今天和大家分享的还是公号君对近期模型蒸馏争议的第二篇文章。此前文章见【从“蒸馏”到污名化：白宫 NSTM-4 备忘录的概念陷阱与政策误区】
三个月前，美国白宫科技政策办公室发布NSTM-4备忘录，以《美国人工智能模型的对抗性蒸馏》为题，将中国实体通过代理账户、身份掩饰和越狱提示词获取美国前沿模型输出的行为，正式纳入国家安全议程。【相关分析见从“蒸馏”到污名化：白宫 NSTM-4 备忘录的概念陷阱与政策误区】
三个月后，英伟达、微软、Meta、IBM、Palantir、Hugging Face等企业和机构共同发布《开放权重与美国人工智能领导力》公开信，提醒政策制定者不要把蒸馏这一普遍使用的模型开发方法与不法挪用混为一谈。截至7月25日，OpenAI也已出现在公开信的签署名单中。【关于公开信内容，见深度｜开源大战全面开打：老黄+小扎 vs 奥特曼+达里奥】
这两份文件看似针锋相对：一份把蒸馏称为外国实体系统性抽取美国创新的手段，另一份则把蒸馏视为学习、借鉴和改进既有技术的正常路径。但仔细阅读会发现，两者并没有在最基本的问题上完全对立。NSTM-4原本就承认，合法用于训练更小、更轻量模型的蒸馏是人工智能生态的重要组成部分；公开信也没有为欺诈账户、规避访问控制或者不法提取闭源模型价值辩护，而是主张以有针对性的法律和商业框架处理这些行为。OpenAI在今年2月提交国会的备忘录中，同样一面承认蒸馏具有合法用途并提供“负责任的蒸馏路径”，一面禁止利用其输出制造复制其能力的前沿模仿模型。
这说明，蒸馏争议已经进入第二阶段。
第一阶段争论的是，蒸馏是否应被描述为“盗窃”、是否可以因为行为者来自中国而被冠以“对抗性”标签。第二阶段的真正问题则是：在美国各方都承认蒸馏既可以合法、也可能被滥用之后，谁有权划定二者的边界？模型提供者能否禁止他人从其输出中学习？私人服务条款能否转化为国家安全上的制裁标准？一个国家究竟应当优先保护前沿模型的能力稀缺性，还是争夺全球开发者默认依赖的教师地位？
蒸馏争议正在从技术定性问题，转变为学习权、控制权和能力扩散秩序的分配问题。
一、真正的分歧不再是“能不能蒸馏”，而是谁有权授权
“蒸馏具有合法用途”正在成为美国政府、前沿实验室和开放模型产业的最低共识。真正的分歧，集中在“授权”二字。
对于闭源模型企业而言，授权主要体现为服务条款和合同安排。用户可以调用模型生成文本、代码或者图像，却通常不得使用这些输出训练与服务商竞争的模型；可以进行一般业务应用，却不得大规模收集输出、重构推理轨迹或者通过多个账户规避调用限制。是否属于合法蒸馏，首先取决于模型提供者是否同意。
这一逻辑在商业关系内部并不难理解。模型提供者投入大量资金训练模型，有权规定服务范围，也有权对违反合同的用户停止服务。但问题在于，美国正在尝试把这种私人授权安排向外延伸，使其不再只是决定账户能否继续使用，而是决定某一外国实体是否实施了“模型提取攻击”、是否应被列入公开名单、出口管制实体清单，甚至是否应受到经济制裁。
H.R.8283《遏制美国人工智能模型盗窃法案》最清楚地体现了这种转变。该法案把“模型提取攻击”定义为：未经授权提取闭源模型能力，用于复制、开发、训练或者改进另一模型，并且相关查询（querying）存在三种情形之一：
规避技术、合同、身份或者地域访问控制；
使用欺诈、虚假或者未经授权的凭证；
违反模型所有者明确规定的、禁止利用输出训练其他模型的服务条款。
法案还允许根据查询数量、结构、模式、协调程度、能力集中度、多账户使用以及查询活动与另一模型开发时间线之间的关联，综合推断行为人的训练目的。
该法案目前尚未成为法律，但已于4月22日经众议院外交事务委员会以43票对0票决定修正后报告。按照法案设计，美国政府将识别实施模型提取攻击的外国实体，建立公开名单，研究将其加入商务部实体清单，并授权总统对相关实体实施财产和交易制裁。美国国会预算办公室也将其概括为：识别为复制、训练或者改进另一模型而“不法访问”美国人工智能模型技术特征的外国实体，并使其面临出口管制和制裁。
这里出现了蒸馏治理中最值得重视的制度变化：私人服务条款正在被公法化。
模型企业首先通过合同规定用户可以怎样使用输出，政府随后以是否违反这些规定作为识别“模型提取攻击”的重要标准。服务条款由此不再只是企业与用户之间的交易条件，而可能成为出口管制、实体清单和经济制裁的前置边界。模型所有者实际上获得了一种传统知识产权法并未明确赋予的能力：控制他人能否从已经交付的模型行为中学习。
二、美国正在构造一种新的“模型能力控制权”
传统知识产权制度很难完整处理黑箱模型蒸馏。
普通API调用并不取得模型权重、源代码或者内部激活，也未必获得可以被认定为商业秘密的非公开信息。单个输出通常是模型提供者主动交付给用户的结果，其本身是否受到版权保护、权利归属于谁，也可能存在争议。蒸馏所形成的能力迁移，不一定体现为某段文字或者某份文件被复制，而是大量查询、样本筛选、数据清洗和后续训练共同产生的聚合结果。
因此，蒸馏争议的困难不在于法律完全不保护模型企业，而在于违法性很难稳定地附着在某一个输出之上。一次数学问答、一次代码生成或者一次模型评测，单独看都可能是正常使用。只有把成千上万次查询的内容、时间、账户联系、提示词结构和后续训练活动结合起来，才可能判断其是否构成一项有组织的能力提取行动。
H.R.8283试图解决的正是这一问题。它不再要求证明某份权重文件被复制，而是把查询活动的总体模式、行为目的和合同授权结合起来，对“能力是否被提取”作出整体判断。这使法律的评价对象从单次访问转向一项组织化的能力迁移过程。
从美国前沿AI实验室来看，这种调整具有合理性。使用数万个虚假账户、代理服务或者未经授权的路由商，反复规避地域限制和身份核验，与普通研究、评测或者商业调用显然不同。Anthropic声称，其识别出的DeepSeek、Moonshot和MiniMax相关活动涉及约2.4万个欺诈账户和超过1600万次交互；Google也披露过一项包含超过10万条提示词的活动，其意图被认为是迫使Gemini输出完整推理过程。无论这些企业关于最终训练效果的判断是否能够得到独立验证，欺诈账户、身份掩饰和持续规避访问控制本身都属于可以识别的行为事实。
但问题也恰恰在这里。如果法律把“违反模型企业服务条款”直接等同于“模型提取攻击”，公共规则就可能被私人企业的单方规则替代。
服务条款通常由企业自行制定和修改，内容广泛，用户缺少实质协商空间。企业可以禁止复制模型能力，也可以进一步禁止模型评测、竞争性比较、合成数据生成或者任何形式的后续训练。如果只要违反这类条款，就可能触发实体清单或者经济制裁，那么模型企业事实上就能够自行扩张美国国家安全管制的对象范围。
合同违约可以产生合同责任，规避技术控制可以成为认定不当行为的重要证据，但国家制裁不能只以企业是否表示同意为依据。公共权力必须形成独立的判断标准：行为人是否故意规避身份或者技术控制，是否组织大规模欺诈账户网络，是否针对特定非公开能力持续提取，是否取得了普通用户无法正常获得的信息，是否造成了可以识别的国家安全或者重大竞争损害。
否则，蒸馏治理就会从打击欺诈和规避，滑向赋予少数前沿模型企业一项普遍的“禁止他人学习权”。
三、开放权重公开信反对的不是治理，而是控制边界无限扩张
7月24日公开信的重要性，在于其明确承认，从闭源模型中不法提取价值会产生正当关切，也应通过有针对性的法律和商业框架处理。它真正反对的是，把个别不当提取行为扩张为对蒸馏方法和开放权重模型的一般限制。
因此，这场争论根本不能简单概括为“开源企业反对闭源企业”。当前签署名单既包括Meta、Mistral、Hugging Face等开放模型参与者，也包括英伟达、戴尔等硬件企业，微软等云和平台企业，Palantir、CrowdStrike、Palo Alto Networks等安全和国防技术企业，以及OpenAI这样的闭源前沿模型提供者。
真正发生冲突的是两种产业利益。
第一种利益建立在能力稀缺之上。前沿模型企业投入巨额算力、数据和研发资源，希望通过API收费、订阅服务和能力领先收回投资。模型能力越难复制，前沿差距维持得越久，其定价权和市场地位就越稳定。服务条款、账户核验和反蒸馏技术，都是维持这种稀缺性的手段。
第二种利益建立在能力扩散之上。芯片企业需要更多推理需求，云平台需要更多部署负载，应用企业需要更低的模型成本，初创公司需要可以调整和本地运行的基础模型，企业客户则希望减少对单一模型供应商的依赖。模型能力传播得越广，围绕算力、部署、微调、安全、工具和应用形成的市场就越大。
蒸馏位于这两种利益的交叉点上。对前沿实验室而言，它可能缩短能力独占期；对下游企业而言，它又是把昂贵的通用能力转化为可负担、可部署和可专门化模型的重要方法。
因此，公开信不是单纯的技术理念宣言，也不是对模型盗用的纵容。它提出的是一个产业政策问题：美国的人工智能优势应主要建立在少数前沿模型的长期封闭和高额能力租金之上，还是建立在前沿能力不断向下游扩散、形成广泛产业应用和开发者依赖之上？
保护模型投资当然重要。但如果保护方式使美国企业也无法合法利用本国最强模型进行后训练，却可以从其他国家的开放模型中【例如从中国的开源模型】获得权重、输出和合成数据，那么能力保护就可能反过来削弱本国开放模型生态。
四、蒸馏争议的深层标的是“教师地位”
把蒸馏只理解为一次模型复制，会低估它的长期意义。
人工智能模型不是一次开发、永久使用的静态产品，而是不断升级的能力来源。下游企业需要持续获得更好的基础模型、训练数据、推理轨迹、工具调用方法和后训练经验。哪个模型能够成为这些活动的默认起点，就取得了人工智能生态中的“教师地位”。
教师地位至少包含两层含义。一层是基座地位，即模型权重成为下游微调、量化、适配和部署的基础；另一层是狭义的教师地位，即模型输出、推理轨迹、偏好判断或者合成数据成为训练另一模型的材料。二者虽不同，但都会形成持续的生态依赖。
ATOM报告对开放模型生态的统计显示，在其覆盖的Hugging Face开放模型样本中，中国模型在2026年2月已占新衍生模型约70%，Qwen占新微调和适配模型的69%；在其统计的OpenRouter开放模型推理流量中，中国模型的词元份额到2026年1月达到72.7%。这些数据虽然不能代表全球人工智能市场全貌，却足以说明，在开放模型这一层，中国模型已经由追赶者转变为大量开发活动的基础供给者。
这种转变不仅体现为下载量。美国Thinking Machines Lab在介绍其开放权重模型Inkling时公开说明，模型的混合专家架构在很大程度上沿用了DeepSeek-V3的设计，初始监督微调则使用了包括Kimi K2.5在内的开放权重模型生成的合成数据。该公司同时强调，这部分只占后训练投入的一小部分，模型的大部分能力来自后续大规模强化学习。这一案例并不能证明Inkling依赖中国模型才能形成主要能力，却清楚显示，西方实验室已经可以通过公开许可和开放权重，合法地向中国模型学习架构和训练数据生成方法。
红杉资本因此把当前结构概括为一条迂回路径：美国前沿闭源模型的能力被指控经由未经授权的提取进入中国模型，中国模型再以开放权重和许可形式成为西方企业合法使用的基座和教师。
这里的第一环仍然主要建立在美国企业的指控之上，不能作为已经确证的事实；但后半段的开放扩散已经可以观察。红杉据此提出，美国应当为本国企业建立“受控教师访问”，允许经核验的企业在落后前沿一定距离、限定能力范围、接受计量和审计的条件下，合法利用美国前沿模型进行后训练。
这一讨论揭示了一个“教师悖论”：对模型保护得越严，前沿企业能够收取的能力租金可能越高；但合法学习通道越窄，下游企业转向其他教师的动力也越强。开放权重会使开发者失去撤回和持续控制模型的能力，却可能换来更广泛的微调、部署、工具适配和技术依赖。封闭模型能够控制每一次调用，却未必能够控制整个生态向何处迁移。
因此，一国可能在闭源前沿模型排行榜上保持领先，却在开放模型、下游适配和全球开发者生态中逐步失去教师地位。7月24日公开信所争取的，正是防止美国因过度保护前沿模型稀缺性，而把开放层的教师地位让给其他国家。
五、正确的边界不是“允许或者禁止蒸馏”，而是分层治理学习过程
在公号君看来，如果抛开地缘政治这一层因素，蒸馏既不能被整体禁止，也不能因为是一种常用技术就免于规则约束。合理的制度应当把技术方法、取得方式、训练用途和能力风险分别评价。
首先，应当以取得学习材料的方式，而不是以“蒸馏”这一名称判断行为性质。使用虚假身份、组织欺诈账户网络、绕过地域限制、反复规避已经实施的访问控制，或者诱导模型泄露本来不向普通用户提供的内部推理信息，可以成为认定不当提取的重要依据。正常调用公开接口、进行小规模研究、比较模型性能或者使用得到明确许可的输出，则不应仅因后续发生模型训练而被自动定性为攻击。
其次，违反服务条款不应直接等同于触犯国家安全规则。服务条款可以界定合同权限，但公共制裁应当具有独立构成要件。至少应当证明行为人具有提取模型能力的明确目的，采取了故意规避或者欺诈手段，形成了具有实质规模和组织性的提取活动，并且所提取的是具有明确保护必要性的能力，而不是把任何未经模型企业同意的学习都纳入制裁。
再次，应当区分不同学习对象。普通问答输出、完整推理轨迹、系统提示词、模型概率分布、内部激活和权重文件，在可获得性、非公开程度和能力价值上存在明显差异。通过正常服务取得普通输出，与利用漏洞或者越狱获取隐藏推理和内部信息，不应适用相同标准。一般语言和代码能力，与生物、化学、网络攻击等高风险能力，也不应采取完全一致的访问安排。
最后，限制措施必须同时提供合法通道。只规定“不许学”，却不提供授权训练、教师许可或者受控后训练机制，会把真实存在的产业需求推向代理路由、隐蔽账户和境外开放模型。相较于全面禁止，更可行的路径是建立分级的教师访问：可以限定申请主体、能力范围、查询预算、模型代际和使用目的，对访问进行计量和审计；对一般产业能力提供稳定、可定价的训练给予授权，对少数高风险能力保持更严格的限制。
这种制度的重点，不是赋予任何企业对模型行为的永久垄断，而是在保护前沿研发投入与维持后续创新之间建立可操作的边界。
六、中国已不能只以“学生”的身份回应蒸馏争议
在第一阶段的蒸馏争议中，中国主要处于被指控者的位置。我们尤其需要说明蒸馏是中性技术，反对以国籍替代违法要件，也需要反驳把中国模型进步全部归因于美国模型输出的叙事。
但随着中国开放模型在全球开发生态中的影响扩大，中国也开始面对此前主要属于美国的问题：当本国模型成为他人训练、微调和部署的基础时，是否应当控制别人如何学习？
如果最强模型和全部能力都无条件开放，确实可能加快竞争者追赶，并使高风险能力失去持续控制。相反，如果过早复制美国前沿实验室的封闭模式，把模型输出、权重和后训练用途都纳入严格许可，中国又可能主动削弱开放模型已经形成的教师地位。
也许，更适合中国的路径，不是简单选择开放或者封闭，而是形成分层的能力供给制度。
对于通用、成熟、风险可控的模型和能力，应当继续通过开放权重、明确许可和低成本服务扩大国际使用。开放模型的竞争优势不只来自一次发布，更来自许可稳定、版本持续更新、开发工具完善和下游使用预期明确。对于高风险能力、最前沿权重或者可能显著改变军事、网络和生物能力的教师访问，则可以采用主体核验、用途限制、受控接口和持续审计，而不是把一般模型学习整体安全化。
更重要的是，中国模型企业需要把授权规则说清楚。模型许可证和服务条款应明确：是否允许利用输出训练其他模型，是否允许发布衍生模型，是否需要标注教师来源，是否存在高风险用途限制，以及权重使用、API调用和合成数据生成分别适用什么条件。只有合法学习通道稳定、清晰、可证明，教师地位才能从流量优势转化为持久的生态优势。
与此同时，训练来源证明也将越来越重要。模型企业需要能够说明使用了哪些基础模型、哪些教师输出、依据何种许可证取得、是否实施训练隔离以及如何处理高风险能力。教师授权、数据血缘和训练记录不应只被理解为合规成本，而会逐渐成为政府采购、企业部署和跨境市场准入中的可信资产。
结语
蒸馏争议的第一阶段，争夺的是技术的名称。美国试图把“对抗性蒸馏”塑造成中国系统性抽取美国创新的政治标签，争议的核心是蒸馏是否可以被整体污名化。
第二阶段争夺的，则是学习的许可权。
美国前沿模型企业希望保护研发投入和能力优势；开放模型、芯片、云和应用产业希望保留模型学习、适配和再创新空间。真正需要防止的，是其中任何一方把自身利益直接转化为普遍规则：既不能因为蒸馏具有合法用途，就忽视欺诈账户、技术规避和非公开能力提取；也不能因为存在这些行为，就赋予模型企业决定一切后续学习是否合法的权力。
制度应当治理的是取得学习材料的方式、被提取能力的性质以及后续使用的风险，而不是禁止模型相互学习。服务条款可以形成合同边界，但不能单独决定国家安全边界；前沿能力可以受到保护，但不能由此创造一项覆盖所有模型输出的永久控制权；高风险教师访问可以受到限制，但一般性的研究、评测、合成数据生成和后续创新仍应保留空间。
从更长的竞争周期看，蒸馏也不只是能力是否被别人拿走的问题。它决定谁能够成为全球人工智能产业持续学习和改进时所依赖的教师。
在教师秩序的竞争中，最危险的未必是有人试图向你的模型学习，而是全球开发者已经不再愿意把你的模型当作教师。
声明：本文来自网安寻路人，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
