AI 模型蒸馏悖论：美国一边主张训练属合理使用，一边指控中国实验室蒸馏

9月1日，司法部就人工智能（AI）公司获取和再利用你的作品的权利提交了意见书——它称之为一份“利益声明”——介入OpenAI与《纽约时报》及其他出版商之间的版权之争。

联邦政府首次直接介入围绕生成式AI训练数据的一系列诉讼，其立场是：为训练目的将受版权保护的文本输入AI模型属于合理使用。它辩称，OpenAI的训练具有“极高的转换性”，而要求公司为其摄取的一切内容获得许可，将“使AI模型的训练变得不被允许”。

司法部警告说，事关美国所珍视的一切：言论自由、技术创新领先地位，甚至国家安全。司法部主张，把“竞争优势拱手让给那些没有此类负担的外国对手”，法律就会把本应属于美国的东西拱手让给中国。

然而八天后，国家安全局、网络安全和基础设施安全局以及FBI却唱起了不同的调子。在一份联合网络安全咨询报告中，政府指控六家中国实验室对美国前沿模型发动了“工业规模的蒸馏行动”。蒸馏是一种训练较小AI模型模仿更大、更强大模型行为的方法，使其能够在更便宜的硬件上运行而不牺牲性能。

在其意见书中，政府指控这些作恶者——DeepSeek、Moonshot AI、阿里巴巴、MiniMax、StepFun和Z.ai等中国公司——从Claude、GPT、Gemini和Grok等纯正美国产品的变体中提取了数十亿个token（AI模型读取和生成的基本数据单位），“很可能是在中国政府知情的情况下”。

这并非偶尔走捷径：根据该网络安全咨询报告，“激进、恶意且有针对性的蒸馏活动”至少早在2024年就已开始，并构成了北京AI战略的“核心”。

当美国实验室未经许可摄取全世界的文字时，这被誉为变革性创新。当中国实验室对美国模型做完全相同的事情时，这就成了“恶意且有针对性的”行动，意在“提取专有功能和推理能力”。

这一切引出了三个关键问题：

第一，训练模型与蒸馏模型之间究竟有何区别？

第二，鉴于这两种做法都依赖于未经同意取用他人的成果，为什么联邦政府对美国公司和中国公司区别对待，这种区别是否有任何法律或理性依据？

第三，如果没有依据，法律应该如何对待大规模数据采集——无论采集的材料是由人类撰写还是由机器生成？

训练与蒸馏

AI模型利用一个由称为权重的数值参数构成的庞大架构，将输入——比如“明天天空会是什么颜色？”这样一个简单问题——处理为相应的输出。

为了直观理解这一过程，想象录音棚里一块巨大的调音台。用户的提示词就是流入的原始音频——人声、贝斯或鼓声。权重则是散布在控制台上成千上万的推子和旋钮——有些调高贝斯，有些则静音高音或添加效果。最终从扬声器中回荡出的歌曲，就是模型的答案。

没有人类录音工程师手动调节旋钮。大型语言模型的参数实在太多——动辄数十亿，有时甚至数万亿个。

相反，AI 实验室通过一个称为训练的过程来设定这些权重。开发者最初随机设定它们，因此控制台产生的不过是静电噪声。但随后他们让模型接触海量的人类数据——原始文本和代码，对于某些模型还包括图像、视频和音频。他们一遍又一遍地要求模型预测下一个“token”，例如句子“天空将会是……”中的下一个词。

每次猜测之后，工程师们会将输出与“正确”答案进行比较（天气晴朗时是“蓝色”，气候不佳时则是“灰色”）。

每一次失误，数十亿个看不见的旋钮都会共同转向更有可能产生正确答案的配置。将这一过程重复足够多次，并在足够浩瀚的数据海洋中进行，静电噪声便会慢慢转化为音乐。

在后期阶段，即所谓的微调中，工程师们奖励那些在有用性、清晰度和安全性方面符合期望的答案，并抑制不和谐的答案，从而塑造模型的行为，使其“声音”与人类伦理和价值观保持一致——这样当你向 ChatGPT 提问时，它听起来才不会像个反社会人格者。

但现在设想一个实验室想要快速且廉价地训练出一个有能力的模型。它没有时间或资源来消化如此多的数据或调整如此多的参数，况且其他实验室已经完成了这些工作。有没有办法利用其他公司已经完成的工作，而不必重复造轮子？事实证明，正如 OpenAI 和 Anthropic 可以利用人类有记录以来的全部知识来训练它们的模型一样，DeepSeek 和 Z.ai 也可以通过使用 ChatGPT 和 Gemini 来训练自己的模型。

这就是所谓的“蒸馏”过程。被称为 AI 教父的 Geoffrey Hinton 将这项技术解释为一个敏捷的“学生”模型，被训练来模仿一个复杂“教师”模型的行为。学生模型不是从零开始重新学习宇宙，而是反复聆听大师的演奏，学习模仿其回应。这种方法产生了一个更精简、更快速的模型，它捕捉了原模型的大部分精髓，同时大幅降低了延迟和托管成本。它还绕过了对大量人工标注数据集的需求。

如果这听起来很熟悉，那是因为从本质上讲，蒸馏只是训练的一种特殊形式。两个过程都是将现有的书面和记录作品之泉通过一个变革性的技术熔炉，从而教会一个新模型去追随它刚刚听到的聚合智慧。

最根本的区别在于为训练所挪用的源泉来源不同。在蒸馏中，学生模型从另一台机器学习，而不是直接从那些作品曾被该机器吸收的人类那里学习。

法律灰色地带

别以为蒸馏是不光彩的中国产物，是纯正美国训练的拖油瓶——美国前沿实验室也每天都在搞蒸馏。蒸馏绝非什么异乎寻常的做法，而是所有AI赖以生存的基本功。美国每一家主要实验室都会蒸馏自家模型，以训练出更轻、更快、更节能的新一代模型。斯坦福的Alpaca和微软的Orca就是用更大模型的输出训练更小的模型，而且创造者还公开与研究界分享了方法。今年4月，埃隆·马斯克在宣誓后承认xAI曾用OpenAI的输出训练Grok，并称这是“AI公司之间的普遍做法”。

然而，当中国实验室做同样的事时，整件事就悄悄变成了能力窃取。政府的网络安全公告描述了一张精心设计的规避网络，蒸馏请求分散在多个平台和提供商之间，以至于没有任何单一运营者能察觉正在发生什么。据称，这些公司瞄准的是实验室刻意隐藏的思维链推理，仿佛美国国内实验室对待文献和新闻时不是这么做的。据称，远程云提供商和第三方聚合商从输出中剥离用户元数据以作伪装。而一个由代理组成的灰色市场——被称为“中转站”——绕过地理限制并逃避追踪，仿佛美国实验室曾就未经同意使用材料的来源对版权方保持透明似的。

这一切让蒸馏听起来非常邪恶，却并未真正回答关键问题：从不曾同意的模型输出中学习，与从不曾同意的人类输出中学习相比，是否构成一种盗窃。

在这个问题上，法律是模糊的。一般来说，对模型进行逆向工程是合法的，而版权很少能触及AI生成的输出，因为版权是为人类创作保留的。

法律学者一直在争论蒸馏是否违反《保护商业秘密法》，该法允许公司就商业秘密被盗提起诉讼。但为随API密钥出售的文本主张商业秘密保护是件棘手的事，因为将秘密商业化几乎总会摧毁其法律保护。美国法院对此问题也尚无定论。因此，将蒸馏称为“偷窃”更像是一种意识形态表态，而非对法律的事实描述——法律更倾向于将其视为另一种学习形式。

然而，蒸馏明确违反的是实验室的服务条款。OpenAI、Meta和Anthropic已将禁止此类做法的条款直接写入用户协议。这些条款明确禁止利用平台输出、API或服务，通过任何形式的蒸馏或逆向工程来训练竞争模型。因此，如果美国政府的指控属实，中国公司就其行为可能面临违约诉讼，这一点几乎毫无疑问。

然而，尽管美国公司在对中国提供商的服务销售中直接内置了这套私人法律机制，它们却一直不愿执行——即便在声称检测到大规模蒸馏活动之后也是如此。

那么，为什么美国实验室不起诉中国实验室进行蒸馏呢？

2025年1月，OpenAI和微软得出结论，一个与DeepSeek有关联的团体通过它们的API窃取了数据。这些公司指控这家中国公司违反了服务条款，但并未起诉。2026年9月，Anthropic追踪到近2亿次交互与蒸馏活动有关，其中包括一项与阿里巴巴有关联的行动，在超过3500个欺诈账户上每天峰值达到300万次查询，以及一项与Moonshot有关联的行动，该行动通过Claude收集实时客户对话，有时暴露敏感数据或凭证，以训练其自己的Kimi模型。Anthropic发布了一份威胁报告，但并未起诉。

这些公司并不羞于主张自己的法律权利。但就蒸馏提起诉讼对它们来说存在风险。如果它们上法庭，就等于要求法院制定出它们自己也将受其约束的规则。如果这些规则写得足够宽泛，理论上可能会限制这些实验室自己经常从事的行为。例如，一项裁定服务条款可以约束机器输出的判决，实际上等同于赋予模型输出一项知识产权。这样的裁决，正是目前起诉美国实验室“史上最大规模劳动力盗窃”的出版商们乐于带入下一次庭审的——而在那次庭审中，美国实验室将不得不辩称这种盗窃完全没问题。

玻璃房子

这确实是趟浑水。联邦政府如今作为战略资产加以捍卫的这些模型，本身就是建立在数百万创作者的文本、图像、声音、视频和代码之上的，而这些创作者既未被征询意见，也未获得报酬。OpenAI转录了超过一百万小时的YouTube视频来训练GPT-4，这明显违反了YouTube禁止自动抓取的条款。据报道，拥有YouTube的谷歌也在自己的平台上进行了同样的操作，并据称扩大了其服务条款，以便Google Docs上的公开文档和Google Maps上的评论可用于训练其Gemini系列模型。

Anthropic则更进一步。在一项代号为巴拿马计划的机密项目中，该公司购买并销毁了数百万册古董书和二手书来训练其模型。据报道，供应商使用液压切割机切掉书籍装订，然后将散开的百年书页送入高速工业扫描仪。数据如同黄金和石油，是一种有限资源，而对于像Anthropic这样的前沿实验室来说，18世纪的文学作品就相当于发现了一座金矿。摄入这些丰富的历史文本，对于维持Claude的质量、防止AI模型因以合成数据和互联网废料为食而出现的退化至关重要。

在此之前，该公司直接从LibGen等影子图书馆下载了数百万本电子书，这些图书馆免费提供通常被付费墙锁定并受版权限制的数字书籍和学术期刊。

6月，Anthropic致信参议院银行委员会，报告称阿里巴巴通过25,000个欺诈账户运行了2880万次Claude查询，构成“迄今为止针对Anthropic的最大规模蒸馏攻击”。然而四周后，法院批准了该实验室向那些作品被未经许可使用的作者支付15亿美元和解金。

该公司以受害者和被告的双重身份向国会申诉——既申诉阿里巴巴从其手中夺走的东西，也申诉被迫为其从无数他人那里夺走的东西付出代价——这一切都发生在同一个夏天。

那么，借口是什么？

蒸馏与训练之间有一个重大区别，而且这个区别对美国实验室来说未必光彩：中国AI公司实际上是在付费购买它们随后违反其条款的服务。它们使用真实的Claude和ChatGPT订阅，基于所购买的数据来训练和扩展自己的模型。相比之下，美国公司基本上遵循的是先复制、后厘清权利的政策。

还有一个因素使情况更加复杂：蒸馏出的模型能力并不会留在中国境内。相反，像阿里巴巴这样的公司以边际成本蒸馏美国模型，然后将成果作为开放权重模型发布，任何人都可以免费运行和修改。这些模型快速、灵活且廉价——正是美国开发者进行后训练所需的品质，后训练是将一个原始的下一词预测器转变为顺从的、遵循指令的助手的步骤。而讽刺的是，美国公司随后又用这些中国的开放权重模型来驱动自己的后训练。

结果是一种回旋镖效应：能力通过API离开美国前沿实验室，以中国开放权重基础设施的形式返回，然后被重新构建成美国产品。

这有助于解释为什么中国实验室Qwen在开放模型微调——即对已训练好的AI模型在较小数据集上进行训练，使其适应专门任务——中的份额据报道从2024年1月的1%上升到2026年2月的约69%。硅谷一家公司在Qwen上进行模型后训练，这一步下游所做的，正是联邦政府认定Qwen对Anthropic所做之事构成国家安全威胁的行为。

那么，美国实验室如何区分它们为训练模型所做之事与中国公司为蒸馏它们所做之事呢？

像OpenAI这样的前沿实验室提出的一个论点是，它们用于训练模型的数据对原始材料具有转化性，而蒸馏则是复制特定产品的行为，以在同一市场构建竞争对手。OpenAI辩称，用全世界的文字进行训练是“转化性的”，因为ChatGPT不是《纽约时报》的“替代品”。相比之下，DeepSeek攫取了ChatGPT的架构信息来构建竞争模型。从合理使用的角度来说，这意味着对市场的损害：未经授权的使用充当了原版权作品的替代品，降低了其当前或未来的商业价值。

这种推理的问题在于，《纽约时报》确实主张 ChatGPT 正在取代其新闻业务，尽管或许并非取代整个出版物。在针对 OpenAI 和微软的版权侵权诉讼中，该报称，用其数百万篇文章训练模型是“替代性的”而非“转换性的”，因为这使读者无需付费就能获取其报道的近乎精确的副本。此外，合理使用只有在首先存在版权的情况下才适用，而模型的输出在很大程度上本就落在可受版权保护的范围之外。从法律上讲，《纽约时报》认为，美国 AI 公司因此不能依赖合理使用原则来保护自己。

美国实验室还辩称，它们的模型是在开放网络上的公开数据上训练的，而中国实验室则刻意操纵访问控制和受限 API 来获取材料。OpenAI 提交给众议院中国委员会的备忘录指控 DeepSeek 创建虚假账户并使用伪装的路由器和第三方经销商。此举意在规避中国公司在签署该公司服务条款时所作的承诺，而这些条款在很大程度上并不适用于从互联网上抓取的网站。

当 DeepSeek 的工程师点击“我同意”接受禁止使用输出进行训练的条款时，他们同意不复制 OpenAI 的产品。相比之下，在hiQ 诉 LinkedIn案之后，美国法院一直不愿将抓取公开页面视为非法访问，只要抓取者未曾承诺守规矩。

但这种逻辑也有漏洞。YouTube 有禁止采集的条款，而 LibGen 并非建立在公开数据之上，而是建立在盗版数据之上。讽刺的是，巴拿马计划代表了数据采集最干净利落的案例，因为购买并销毁一本实体书是一种合法——尽管在道德上可疑——的行为。

还有这样一种说法：中国实验室在“搭便车”利用美国的研发成果。像 DeepSeek 这样的公司不是从头训练模型，而是通过 API 采集直接从美国模型中提取能力，从而将开发时间缩短数月。被搭便车的不是训练中的原始文本或代码，而是价值数十亿美元的计算和强化学习。这是事实。这也毫无疑问正是美国出版商在提及“史上最大的劳动成果窃取”时所提出的同一主张。

美国实验室还进一步主张，蒸馏模型会丧失美国实验室为防范不良后果而精心构建的保障措施。今年 2 月，Anthropic 辩称，蒸馏模型会丧失其已建立的保护措施，这些措施旨在防止其模型被用于制造生物武器和发动网络攻击。它还警告说，蒸馏模型随后可能被纳入其不允许 Claude 被用于的军事、情报和监控系统。

这些断言很可能正确，Anthropic 的警告也可能预示着真实的危险。但这不是关于法律的论证。它其实是关于模型在下游会发生什么的论证。因此，它同样适用于中国实验室从头构建、只是没有内置保障措施的模型。 

最后，还有一种鹰派论调，声称中国是外国对手，模型蒸馏破坏了美国的出口管制和国家安全。Anthropic 已警告立法者，工业规模的蒸馏攻击掩盖了中国 AI 进展的真实来源，观察者会因此错误地得出结论，认为半导体出口管制正因北京的本土创新而失效。

这或许同样正确。但如果中国实验室能通过蒸馏美国模型达到接近前沿的性能，那或许出口管制并没有人们吹嘘的那么有效。这更说明政策制定糟糕。

鱼与熊掌不可兼得

就中国而言，其在数据治理和版权侵权方面采取了比美国更严格的立场。北京 2023 年出台的生成式 AI规则要求训练数据必须来自严格的“合法来源”，并禁止模型提供者侵犯他人的知识产权。

中国法院已裁定一家人工智能公司因生成日本超级英雄系列奥特曼的图像而承担责任，北京一家法院还裁定，未经同意使用演员录音训练语音模型属于违法行为。一项里程碑式裁决也承认，AI 生成的图像可以受版权保护，人类提示者可在法律上被视为作者。相比之下，美国法院压倒性地依赖合理使用原则，“转换性”成为让摄取全世界文字作品合法化的魔法词。

中国似乎对模型输入什么更严格，而对从他人作品中获取什么更宽容。美国则呈现相反图景。

上个月，华盛顿坚称，未经许可使用他人作品训练模型显然属于合理使用，以至于要求获得许可会毁掉国家创新。它同时坚称，未经许可使用他人作品训练模型是一种工业掠夺行为，对国家安全构成严重威胁。

这两个主张不可能同时成立。要么这些系统的输出受法律保护，那么美国模型所依赖的作家、音乐家、艺术家和程序员就可以提出司法部所否认的索赔。要么它们不受保护，那么被指控进行“恶意且有针对性的”蒸馏攻击的六家中国实验室，就没有做任何埃隆·马斯克在宣誓后坦然承认却未承担后果的事情。

值得注意的是，联邦机构既未提出法规，也未进行规则制定，以防止未来的蒸馏“行动”。该 advisory 的最具体建议是让美国前沿实验室“微妙地改变”或毒化其输出——刚好足以降低中国公司正在蒸馏的训练数据质量，而不是封禁疑似竞争对手的账户，因为那会提醒他们已被发现。政府拒绝面对最突出的挑战：模型输出在法律上应被归为何类，以及在何种情况下它们能具体地受到保护。

因此，蒸馏悖论所揭示的，远不止美国实验室在用全世界的工作成果训练自家模型时那种几乎不加掩饰的虚伪。它还暴露出一个政府无法决断：究竟是以国家安全之名限制这种做法，还是以变革性创新之名鼓励它。