2026-09-12 · 包新吉乐律师
2026年9月8日（美东时间），美国国家安全局（NSA）、网络安全和基础设施安全局（CISA）、联邦调查局（FBI）联合发布网络安全公告，点名 DeepSeek（深度求索）、Moonshot AI（月之暗面）、阿里巴巴、MiniMax、StepFun（阶跃星辰）、Z.AI（智谱）六家中国 AI 企业，指控其对美国前沿模型实施"工业规模恶意蒸馏"。公告性质为安全通告而非执法或司法文书，其指控尚未经任何司法程序认定。本文基于公告文本与公开报道，梳理事件脉络，并从法律视角分析其中的争议焦点。
一、公告说了什么：指控内容与建议措施
据公告，美方指控的核心内容包括：
时间与规模：自 2024 年底以来，被点名企业通过数百万次请求，从 Claude、GPT、Gemini、Grok 等美国前沿模型中提取"数十亿 token"，构成"工业规模恶意蒸馏"。
归因表述：公告称相关活动"可能在中国政府知情下开展"（likely with Chinese government awareness），但未指控中国情报机构直接参与。
具体手段：包括批量注册或共享账户、自动化高频查询、通过第三方代理与"中转站"绕开地域限制、团队共享批量采购的高级订阅、思维链（CoT）推理提取、提示词操纵与越狱，以及被封禁后自动切换通道、分散于多平台以规避单点检测。
公告同时向美国 AI 企业提出三点建议：一是部署检测与缓解措施，监测异常提示、账户行为与订阅用量比；二是定向响应调整，对疑似恶意蒸馏的请求"暗中微调响应"（如降低推理深度、路由至较弱模型）——该建议因可能误伤正常用户而受到关注；三是在模型商、云平台与 API 聚合商之间开展跨机构情报共享。
二、什么是知识蒸馏：一项中性技术的行业共识
知识蒸馏（Knowledge Distillation）由辛顿（Hinton）等人于 2015 年系统提出，指用教师模型的输出（软标签）指导学生模型学习，以缩小模型规模、降低推理成本。其本质是模型间的知识迁移，不复制参数或源代码。
蒸馏是全球行业的通行做法，公开证据包括：OpenAI 曾在官方平台提供蒸馏服务；Meta 的 Llama 许可证自 3.1 版起明确允许用户以其输出训练其他模型；英伟达 Nemotron 系列公开披露使用 DeepSeek-R1 生成数百万条训练样本；Perplexity 亦基于 DeepSeek-R1 微调发布 R1-1776。2026 年 7 月，黄仁勋公开表示"蒸馏和从各类知识来源学习是智能发展的基础"，英伟达、微软、Meta、IBM 等 25 家机构发表联名信，强调蒸馏广泛用于模型改进、评估与验证，不应与非法提取混为一谈。
三、事件时间线：从商业条款到国家安全叙事
2025 年 9 月：Anthropic 更新服务条款，禁止中国等实体控股公司使用其服务。
2026 年 2 月：OpenAI 向美国国会提交材料，称多数"对抗性蒸馏"来自中国；Anthropic 提出类似指控，以违反区域访问限制为主要理由之一。
2026 年 4 月：白宫科技政策办公室发布防范"对抗性蒸馏"专项备忘录；同期美国国会提出《遏制美国人工智能模型盗窃法案》（Deterring American AI Model Theft Act of 2026），拟建立"模型提取攻击者名单"并配合实体清单、出口管制与制裁。
2026 年 6 月：白宫要求安全部门与私营企业加强合作；Anthropic 致信参议院呼吁加强芯片出口管制。
2026 年 7 月：产业界出现明显分歧，25 家机构联名信主张区分蒸馏与非法提取。
2026 年 9 月 8 日：三部门联合公告发布；9 月 9 日，中国商务部回应"于事无凭，于法无据"，外交部发言人表示指控"缺乏事实和法律依据"。
这一时间线显示，事件经历了从企业商业条款到国家安全叙事的逐步升格过程。
四、法律视角：四个尚未解决的核心争议
1. 合同违约还是"窃取"：定性的分水岭。美方指控的核心依据是违反企业服务条款（地域限制、使用限制）。已有美国智库专家指出，此类行为本质上是合同违约，而非法律意义上的窃取。在法律框架下，违约属民事范畴，救济方式为违约责任；"窃取"则暗示刑事乃至国家安全属性。定性差异决定整个叙事走向——同一批批量请求行为，在合同法下是条款纠纷，在国家安全话语下则被描述为"攻击"。目前公告本身并未附带刑事指控或司法程序。
2. 模型能力的权属空白。现行知识产权法的保护客体是代码、权重（可作为商业秘密）等有明确载体的对象。AI 生成内容的版权地位在中美均无定论，而模型"能力"本身并非现行知识产权法保护的客体。将保护对象从代码、权重扩张至"模型能力"——即通过输出学习到的行为特征——缺乏成熟的法理支撑，这是美方叙事面临的基础性法律难题。
3. 举证困境：黑盒无法自证。大模型是黑盒，无法从权重或输出反推训练数据，"是否蒸馏"在技术上难以直接证明。公告的归因主要依赖 IP 关联、请求元数据等间接证据。据公开报道，DeepSeek 在《自然》论文补充材料中说明其基础模型训练数据来自网页和电子书；中国信通院的同题测试显示，与参照美国模型输出最相似的，是其同系列另一版本，各国产模型的相似度反而更低。间接证据链条能否支撑"工业规模恶意蒸馏"的定性，在证据法上存疑。
4. 私人条款的国家背书与先例张力。以国家力量为企业单方设定的用户条款背书，将商业纠纷升格为国家安全议题，在美国国内亦存争议——产业界联名信即为体现。此外，美国自身的立法与判例存在张力：1984 年《半导体芯片保护法》允许以分析评估为目的的反向工程；2021 年美国最高法院在谷歌诉甲骨文案中认定复制 Java 接口代码构成合理使用。"保护照抄、不禁止学习"的界线，曾由美国自己划定。另一个背景性因素是：蒸馏以低算力实现高性能，被认为可能削弱算力出口管制的实际效果——美方视角将其视为管制规避，中方视角则视其为技术普惠，两种解读宜并置呈现。
蒸馏技术本身的中性属性与"恶意提取"指控之间的界线，目前既缺乏成熟的法律规则，也缺乏可验证的技术标准。在规则空白期内，对各方而言，确定性来自三处：服务条款的明确性、证据的间接性边界，以及立法动向的持续观察。对企业和开发者而言，在合规层面审慎处理跨区域模型访问与数据来源记录，是当前规则不明状态下可行的风险缓释路径。
律师提示：AI 模型训练、数据来源与知识产权合规是当前企业高频法律风险的集中地带。如您所在企业涉及模型训练数据合规、知识产权争议或涉外数据问题，欢迎拨打免费咨询电话 15147044717。
关注微信公众号《如果人可以长尾巴》，获取更多普法文章
