Anthropic 指控大規模 Claude 蒸餾：1.51 億次交換，Prompt 被送去哪裡？（2026）

2026 年 9 月 10 日，Anthropic 在威脅情報專區發布〈Detecting and countering misuse of AI: September 2026〉，指控 Alibaba、Moonshot AI 與 DeepSeek 等中國 AI 實驗室大規模進行 Claude 蒸餾，並稱部分使用者可能在未充分知情下被轉送到 Claude。這份報告真正值得追的，不只是哪一家「抄了誰」，而是模型供應鏈裡誰能看見你的 Prompt、憑證與公司資料。

本文先還原 Anthropic 公開了哪些數字與機制，再把「一般知識蒸餾」「規避服務條款」「假帳號與付款詐欺」「未揭露的查詢轉送」拆成不同命題，最後回答一個更實際的問題：即使外界暫時無法重現 Anthropic 的精確歸因，使用者現在可以防什麼。

一份報告，其實同時提出兩宗不同的指控

第一宗是模型能力抽取。Anthropic 稱，自 2026 年 2 月起，它偵測並中止來自七家中國實驗室、針對公開 Claude 模型的蒸餾活動。所謂 exchange 是一次請求與回應的交換，不是 token 數、成功訓練樣本數，也不是被複製的模型參數。

第二宗是資料路由。報告稱，Moonshot 與 DeepSeek 曾把原本送往自家模型的部分請求轉到 Claude，再保存回答作為訓練材料，並認為至少部分使用者可能不知情；其中出現公司內部程式碼、資本支出預測、個人資料與仍有效的存取憑證。若路由確實未被充分揭露，這件事即使沒有成功訓練出更強模型，也已經是獨立成立的供應鏈治理風險。

三組 Claude 蒸餾指控，數字到底代表什麼？

Anthropic 歸因對象	報告所稱規模	報告描述的做法
Alibaba／Qwen 團隊關聯操作者	2026 年 5～7 月逾 1.51 億次 exchanges；高峰接近每日 300 萬次	透過大量帳號擷取 Opus 4.6／4.7 的推理輸出，整理成監督式微調資料
Moonshot AI	5～7 月逾 2,300 萬次；其中一段 10 天約轉送 30 萬筆客戶請求	將部分 Kimi 請求送到 Claude、回傳 Claude 回答，並保存至少部分交換
DeepSeek	2026 年 7 月的 14 天內逾 1,210 萬次	辨識使用第三方 coding harness 的請求，將部分請求轉到 Claude Opus

Alibaba 的 1.51 億次是三者中最大數字。Anthropic 進一步聲稱，這些輸出被用於 Qwen 3.5、3.6、3.7 的訓練，也用來協助強化學習環境與模型架構研究。但公開版沒有提供可供外部重算的匿名日誌、每次交換的 token 分布、失敗與重試比例、資料最終保留率，或移除這批資料後的模型能力比較。因此，它能支持的是「Anthropic 觀察到巨大異常流量並做出高信心歸因」，還不能獨立證明 Qwen 有多少能力由 Claude 而來。

蒸餾本身不是罪名，爭議在資料怎麼拿

知識蒸餾是標準機器學習方法。2015 年的經典知識蒸餾論文就示範用大型教師模型的輸出訓練較小學生模型；壓縮成本、讓小模型學會特定任務，本身不等於侵權或攻擊。Anthropic 也在報告中先承認這一點，再把「工業規模、隱蔽、未獲授權地抽取能力」定義為它所稱的 illicit distillation。

這次爭議的界線不在演算法名稱，而在取得方式。Anthropic 的商業條款禁止使用服務訓練競爭 AI 模型；報告又指稱操作者使用假身分、住宅代理、拋棄式信箱、虛擬或被盜信用卡，以及遭竊 API 金鑰規避地區與帳號限制。輸出權利、服務用途限制、付款詐欺、憑證濫用與隱私義務是不同法律命題，不能用一句「蒸餾違法」全部包起來。

比「模型被抄」更貼身的問題：你以為送到 A，資料卻去了 B

Moonshot 段落是整份報告最尖銳的一句：

“We do not know if Moonshot notified their customers that their requests were being rerouted to Anthropic and exposed to a third party.”

中文：我們不知道 Moonshot 是否曾通知客戶，他們的請求正被改送到 Anthropic，並暴露給第三方。

Anthropic，2026 年 9 月 10 日

這句話也展示了報告的證據邊界：Anthropic 表示它看見了進入 Claude 的流量與內容，但對 Moonshot 是否告知客戶仍寫成「不知道」。文章不能把這句再升級為已證實的隱私違法；是否違法取決於實際告知、合約角色、使用者所在地、跨境移轉與保存安排。

不過，資料治理問題不需要等到法院判決才值得處理。模型 A 若把請求送給模型 B，處理者、次處理者、資料所在區域、日誌保存、訓練用途與刪除路徑都可能改變。對開發者而言，最危險的甚至不是一段普通對話，而是貼進 coding assistant 的 API key、bot token、內部程式碼與客戶資料。報告列出的敏感案例均已遮蔽，但這些例子仍只由 Anthropic 掌握與描述，外界無法從公開材料核對原始內容。

1.51 億次交換，能證明什麼、不能證明什麼？

能支持：這不是零星手動測試

若 Anthropic 的帳號關聯、付款訊號、IP、請求模板與時間序列判定正確，數千帳號、每日數百萬次交換、被封鎖後切換帳號池，都更接近有組織的資料管線，而不是研究者偶爾比較幾個回答。2 月的前一份 Anthropic 揭露已描述較小規模的 DeepSeek、Moonshot 與 MiniMax 活動；9 月報告則聲稱規模和手法繼續升級。

不能支持：對手「完整複製了 Claude」

黑箱回答可以提供有價值的監督訊號，卻不等於拿到模型權重、原始碼或原始訓練資料。NIST 的對抗式機器學習分類也把推回模型資訊、建立功能近似替代品與模仿外部行為分開。高品質推理範例可能改善特定任務，但沒有訓練配方、資料混合比例與消融比較，就不能從流量直接推出能力因果。

Qwen 公開的訓練資料摘要、Moonshot K3 技術報告與 DeepSeek V4 技術報告也記錄各自的資料、架構與訓練管線。它們不是針對這次指控的獨立稽核，無法排除後訓練使用 Claude 輸出；但也提醒讀者，不應把三家模型簡化成「只有 Claude 複製品」。

更不能支持：每一筆都由公司最高層正式授權

報告對 Alibaba 使用的是「與 Alibaba 有關聯的操作者」語氣，也提到同一帳號池曾替 DeepSeek 與 Xiaomi 導流。共享代理網路能成為歸因線索，也會增加「誰下令、誰批准、誰只是使用同一中介」的判定難度。把技術遙測直接寫成董事會決策或政府授意，都超出 Anthropic 這份公開報告能證明的範圍。

外部證據支持「有這種模式」，沒有替精確數字背書

9 月 8 日，美國 NSA、CISA 與 FBI 等機構發布聯合資安公告，把代理帳號、轉售商、查詢轉送與大規模抽取描述為跨多家前沿模型供應商的持續模式。它提供了方向上的外部一致性，但公開參考資料仍大量引用 Anthropic、Google、OpenAI 等受害方兼競爭者的報告，也沒有驗證 Anthropic 兩天後公布的 1.51 億、2,300 萬與 1,210 萬三組精確數字。

9 月 9 日，中國商務部針對美國聯合公告公開反駁，稱指控沒有根據，並強調蒸餾是業界常見的中性技術。這個回應早於 Anthropic 9 月 10 日的詳細報告，而且沒有逐項解釋其帳號、付款、路由與流量歸因，因此是政策立場，不是對精確遙測的技術反證；同理，美國機構的國安定性也不能代替可重現資料。

Anthropic 的利益位置，也必須放在桌上

Anthropic 同時是遙測持有人、受害方、封閉模型供應商與被指控公司的競爭者，也公開主張更嚴格的模型存取與出口管制。這些利益不會自動推翻它看見的流量；但當完整證據只掌握在單一利害關係人手上，公開方法、匿名樣本、第三方稽核與被歸因方回應就更重要。

目前公開報告提供了操作手法、帳號規模、日期區間與部分已遮蔽案例，卻沒有足以讓研究者從頭重現三組歸因的證據包。最誠實的讀法不是「Anthropic 說的都是真的」，也不是「競爭者說的都不算」，而是把可信度切成不同層次：異常流量由 Anthropic 第一手觀察；精確歸因需外部檢驗；能力提升的因果更需要模型訓練與評測證據。

AlphaLab 的判讀：四個命題，不該綁成一包

1. 知識蒸餾是否合理：合理，而且是成熟方法；是否被授權，要看資料來源與契約。
2. 是否存在規模化規避：Anthropic 的內部遙測敘事具體且前後連貫，但精確歸因仍缺公開可重現材料。
3. 是否因此複製了 Claude：公開證據不足。流量規模不是能力來源的消融實驗，推理文字也不是模型本體。
4. 使用者資料是否被改送：這是最值得優先調查的命題。若屬實，傷害不以蒸餾是否成功為前提。

我同意什麼：如果假帳號、遭竊金鑰與未揭露轉送的描述正確，這不是正常研究比較，而是需要帳號、支付、供應鏈與資料治理共同處理的濫用。我存疑什麼：1.51 億次交換究竟貢獻了多少可泛化能力、最後進入哪些模型版本，以及「關聯操作者」與公司正式決策之間的證據鏈，公開材料都還沒有回答。

如果你在用模型路由器，今天先查五件事

1. 上游名單：合約與介面是否列出每一個可能接收請求的模型商、次處理者與備援供應商。
2. 替換規則：模型缺貨、限流或成本變動時，是否能在未通知下更換上游；回應裡能否保存 provider、model、request ID 與區域。
3. 保存與訓練：日誌保存多久、能否使用 ZDR、訓練 opt-out 與刪除要求是否涵蓋所有上游，而不只你付費的那一層。
4. 祕密資料：API key、密碼、客戶個資與未公開程式碼是否在送出前由 DLP 或本機遮罩移除。需要實作時，可參考 Desert Ant Redact 的本機去識別路由。
5. 事件處理：若懷疑被轉送，先停用供應商、保存本地 metadata、輪替已暴露憑證，再書面要求完整上游名單與刪除證明。也可用 Geiger 設定曝險盤點找出散落在代理與工具設定裡的祕密。

直接連官方 API 也不等於零風險；它的優勢是資料流、契約與責任邊界比較容易盤點。真正的控制目標不是「永遠只用某一家」，而是任何一次模型切換都可見、可追蹤、可拒絕。

接下來要等什麼證據，才能把指控往前推？

第一，Anthropic 是否公開經去識別化的請求模式、帳號關聯方法、誤判率與抽樣程序，或交由可信第三方稽核。第二，被歸因公司是否逐項說明上游路由、代理商、使用者告知與資料保存，而不只爭論「蒸餾是不是常見技術」。第三，若要主張模型能力主要來自 Claude 蒸餾，就要看到資料混合比例、before／after 評測與消融結果，而不是只看 exchange 數。

這份報告最重要的貢獻，是讓 Claude 蒸餾爭議從抽象的「模型互抄」落到可檢查的資料管線。它最薄弱的地方，也在同一點：外界目前看見的是管線的敘述與總數，還不是能獨立重建的證據鏈。對使用者而言，不必等這場歸因戰結束才行動；只要先假設每一層 router 都可能改道，就知道敏感資料不該裸奔。