NSA、FBI 与 CISA 警告工业规模 AI 蒸馏：开发者如何识别模型提取风险？

先说结论

如果你运营 AI API、模型聚合服务或企业 Agent，9 月 8 日发布的联合网络安全公告值得当作一次供应链风险信号：美国 NSA、FBI 与 CISA 将模型蒸馏从“单个账号滥用”提升到跨模型供应商、云平台和 API 聚合器协同识别的问题。公告点名了 DeepSeek、Moonshot AI、阿里巴巴、MiniMax、StepFun 和 Z.AI，并称它们自 2024 年底起对美国前沿模型进行大规模知识提取。

但这仍是美国政府机构发布的安全评估与归因，不是法院裁决，也不是 WayToClawEarn 的独立取证。文中把“机构声称的活动”与“可以直接验证的防守建议”分开，避免把政府指控写成已经被普遍证实的事实。

发生了什么

2026 年 9 月 8 日，NSA、FBI 和 CISA 发布联合网络安全公告《China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies》。公告认为，部分中国 AI 公司通过大量 API 请求和账号、云服务、第三方聚合器及所谓“transfer stations”提取美国前沿模型的能力，用于训练或改进自身模型。

公告列出的重点包括：

• 机构称相关活动自 2024 年底至少持续至今，并涉及数十亿 token、数百万次交互；
• 公告点名的公司包括 DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun 和 Z.AI；
• 被描述的目标能力包括推理、Agent 工具调用、软件工程、代码审查、领域优化与评测能力；
• 典型路径包括批量账号、第三方 API 聚合器、区域限制绕过、统一路由、提示注入和自动化质量评估；
• 公告同时承认知识蒸馏本身是正常的 AI 研究技术，争议在于未经授权、规模化、针对受限制能力的提取行为。

NSA 公告原文与联合 CSA PDF是主要证据。路透社的独立报道确认了三家美国机构发布公告这一事实，但并没有独立证明公告中每一项技术归因。

这次更新比旧闻多了什么

站内旧稿主要记录 Anthropic 对阿里巴巴 Qwen 实验室“2.5 万账号、2880 万次交互”的指控。本次更新把内容升级为一份更完整的风险复盘：

1. 证据层级更清楚：旧稿中的 Anthropic 指控继续保留为历史背景；新增内容明确标注 NSA、FBI、CISA 的判断、路透社对发布事实的报道，以及我们无法独立验证的部分。
2. 范围从单一事件扩展为生态问题：联合公告描述的是模型供应商、云平台、聚合器和代理路由共同参与的检测与防守问题，而不只是一个账号异常案例。
3. 增加可执行的防守指标：公告建议 AI 公司监控异常提示、账号、网络、订阅与用量比例、新账号立即打满额度、跨路径相关行为，并推动跨组织情报共享。
4. 修正过度结论：不能仅凭公告证明某个模型全部能力来自蒸馏，也不能把“可能得到政府知情”写成政府直接下令；这两类表述都需要保留限定词。

对 AI 开发者、API 平台和 Agent 团队意味着什么

1. 账号风控要从“单账号”升级为“行为图谱

只看单个账号的请求量已经不够。更有价值的信号是：多个账号是否共享注册或支付特征，是否在不同 IP、User-Agent 与聚合器之间呈现相同节奏，是否新订阅后立即持续高负载，是否对同一主题进行数千到数百万次高度相似查询。

2. 聚合器需要保留可追溯性

如果你的产品统一接入多个模型，至少要保留租户、请求来源、模型路由、时间、用量与风控结果之间的关联。盲目清洗元数据会让正常隐私保护与恶意隐匿更难区分，也会削弱后续调查能力。

3. 不要把“模型蒸馏”误读成普通微调

用授权数据训练学生模型是正常工程实践；使用未授权的大规模 API 输出、绕过地域与使用限制、专门抽取隐藏推理或受限功能，则是公告关注的风险组合。合规判断必须回到授权、合同、地域、数据来源和请求规模。

4. 建立多模型故障与合规预案

模型供应商可能因滥用事件调整地区、账号、速率或价格政策。对于依赖单一闭源 API 的 Agent，至少准备备用模型、降级提示、缓存策略和人工接管路径；这不是因为某个供应商已经宣布停服，而是为了降低访问政策突变的业务风险。

观察边界

联合公告是美国机构的安全评估，带有明确的国家安全与竞争叙事。它提供了可操作的检测指标，但没有公开全部取证材料，也没有给出被点名企业的逐项回应。因此，本文不把公告中的每一项归因写成已被第三方独立复现的事实，也不据此判断任何中国模型的总体质量或原创性。

可验证的下一步

• API 平台：按租户和路由生成异常行为基线，记录新账号用量爬坡、共享账号和跨供应商切换。
• Agent 团队：审计模型供应商的地域、账号和数据使用条款，准备至少一个可替代模型。
• 安全团队：阅读 CSA 的 TTP 与 MITRE ATLAS 映射，将检测指标转成告警规则，再用真实日志验证误报率。
• 内容读者：不要仅凭“蒸馏”标签判断模型优劣；先区分官方指控、独立报道、取证事实和自己的测试结果。

9 月 9 日晚间更新：商务部回应与证据边界\n\n9 月 9 日，中国商务部新闻发言人就美国 NSA、FBI 与 CISA 的联合公告答记者问，称美方关于中国 AI 企业进行“工业规模”蒸馏的指控“于事无凭，于法无据”，并表示蒸馏是模型间互相学习的中性技术手段。商务部同时提出，中美应通过政府间对话处理 AI 风险，但如果美方以打击蒸馏为名遏压中国企业，中方将采取反制措施。\n\n这段内容是中方官方立场，不是对美国公告中账号、请求量、技术路径和归因的独立技术复核。当前可确认的是：美方机构发布了联合公告，中方外交部和商务部分别公开回应，AP 报道了双方立场；具体技术指控仍应保留来源归属，不能把任一方的公开声明写成已完成的第三方取证。\n\n## 参考来源

• NSA、FBI、CISA 联合公告
• 联合网络安全公告 PDF
• Reuters 报道转载

公开回应与证据边界（9 月 9 日更新）

9 月 9 日，AP 报道中国外交部回应美方指控，要求美方停止无根据指责，并表示中美应加强 AI 合作。新华社同日转述的外交部答问可核对这一立场。这个回应确认了争议已进入公开政策沟通层面，但不等于对美国公告中的技术事实逐项作出独立验证。

因此，当前可确认的是：美国 NSA、FBI、CISA 发布了该公告；中国外交部公开反驳了相关指责；AP 对双方公开立场作了报道。公告中的具体账号、请求量、技术路径和归因，仍应标注为美方机构的评估，不能改写成已经由第三方完整复现的事实。