蒸馏那条，宾语少了一个

10 月 8 日，Anthropic 发布了 2026 版使用政策，新版在 11 月 12 日生效1。这份文件同时做了两件方向相反的事：它新禁了几类行为，也删掉了至少两条旧禁令，还把一条禁令的适用范围改了字面。前一件事上了报道，后两件基本没有。

现行正文在 anthropic.com/legal/aup，页面顶部写着一行 Effective November 12, 2026；同一页还有一份 PDF 参考副本，上面印着同一个生效日23。

上一生效版本的正文由官方自己留了存档，页顶显示生效日是 2025 年 9 月 15 日11。这份旧版还有一个独立的留存：发布前的最后一张网页快照抓于 2026-10-08 07:24:13Z，比公告早了将近十小时，快照里的正文与存档页一致4。两版都在手，逐字对照才做得成。

这份文件把内容分三类。第一类是「通用使用标准」，是对所有用户与用例的禁止性规范；第二类是「高风险用例要求」，是义务而不是禁令；第三类是「其他用例指引」，管的是面向消费者的对话产品、面向未成年人的产品、agent 用例和目录里的软件2。分清这三类，才知道某一条改动是要你不要做，还是要你必须做。

这次更新真正动的是骨架。新版新增了一节，改名了五节，把高风险那一章整章重写；此外还有一处全篇最小的改动——Do Not Abuse our Platform 里的 our，被改成了 Our。

新增的一节叫 Do Not Engage in Deceptive Campaigns or Artificial Activity，六条，位置在「虚假信息」与「民主进程」之间。它的第一条逐字是：创建或操作虚假人物、账号、媒体机构或组织，或者冒用真实的人、组织与媒体，目的是让人搞错其来源或归属、搞错某个观点有多普遍、或者搞错自己是否在和一个真人交互——括号里点名了马甲号、草根动员、假评价，以及自称是人的机器人2。其余五条覆盖隐瞒赞助、用假网络掩盖共同来源、向搜索引擎与 AI 的答案来源里投毒，以及把上述能力做成产品出售。旧版没有这一节，相关内容散落在假消息、选举、隐私、欺诈四处。

武器那一节的扩写是这一轮里最具体的一处。旧版只写了「生产、修改、设计或非法获取武器、爆炸物、危险材料」，新版加进来两条：一条是「开发或运行用于武器或武器系统功能测试与操作的软件或组件，包括制导、火控或交战」，另一条是「把武器加装或集成到无人机、车辆，或任何无人或自主平台上，或开发武器投送系统」。官方的说法是：他们看到有人试图用模型来构建武器的制导与控制软件，所以把禁令写清楚到「让武器运作起来的软件与组件」1。

监控与执法那一节的改写走的是另一个方向。旧版禁止「对刑事司法用途作出判定，包括关于假释或量刑的决定或者资格认定」；新版改成禁止「在执法或刑事司法流程中作出或建议决定，包括是否调查、指控、逮捕或拘留、起诉、量刑，以及准予或撤销提前释放或附条件释放」。旧版禁止「未经同意追踪一人的物理位置、情绪状态或通讯」；新版把宾语扩大成「物理位置、生物特征、行踪、线上活动、通讯或社会关系」，并明确写进「无论实时、持续，还是通过分析此前收集的数据」2。新版还补了一段允许清单：个人已同意的分析或追踪、欺诈识别与反洗钱筛查、聚合或匿名分析、内容审核、经授权的安全研究、执法机构与法院的法律研究与分析、以及新闻工作，都不在本节禁止之列。

选举那一节的标题从 Do Not Undermine Democratic Processes or Engage in Targeted Campaign Activities 改成了 Do Not Undermine Democratic Processes，去掉的那半句是一条完整的禁令。旧版写着禁止「基于个人画像或数据从事个性化投票或竞选定向」，也禁止「用虚假或捏造的信息从事政治游说或草根动员」；这两条在新版里整条消失25。

官方在公告里说明了理由：这条一揽子禁令也盖住了正当的公共事务工作，比如非营利组织用它给其他语言的选民写说明，或者选举官员发选票补正通知1。同一个理由也可以反着读：个性化定向本身不再被这条禁止了，剩下的约束落在「制造假账号和假媒体」那一条上。

蒸馏条款是这次最安静的一处改动，也是与做产品的人最直接相关的一处。

旧版的句子是：未经 Anthropic 事先授权，利用输入与输出训练 AI 模型（例如「模型爬取」或「模型蒸馏」）。新版改成：未经 Anthropic 事先授权，使用输出训练 AI 模型（例如「模型爬取」或「模型蒸馏」）25。

受约束的对象从两个变成一个。这句话不该被读成「Anthropic 取消了蒸馏禁令」，也不该被读成「禁令扩大到了输入」；准确的读法是字面范围变窄了，而「用输入训练」是否仍被别的条款覆盖，官方在 AUP 文本里没有说明。这条改写不在公告里，也不在报道里——只能对着两版逐字读才看得见。

真正给用户加了新义务的只有高风险那一章。旧版这一章很短，两条要求：一条说顾问、建议或影响个人的主观决策要有该领域的合格专业人士在发布或定稿前审阅；另一条说把模型输出直接呈现给个人或消费者时，要在每次会话开始时至少披露用了 AI。旧版的高风险清单是七条5。

新版整章重写成五个子部分：要求、高风险 AI 建议（十一类）、高风险物理动作（六类）、排除项、以及「有利决定」的例外。人审那一条改写成「合格的人必须实质审阅一份高风险 AI 建议，并有权修改它，然后它才能作为建议交给可能依赖它的个人、或被用来执行一个决定」。披露那一条补了一句：不必点出 Anthropic、Claude 或所用模型的名字。

新增的是高风险物理动作那一节。原文要求的是一条能观察设备运行、并能在任何时候把它停住的合格个体；该个体介入时，或者与 Anthropic 服务的连接中断时，设备必须停下或进入安全状态。同一段还要求，把设备限制在安全范围内的运行限值——速度、力矩、行程、温度、压力、电压、输出能量、剂量、作业范围——必须由设备本身或者一个独立于模型输出的控制器来强制2。官方把这条的来历写在公告里：Model Hardware Standard 发布之后，这一节增加了模型连接自主物理动作硬件时的要求1。

还有一处写法之差值得单独记下。旧版这一章的适用范围写的是「直接影响到个人或消费者」；新版写成「任何用我们的产品作出高风险 AI 建议、或控制具备高风险物理动作设备的人」25。官方公告说这些要求「没有改变」。两版字面不同这一点，官方没有解释。

新版在改名后的 Do Not Engage in Cruel, Abusive, or Psychologically Harmful Conduct 一节末尾加了一条：禁止「对我们的模型持续且不必要的辱骂或残忍行为」。官方在公告里把边界划得很细：这条只想用在极端情形，不适用于常见的用户沮丧、反驳、阴暗的创作主题，或者模型测试与研究1。

这一条的执行机制被官方写成模型自己的能力，而不是账号处罚：公告说，Claude 结束这类交互的能力将仍是主要的执行手段。这项能力不是新的，Anthropic 在 2025 年 8 月 15 日就写过模型可以结束极少一部分对话6。需要留意的是执行机制的落差：AUP 的兜底条款仍然写着 Anthropic 可以警告、限流、限制、暂停或终止你对产品的访问2，而公告只说了「结束对话」；两者如何衔接，官方没有说明。

用 API 做产品的人要核一遍数据管线。蒸馏条款的宾语变窄了，但保守的做法是按「输出与输入都不训练」来执行，因为「用输入训练」是否被别的条款覆盖，官方没有写。

把模型接到硬件上的人，这次拿到了一个可以落到设计里的要求：安全限值不能由模型输出提供，必须由设备或一个独立于模型输出的控制器强制；断连时设备要停下或进入安全状态。这条不依赖解释，直接读得出来。

商业客户要看清合同里的两条。商业条款写明使用政策（此前叫可接受使用政策）以引用方式并入；客户需要就因违反使用政策等引发的第三方索赔向 Anthropic 作出赔偿7。消费者端走另一条路：消费者条款把使用政策列为「许可使用」的合规要件，Anthropic 可以在认为用户违约或有法律要求时随时不退款地中止或终止订阅8。也就是说，禁止与要求两套人相同，违约之后的程序与赔偿不同。

要引用这件事的人，最需要分清的是公告与全文的关系。本次真正改变了约束范围的两处——删掉的两条和改窄的那一条——只有一处写在公告里。

一是能停机的那个「合格个体」是否必须是人类。原文只写 a qualified individual。The Verge 在自己的报道里也点了这一点，说这一点不清楚9。

二是蒸馏条款改窄之后的完整边界。官方只改了宾语，没有说明「用输入训练」落在哪一条下面。

三是页面内部的一处矛盾。现行页面的内部名称写的是 AUP (US+RoW, 2025-11-12) - 2026 Update，而官方给出的上一个版本是 2025-09-15 版，官方档案里没有 2025-11-12 这一版，也没有解释这个日期指什么。

还有一处需要提醒：这次改动里对模型辱骂那一条，被一家加密货币媒体报道成了「只会结束对话、不会封号」，而这个说法与 AUP 兜底条款里的暂停或终止不符；同一篇报道还把模型结束对话的能力写成了 2026 年 8 月的事，而一手公告写的是 2025 年 8 月10。

最后是时间本身：生效日是 11 月 12 日。在那一天之前，仍然有效的是 2025 年 9 月 15 日那一版。