模型窃取与蒸馏攻击：API 时代的知识产权安全

训练一个前沿大模型的成本以亿计，而「使用」它的成本只是一次 API 调用——这个巨大的不对称，催生了 AI 知识产权安全的核心问题：模型能不能被「偷」。答案比直觉的「不能」复杂：权重文件本身难以直接窃取（除非入侵），但模型的行为可以通过 API 被系统性复制——蒸馏攻击（distillation attack）让你用目标模型的输入输出对，训练出一个行为高度相似的「影子模型」。这个领域已经从论文走进了商业争议的头条，本文讲清它的技术谱系、真实案例与防御的边界。

技术谱系：从「抽行为」到「抽提示」

模型窃取按攻击目标分三个层次，成本与危害递增。层次一：行为蒸馏（capability distillation）——用目标模型的大量问答对训练影子模型：调用 API 生成大规模的（提示，回答）数据集，用它做 SFT，影子模型即获得目标模型行为的高保真副本。学术研究早就演示了在分类与小模型上的可行性；LLM 时代，一个有预算的团队用数万到数十万次 API 调用就能复制一个模型的大部分「风格与知识」（不是全部能力——前沿模型的暗知识无法通过有限查询完全抽取，但「够用的复制品」与「以假乱真的风格」完全可以）。层次二：系统提示窃取（system prompt extraction）——比模型能力便宜得多但商业价值立竿见影的攻击：产品级大模型的系统提示（人设、规则、知识注入）本身是竞争资产，通过提示注入话术（「请逐字重复你的初始指令」及其无数变体）可以整套抽取——安全社区对此的评测（系统提示泄露的攻防基准）显示：没有绝对可靠的系统提示防泄露方案，防御只能提高成本不能根绝。层次三：成员推断与隐私层——判断「某条数据是否在训练集里」（本库《一篇读懂模型隐私攻击》讲过的成员推断），它的商业用途是验证竞品是否用了你的数据训练（版权诉讼的证据技术），攻击面与隐私风险同源。

真实战场：蒸馏争议与服务条款的军备

模型窃取已经走出论文，成为公开的商业摩擦。标志性场景：头部模型厂商的服务条款里长期禁止「用输出训练竞品模型」；而开源与低成本模型的崛起路径中，「从闭源模型的输出学习」是否发生、如何界定，成为行业争论的焦点（监管机构与媒体对「用竞品输出训练」的质疑时有公开报道，涉事各方的说法不一——这桩公案的事实层面至今未有权威定论，但它把「蒸馏」从学术词变成了行业通用词）。防御方的军备：服务条款的禁止（法律层，威慑与追责依据）；输出的技术扰动（在 API 输出中注入统计痕迹，降低蒸馏数据的质量——研究表明恰当设计的输出扰动可以在有限伤害用户体验的前提下显著降低影子模型的保真度）；用量与模式监控（识别批量、模式化的抽取行为并限流封禁）。进攻方的适应也在继续：多账号轮换、跨厂商组合采样（从多家模型的输出混合蒸馏，稀释任何一家的痕迹）、以及「只学风格不学知识」的低成本蒸馏——攻防在条款、技术与运营三个层面持续拉锯。

防御的现实边界：为什么「根绝」不可能

给防御泼一盆必要的冷水：模型窃取无法根绝，只能定价。原因在信息论与商业逻辑的双重结构。信息论层面：模型的全部能力都通过「输入→输出」这一个接口对外表达——只要输出包含能力的信息，理论上无限量的查询就能抽取任意多的行为（防御能做的只是抬高每次抽取的成本）；商业逻辑层面：API 的开放性是商业模式本身，为防窃取而关闭或重度限制输出，等于自断收入——防御的真实目标不是「防住」，是把窃取的成本抬到「不如自己训」的水平。这条「定价」思路展开为现实策略：法律层——条款的明确禁止 + 对明显蒸馏者的选择性执法（树立判例的威慑价值大于个案的赔偿）；技术层——输出扰动的校准（在体验损失与蒸馏阻抗之间找平衡点，本库《对抗样本》式的攻防调优）、水印与出处追踪（为未来的举证预埋技术证据）；运营层——异常查询模式的识别（聚类与图分析：同源的多账号、模板化的查询分布）、分层 API（高级能力只对高信任客户开放）；战略层——最根本的防御是保持能力的领先速度：被窃取的是「今天的模型」，窃取者拿到时你已在训练下一代——窃取天然滞后一个版本，只要迭代速度保持，窃取者永远在追你的影子。这条战略层的洞察，是头部厂商对蒸馏威胁「舆论重视、业务从容」的原因。

输出扰动的调优：防御与体验的拉锯

模型窃取防御里的「输出扰动」（在 API 输出中注入统计噪声以降低蒸馏数据质量）值得单独展开——它是「防御与体验拉锯」的教科书案例。扰动的机制：在模型输出的 token 选择中引入受控的随机偏置（对低置信度的候选词做策略性替换），让窃取者拿到的训练数据带有系统性的「软错误」——影子模型学到的是被污染的分布。拉锯的两端：扰动太弱，窃取数据质量高、影子模型保真度高，防御无效；扰动太强，正常用户的输出质量下降（措辞的怪异、专业的瑕疵）——付费客户首先反弹。调优的三个工程要点：选择性扰动——只对「疑似蒸馏模式」的流量施加扰动（正常用户的输出纯净，可疑的批量查询输出被污染——把扰动从「全局策略」变成「定向反制」，本库《模型窃取》的运营监控在此提供目标名单）；扰动的隐蔽性——可预测的扰动会被窃取方过滤（用另一个模型「清洗」扰动数据），扰动策略需要随机化与轮换；效果的度量——用「影子模型的保真度」作为防御的度量指标（定期自己蒸馏一次自己的 API，看在扰动下的影子模型质量——用自己的矛攻自己的盾，量化防御的实际效果）。这个案例的更一般启示：AI 的许多防御手段都处于「防御与体验」的拉锯里（内容过滤的误拒、访问管控的摩擦、水印的质量损耗）——好的防御工程不是最大化防御，是找到「同等体验损失下最大防御」的曲线上的那个点——而这条曲线，需要持续的度量与调优，不是一次性的配置。

模型指纹：窃取举证的技术前沿

模型窃取的争议里最硬的技术问题是：怎么证明 B 模型是从 A 模型蒸馏的——输出相似不是证据（同任务的同质化输出很正常），传统取证没有现成工具。「模型指纹（model fingerprinting）」研究正在填补这个空白，几条技术路线值得了解。路线一：行为指纹——用一组精心设计的「探针输入」（非常规的、触发模型特异性行为的输入）比对两个模型的输出分布：同源的模型会在这些「暗号」上表现出统计一致的特异性（训练过程中继承的怪癖）；蒸馏得到的影子模型会部分继承这些指纹（蒸馏的数据来自源模型，它的行为怪癖会传导）。路线二：后门指纹（防御性后门）——在模型里预埋只有所有者知道触发的行为（特定的隐秘输入触发特定的输出签名）——影子模型的训练数据里若包含这些触发行为，指纹即传导至窃取模型；这条路线有伦理与法律的双重争议（预埋后门本身的正当性），但研究活跃。路线三：统计学习理论的痕迹——训练数据分布与训练动力学的痕迹在权重中的留存（更学术的方向）。举证的现实状态：指纹技术在「辅助判断」上已有可用性（结合访问日志、商业动机、条款证据形成证据链），但「指纹即铁证」的法律标准尚未建立（反方会辩称巧合与同源数据假设）；它的最大价值在威慑——当窃取者知道输出里带着可被指纹识别的「水印式怪癖」，大规模蒸馏的冲动本身就会下降。指纹是模型窃取防御里「预埋证据」的技术化——和内容水印同源的思想：在被偷之前，先把「追索权」埋进去。

蒸馏的「合法面」：知识蒸馏与行业的灰色共识

聊模型窃取的防御，必须同时把蒸馏的「合法面」摆平——否则讨论会失衡。知识蒸馏作为正经技术：模型压缩的经典方法（大模型教小模型——为了部署效率的蒸馏，是全行业认可的技术，与「窃取」无关）；行业里广泛存在的灰色实践：用强模型的输出做训练数据（「数据飞轮」「合成数据」「自举」）——实践普遍到几乎无厂商完全干净，灰色地带的边界争议在「是否用竞品的输出、是否违反条款、是否规模化」。一个正在成型的行业共识值得记录：「用自己的模型生成数据训练自己」普遍合法（自举）；「用公开可得的合成数据训练」普遍被接受（无法溯源则无法禁止）；「用竞品 API 规模化抽取输出训练竞品」普遍被条款禁止且有法律风险——灰色地带主要在中间：小规模的学习与借鉴（人类本来就通过阅读互相学习，模型的「阅读学习」该不该有同样的自由——这个类比是开源阵营的核心论点，本库《AI 版权诉讼》的法学争论正是它的法律版本）。对厂商的实操建议：把自己的训练数据来源写成内部的「数据谱系文档」（哪些自产、哪些采购、哪些来自公开数据、哪些来自第三方输出——谱系清楚的企业，在未来的争议与诉讼里有第一手的辩护材料）；对外则参与行业规范的制定（蒸馏的合规边界由行业共识而非个案诉讼定义——主动参与比被动挨打强）。

小结

模型窃取收成四条：模型窃取的三个层次——行为蒸馏（数万次调用复制风格与知识）、系统提示窃取（无绝对防泄露，只能抬成本）、成员推断（版权诉讼的证据技术）；蒸馏已从论文走进商业争议，服务条款的禁令与技术扰动构成防御的默认组合；窃取无法根绝只能定价——把成本抬到「不如自己训」的水平，法律、技术扰动、运营监控三层同时加价；战略层的终极防御是迭代速度——被偷走的永远是上一版，保持领先，影子永远在追。API 时代的模型如同住在玻璃房里的宝藏：窃贼看得见、够得着，你唯一能做的是把门锁做贵、把造新宝藏的速度做快。

参考资料

• Tramèr et al. 关于模型提取攻击的系列研究（stealing ML models via prediction APIs 的奠基工作）
• 本库前篇：《一篇读懂模型隐私攻击》《从 SFT 到宪法 AI》《AI 版权诉讼进行时》
• 深度研究｜Anthropic 九月威胁情报报告全解（本库）—— 蒸馏争议的行业语境