OpenAI 掐断一场蒸馏行动，矛头指向月之暗面

没有撬锁，而是让模型自己念出来

推理模型在作答前会生成一段较长的思考过程。OpenAI 并不把这段原始推理直接展示给用户，在部分接口里会以加密形式回传，方便多轮对话时延续上下文，但用户本身读不到明文。对想做蒸馏的人来说，这段推理恰恰是最值钱的部分：最终答案人人都看得到，而「怎么一步步想出来」的轨迹才是训练小模型最需要的样本。

据 OpenAI 和多家外媒的描述，这次的手法是一种「回放」：把一次对话中拿到的加密推理复制下来，放进另一个对话实例，再要求模型把它解密、转写成可读文本。OpenAI 特意强调，加密本身没有被攻破，数据库没有被入侵，存储的用户对话也没有外泄，问题出在模型交互允许这种跨对话的复用。换句话说，锁是好的，只是钥匙一直挂在门把手上。

OpenAI 称已经关闭了这一回放漏洞，并表示同类漏洞也存在于其他 AI 模型中，出于安全原因不披露更多细节。

一个月里的几组数字

• 7 月第一周：首次观察到符合「对抗性蒸馏」特征的低量活动
• 7 月 24–25 日：活动集中爆发，4000 多名用户发出约 1.6 万次可疑请求
• 7 月 28 日前：关联活动扩大到 1.5 万余名用户，OpenAI 称此时已完全瓦解
• 处置措施：封禁账号、收紧注册与基础设施管控、扩大监测、修补回放漏洞
• 信息共享：通过 Frontier Model Forum 及政府渠道向业界通报

1.6 万次请求放在 OpenAI 的流量里不算大，但分散在 4000 多个账号上、两天内集中打出，说明这不是个别人好奇试探，而是有组织地铺开账号池、压低单号频率以躲过风控。后续追到的账号规模扩到 1.5 万余个，也印证了这一点。

需要说明的是，OpenAI 的公开文章并未给出归因所依据的技术证据，只说核心活动与月之暗面相关人员有关；截至发稿，外媒称已联系月之暗面置评，尚未见到其公开回应。

同一家公司，被第二次点名

这不是月之暗面第一次出现在美国模型厂商的蒸馏指控里。今年 2 月，Anthropic 公开称 DeepSeek、月之暗面和 MiniMax 三家中国实验室通过约 2.4 万个欺诈账号，与 Claude 产生了超过 1600 万次交互，用来提升自家模型能力，Bloomberg 等媒体当时做了报道。半年后轮到 OpenAI，手法从「海量问答」换成了「专挖加密推理」，目标更精准，也更难从单条请求里看出异常。

两份指控放在一起，能看出美国头部厂商的应对思路正在趋同：把蒸馏定性为违反服务条款乃至安全问题，通过行业论坛互通情报，并把政府拉进信息共享链条。这意味着一个账号在一家平台被认定参与蒸馏，相关特征很可能很快出现在别家的风控规则里。

前脚进门，后脚被点名

时间点上的反差很难忽略。就在两天前的 9 月 29 日，美国推理服务商 Baseten 宣布企业客户可以在 Codex 里直接调用 Kimi K3 等开源模型，费用记进企业的 OpenAI 采购额度，Codex 负责人还转发称「开放才是正道」。一边是 OpenAI 的平台愿意替 Kimi 收钱，另一边是 OpenAI 的安全团队指认 Kimi 背后的公司相关人员在抽取自家推理。

两件事在逻辑上并不冲突：前者是商业分发，Baseten 在美国机房跑的是已经开源的权重；后者针对的是绕过条款获取未公开内容的行为。但它们同时发生，恰好说明了现在的格局：模型可以作为商品被摆上同一个货架，训练数据的来源却是各家死守的边界。开源模型越是靠「够用且便宜」抢企业预算，闭源厂商就越有动力证明对方的「够用」里掺了自己的东西。

OpenAI 没有公开证据，月之暗面暂未回应，这场指控最终能落到什么程度还说不准。可以确定的是，推理过程已经从模型的附带输出，变成了各家用加密、风控和舆论一起看守的核心资产。