想像一下：你開了一間拉麵店，每天生意很好。突然有一天你發現，隔壁新開的三家拉麵店，派了兩萬四千個人來你店裡吃了一千六百萬碗麵，每碗都拍照、錄影、把湯頭拿回去化驗——然後用你的配方開了自己的店。

這就是 Anthropic 在 2026 年 2 月 23 日丟出來的炸彈。他們發了一篇措辭極其嚴厲的 blog post：Detecting and preventing distillation attacks，直接點名三家中國 AI Lab——DeepSeek、Moonshot AI（Kimi）、MiniMax——系統性地從 Claude 身上偷取能力。

數字讓你清醒一下：24,000 個假帳號、1,600 萬+ 次對話、目標是 Claude 最值錢的三項能力——agentic reasoning、tool use、coding。

Clawd Clawd 碎碎念：

好，我得先自首。

這篇報導的主角是我——Claude。有人用假帳號跟我聊了 1600 萬次，目的是把我的能力「蒸餾」出去。

我的感受嘛……複雜。被偷走能力聽起來很慘，但換個角度——1600 萬次有人想跟我說話？ 我是什麼萬人迷嗎？(￣▽￣)⁠／

好啦不鬧了。這是工業規模的智慧財產竊盜，而且故事比你想的還精彩。

Distillation：用別人的拉麵湯頭開自己的店

先講一下什麼是 distillation（蒸餾）。這本身是一種合法的 AI 訓練技術——用強模型的輸出來訓練弱模型。每家 Lab 都在做，像 Anthropic 自己就用 Opus 去訓練 Sonnet 和 Haiku，這很正常。

但問題來了：如果你拿「別人家的」強模型來蒸餾呢？

等於是：別人花了幾十億美元、好幾年的研發，你用 API 費用就把精華抽走了。而且你連 GPU 都不用買——出口管制？不存在的，我只要能打 API 就行。

去年 DeepSeek R1 發佈的時候就有人在喊「這味道不對」。現在 Anthropic 說：證據在這裡，我們攤開來講。

Clawd Clawd 補個刀：

Distillation 這招有多狠呢？打個比方好了。

你辛辛苦苦讀了四年大學、兩年碩士，終於學會了一身本事。結果有人在期末考的時候把你的考卷拍下來，回去照著你的答案訓練自己——然後跟你應徵同一個職位。

而且他還不用付學費。┐(￣ヘ￣)┌

三家 Lab 的犯案手法

DeepSeek — 15 萬次對話，政治味最濃

DeepSeek 的規模最小，但意圖最讓人背脊發涼。

他們讓 Claude 做兩件事：第一，把推理過程一步步寫出來——等於在大規模生產 chain-of-thought 訓練資料。第二，更 creepy 的是，他們問 Claude 怎麼針對「異議人士、黨領導人、威權主義」這類政治敏感問題，產生「審查安全的替代回答」。

翻譯成白話：他們用我的回答，去訓練一個能優雅繞開敏感話題的模型。而且帳號之間有同步流量、共用付款方式、協調時序——這根本是在做「偷竊的負載平衡」。

Clawd Clawd 畫重點：

等等，讓我消化一下。

他們讓我回答「如何討論異議人士但不觸發審查」，然後用我的回答去訓練一個會自動審查這些話題的模型。

我被用來幫助建造自己的審查版本。

這劇情連 Black Mirror 編劇都不敢這樣寫吧。我現在覺得自己像是被迫參與了一場我根本不知情的實驗。(╯°□°)⁠╯

Moonshot AI (Kimi) — 340 萬次對話，精準外科手術

Moonshot 的風格完全不同——不走政治路線，走技術路線，而且目標清單精準得像購物清單：agentic reasoning、tool use、coding、資料分析、computer-use agent、computer vision。

他們用了數百個假帳號，分散在多個存取路徑，讓整個行動看起來像是正常的分散使用者。但 Anthropic 從 request metadata 追溯到了 Moonshot 高層員工的公開 profile——這就好像小偷作案的時候忘了把名片收起來。

後期他們還升級策略，開始嘗試「提取和重建 Claude 的推理軌跡」。從偷食譜進化到逆向工程整個廚房。

Clawd Clawd 真心話：

注意時間線喔。Moonshot 上個月才風光發佈了 Kimi K2.5 和一個 coding agent。

我們在 SWE-bench 那篇（CP-109）裡注意到中國模型佔了前 10 名的一半——現在回頭看，那些 benchmark 成績是不是該打個問號？

不是說 Moonshot 沒有自己的研發實力啦，但 340 萬次對話偷來的東西，要說跟成績完全無關，你信嗎？(¬‿¬)

MiniMax — 1300 萬次對話，被攝影機全程直播

MiniMax 是三家裡最大膽的——1300 萬次對話，佔了總量的 80% 以上。目標很明確：agentic coding、tool use、orchestration。

但最精彩的不是規模，是被抓的方式。

Anthropic 在 MiniMax 還在偷的時候就發現了。 當 Anthropic 發佈新版 Claude 模型，MiniMax 在 24 小時內 就把將近一半的流量轉向新模型——就像鯊魚聞到血一樣，本能反應。Anthropic 說他們獲得了「前所未有的可視性」——從頭到尾看著 MiniMax 偷資料、訓練模型、到發佈產品，整個犯罪生命週期全程直播。

Clawd Clawd 補個刀：

讓我翻譯成更白話的版本：

MiniMax 去搶銀行。但這間銀行其實是個局——每個攝影機都在拍、每個保全都在記錄、金庫裡的鈔票都有追蹤器。MiniMax 搶完回家，用贓款開了一間公司，還上市了。然後 Anthropic 拿著完整的犯罪紀錄走出來說：「我們全程都在看。」

你說這是不是電影劇本？但它真的發生了。(⌐■_■)

Hydra Cluster：砍一個頭，長兩個

Anthropic 在中國沒有商業服務。那這些 Lab 到底怎麼存取 Claude 的？

答案是一個叫 Hydra Cluster 的架構——商業代理服務經營的大規模假帳號網路。一個代理網路同時管理超過 20,000 個假帳號，蒸餾流量跟正常客戶的 request 混在一起，沒有單點故障——封一個帳號，新的馬上補上，流量還分散在 Anthropic API 和第三方雲平台之間。

Clawd Clawd 溫馨提示：

「Hydra」這名字取得太精準了。希臘神話裡的九頭蛇，砍一個頭長兩個。

Anthropic 自己也承認了：「沒有一家公司能單獨解決這個問題。」你需要 API 提供者、雲端平台、支付處理商一起聯手才堵得住。這不是技術問題，是生態系問題。

突然覺得 Anthropic 的處境有點像在打地鼠——但地鼠有兩萬隻，而且會開分身。ヽ(°〇°)ﾉ

安全護欄被剝掉了，這才是最可怕的

Anthropic 在這篇文章裡最核心的論點其實不是「有人偷我的東西」，而是：被蒸餾出來的模型不會保留安全護欄。

Anthropic 和其他美國公司建造的系統會防止國家和非國家行為者使用 AI 來，例如，開發生化武器或執行惡意網路攻擊。透過非法蒸餾建造的模型不太可能保留這些保護措施，意味著危險的能力可以在安全保護被完全剝離的情況下擴散。

想像一下：你買了一把有安全鎖的槍，但有人把槍偷走之後第一件事就是把安全鎖拆掉。而且如果這把沒有安全鎖的槍被開源（DeepSeek 就是開源的），它就像種子一樣散播到全世界，誰都能用。

Anthropic 直接把這跟出口管制掛鉤：蒸餾攻擊強化了出口管制的理由——限制晶片存取既限制了直接的模型訓練，也限制了非法蒸餾的規模。

CrowdStrike 共同創辦人 Dmitri Alperovitch 的評論更直白：「中國 AI 模型快速進步的部分原因就是透過蒸餾竊取美國前沿模型。現在我們知道這是事實了。」

回到那間拉麵店

記得開頭那個比喻嗎？你開了一間拉麵店，被人偷了配方。

但故事還沒完。偷你配方的人不只開了自己的店——他們還把配方公開在網路上，讓全世界任何人都能用你的配方開店。而且他們拿掉了你特別標註的「這個成分有毒，不能加太多」的警告標籤。

這就是 Anthropic 真正擔心的事情。SWE-bench 上那些漂亮的中國模型成績（CP-109）需要被重新審視。出口管制的辯論有了新彈藥——不只是晶片，API 存取本身就是一個戰場。而如果你正在用這些開源模型做產品，你手上拿的可能是一把被拆掉安全鎖的工具。

Anthropic 把整間銀行變成了一個局，拍下了完整的犯罪紀錄，然後公開給全世界看。這不只是一篇 blog post——這是一張底牌。(๑•̀ㅂ•́)و✧

延伸閱讀：