首只差 3 分，看起來像開放模型逼近前沿的里程碑。四天後，指數換成約六成採私有測試集的 v5，它掉到 46 分，與 Opus 5.5 差 12 分。Artificial Analysis 沒有把這個落差歸因於任何原因，測試項目本身也換了，因此不能據此斷言 K3.1 Pro 的成績來自蒸餾。比較穩妥的讀法是：一個模型在公開測試上的亮眼分數，不足以衡量它和前沿的真實距離。

其他解釋也要並列。Moonshot 自述 K3.1 Pro 的進步來自大幅增加的後訓練算力，以及跨數百個領域的強化學習。部落格沒有提到蒸餾，也沒有列出具體資料來源。TechCrunch 七月報導白宮科技政策主管 Kratsios 指控 Moonshot 蒸餾時也提到，有專家質疑 Kimi K3 主要來自蒸餾 Fable 的說法。美國 CAISI 的評估則顯示，GLM-5.3 在資安能力上落後美國前沿約四個月，SEC-Bench Pro 得分 40.4%，美方最佳為 90.2%。

還有一個對美國實驗室不利的提問，同樣應該寫出來。批評者指出，美國公司自己也曾在未經許可下用他人內容訓練模型，OpenAI 仍面臨《紐約時報》的著作權訴訟，Anthropic 去年與書籍作者達成 15 億美元和解。兩者在法律上未必同一回事，但蒸餾爭議的討論不能假裝這段歷史不存在。

真正令人擔憂的，或許不是能力，而是防護是否一併複製。Anthropic 對 GLM-5.3 的測試顯示，在模擬環境中，用編造身分的話術就能讓模型在 64% 的嘗試中配合明顯惡意的請求，移除拒答機制的版本更達 100%，而發布數日內就有開發者放出這類版本。這是競爭對手的測試，需要保留看待。Moonshot 走了不同的路：它稱從訓練資料中移除資安內容，把內部 xdev-bench-hard 的成績從 90.5% 壓到 81.0%（K3 為 33.3%），目標是「不擴張」資安能力的前沿。K3.1 的權重一旦開放，這項自述才能被外部檢驗。

防護的代價，會落到合法開發者身上嗎？

會，而且已經開始。Anthropic 自己列出的代價包括：部分開發者要因 preserved thinking 修改整合程式，分類器在不到 0.1% 的情況下會誤判。不到千分之一聽起來很小，但對每天發出百萬次請求的服務來說，誤攔上限仍接近千次。加上公司已恢復對相關類別被攔請求收費，公告也沒有說明誤判是否退費，開發者最好自己留下紀錄。

推理內容綁定組織與模型，也有本刊認為較少被討論的副作用。OpenAI 提醒，支援推理產物移轉或重放的系統都可能面臨相關風險。本刊推論，在對話中途切換模型、想帶著思考脈絡換手的代理框架，未來可能要重新設計。防蒸餾和避免供應商綁定，在此互相拉扯。

更敏感的是透明度。AA26-251A 建議業者對高信心的惡意蒸餾「subtly alter responses」（細微改變回應），轉到降級模型，並避免告知被懷疑的中國公司用戶。目前沒有公開資訊顯示哪家業者實際這樣做，通報也要求讓安全研究者與第三方評估者知情。但如果這類做法普及，被誤判的開發者可能只會覺得模型變笨了，卻不知道原因。OpenAI 文件已提到，合法活動也可能觸發防護，要求開發者檢查通知和請求紀錄，只是那段是針對資安類請求。

偵測手段本身也有隱私爭議。依 T客邦報導，Claude Code 曾從 2.1.91 版起內建比對時區與代理網域的程式碼，以推估用戶位置，到 2.1.198 版才完全移除。Anthropic 工程師確認這是針對未授權轉售與蒸餾的實驗；中國國家資訊安全漏洞庫則發出警告，稱其為「安全後門」。

台灣的開發者和企業該怎麼看？

台灣在 Anthropic 的支援地區清單內，中國與香港不在，新加坡與日本則在。這個地理位置帶來三個實際問題。

第一是股權與人員所在地。Anthropic 10 月 8 日公布使用政策更新（11 月 12 日生效），同時釐清支援地區政策的執行方式，列出三類禁止情形：人實際身處不支援地區、實體在當地註冊或設總部、實體由當地個人或法人多數持有或控制。對台灣企業，這不是抽象條款。在中國設有據點的台商，員工人在當地使用 Claude，或者集團股權結構由中國資本過半持有，都值得先請法務確認。這是 Anthropic 的規定，其他業者要各自查證。

第二是便宜的中轉 API。Anthropic 報告稱，中轉服務常在用戶不知情下保存用戶與美國模型的對話，並有實驗室向轉售商購買這類紀錄。報告也提到，商湯使用從第三方資料商買來的對話紀錄。本刊沒有查到台灣用戶受害的案例，但邏輯很清楚：省下的 API 費用，可能是用自家程式碼和商業資料換來的，而這些資料的下一站可能就是某個訓練集。本刊也推論，共用帳號池容易被判定為異常流量，帳號可能隨時失效。

第三是中國模型 API 的資料路徑。Anthropic 指控 Moonshot 與 DeepSeek 把用戶請求轉送到 Claude 而未告知；它也坦承「不知道」Moonshot 是否通知了客戶。這項說法未獲兩家證實；據 TNW 轉述，這類案例正是中國網信辦調查聚焦兩家的原因之一。企業採購時應把兩件事分開：在自有環境跑開放權重，和把資料送到對方的 API，風險完全不同。

台灣還多了一層理由關注這場爭議。同一份 Anthropic 報告記載，一名與解放軍軍事科學院有關的中國研究者，在開發電子戰與壓制防空軟體時，把預設模擬情境改為台灣的 12 處軍事目標，包括愛國者與天弓飛彈陣地；另有案例鎖定台灣基督長老教會領導階層。報告特別說明，這些內容反映行為者的關注重點，不等於已具備的能力。本刊認為，若模型能力在沒有防護的情況下擴散，這類使用者可能換個模型就能繼續。這也是AI Agent 的權限與授權問題之外，台灣企業需要納入評估的外部風險。

至於十月在中文網路流傳的「Claude 用『台灣獨立』釣魚抓中國用戶」說法，目前沒有證據支持。風傳媒的查證報導指出，當事開發者收到的停權通知只提到支援地區政策，沒有提到關鍵字；另有轉述稱他自己承認兩者的關聯是推測，且使用美國 IP 代理。本刊認為，比起政治關鍵字，用代理繞過地區限制是更簡單的解釋，但確切原因仍未證實。

具體做法不複雜：直接向原廠或具名雲端業者採購，保留合約和帳單；清查股權與海外據點的使用情境；紀錄每次呼叫的模型版本，留意回應品質的異常變化；代理系統不要依賴跨模型重放推理內容。

接下來要看什麼？

第一，Kimi K3.1 Pro 的權重何時釋出、採什麼授權。Moonshot 已設下 11 月 4 日的期限，它是否如期，以及外部研究者是否從權重驗證資安自述，都會是下一個新事實。

第二，OpenAI 與 Google 會不會公布防護成效。最鬆閘門定律成不成立，要靠跨公司的數字驗證，一家公司的 90% 至 99% 無法回答。

第三，美國政策會不會從威脅變成行動。財政部長貝森特七月表示，制裁和實體清單「會列入考慮」；眾議院 H.R. 8283《Deterring American AI Model Theft Act》四月以 43 比 0 通過委員會，但本刊查得的紀錄未見院會表決。截至查核，本刊也沒有查到相關公司被列入實體清單的公告。

第四，中國方面的調查結論。報導指向的關切是用戶資料外流，而不是蒸餾。如果網信辦真的以此處分 DeepSeek 或 Moonshot，這場爭議就會出現兩套完全不同的敘事。

防盜這件事，最終比的不是誰的牆最高，而是整排牆裡最低的那一段在哪裡。

｜台灣科技週刊

資料與方法說明

本文的公司數字（Anthropic 的 90% 至 99%、推理 token 下降倍數、各實驗室對話量，OpenAI 的 16,000 次請求等）皆為公司自述，未經第三方驗證。OpenAI 註明其數字代表擷取嘗試，不一定成功。美國政府通報未公開底層證據。

DeepSeek 與 Moonshot 使用 GPT-6 Astra 的報導，原始來源是《The Information》，本刊未能打開原文，也未能直接打開路透社稿，是經 Techzine、WION、IBTimes UK、Trending Topics 的轉述比對；消息來源為匿名，相關公司未證實。網信辦調查同樣來自《The Information》，經 TNW 轉述，TNW 表示未獨立驗證。

「OpenAI 防線較鬆」僅見於二手與匿名說法，本刊未將其視為事實。Anthropic 未點名智譜所轉向的「另一家實驗室」。Google 欄位只反映本刊查閱的 Gemini 4 Argon 公告，不代表其未採取蒸餾防護。

Artificial Analysis 新舊指數的測試組合不同，分數不宜直接比較，落差原因亦未被說明。Kimi K3.1 Pro 的 55 分出自 Artificial Analysis 上市當日文章，該文未標指數版本，指其為前一版指數的是 Trending Topics。DeepSeek V4.1 Flash 的開放權重狀態來自第三方平台標示，1017 版本身未另行查證。Anthropic 對 GLM-5.3 的測試出自其競爭對手。

K3.1 權重狀態以本刊 2026 年 11 月 4 日傍晚（台灣時間）查看 Hugging Face 組織頁面為準，之後可能改變。H.R. 8283 的狀態來自第三方法案追蹤頁面與七月報導，GovTrack 與 Congress.gov 本次無法直接打開。本刊未找到實體清單已列入相關公司的公告，但這不等於沒有。

本刊未做任何模型實測，未採訪當事公司，也未查到台灣用戶遭中轉服務外洩的具體案例；相關段落是依公開資料所做的推論。「最鬆閘門定律」與防護成本的判斷為本刊分析。本文不構成法律或投資建議。

參考資料

1. Anthropic，〈Strengthening our defenses against distillation attacks〉，2026-10-12。
2. Anthropic，〈Countering misuse of AI: September 2026〉，2026-09-10。
3. Anthropic，〈Detecting and preventing distillation attacks〉，2026-02-23。
4. Anthropic，〈2026 Usage Policy update〉，2026-10-08。
5. Anthropic，〈支援地區清單〉，查閱於 2026-11-04。
6. Anthropic，〈GLM-5.3 and the spread of advanced cyber capabilities〉，2026-09-29。
7. Anthropic，〈Anthropic files S-1 with the SEC for proposed initial public offering〉，2026-10-26。
8. OpenAI，〈阻斷一場協同進行的模型蒸餾行動〉，2026-09-30。
9. OpenAI，〈Models and Trusted Access〉，查閱於 2026-11-04。
10. NSA、CISA、FBI，〈China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies〉，2026-09-08。
11. NIST CAISI，〈CAISI's Assessment of Z.ai's GLM-5.3 Cyber Capabilities〉，2026-09-17。
12. Moonshot AI，〈Kimi K3.1 Pro〉，頁面未標日期，上市日 2026-10-23。
13. Moonshot AI，〈Hugging Face 組織頁面〉，查閱於 2026-11-04。
14. Artificial Analysis，〈Kimi K3.1 Pro launches at 4th on the Intelligence Index and will lead open weights models〉，2026-10-23。
15. Artificial Analysis，〈Announcing Artificial Analysis Intelligence Index v5〉，2026-10-27。
16. Artificial Analysis，〈Gemini 4 Carbon is the new #1 on the Artificial Analysis Intelligence Index v5〉，2026-10-28。
17. Google，〈Gemini 4 Argon is now available for everyone〉，2026-10-13。
18. Techzine，〈DeepSeek and Moonshot AI are reportedly using GPT-6 Astra for training〉，2026-10-29。
19. WION，〈What is AI distillation? DeepSeek and Moonshot reportedly used OpenAI's model to train AI〉，2026-10-30。
20. IBTimes UK，〈DeepSeek and Moonshot AI Accused of Copying GPT-6 Astra Capabilities Through Distillation Attacks〉，2026-10-30。
21. Trending Topics，〈DeepSeek and Moonshot Reportedly Distilled GPT-6 Astra〉，2026-10-29。
22. The Next Web，〈China is investigating DeepSeek and Moonshot, The Information reports〉，2026-09-22。
23. Rare Earth Exchanges，〈China's Foreign Ministry Calls for U.S.-China AI Cooperation〉，2026-09-09。
24. TechCrunch（Yahoo Finance 轉載），〈Treasury threatens sanctions after White House claims Moonshot distilled Anthropic's Fable〉，2026-07-23。
25. Startup Fortune，〈Congress moves to make AI model distillation a sanctionable offense〉，2026-07-23。
26. Legisletter，〈H.R. 8283: Blacklist Foreign AI Thieves〉，查閱於 2026-11-04。
27. 風傳媒（Yahoo 新聞轉載），〈防堵中國企業繞道翻牆蒸餾！Anthropic 強化 Claude 管制〉，2026-07-03。
28. 風傳媒，〈台灣12處軍事重地遭AI模擬攻擊！Anthropic揭中國廣設假帳號濫用Claude〉，2026-09-17。
29. 風傳媒（Yahoo 新聞轉載），〈美國AI真的用「台灣獨立」抓中國盜用者？〉，2026-10-15。
30. T客邦（LINE TODAY 轉載），〈中國漏洞庫指控 Claude Code 留有安全後門，背後牽扯中美 AI 模型蒸餾防禦戰〉，2026-07-10。