OpenAI 第一次点名月之暗面，而这条漏洞三家都有
OpenAI 第一次公开点名月之暗面，把 7 月一场提取推理链的活动核心集群归因到与它相关的个人；本篇核对这句原话与媒体标题之间的距离，读它引用的那篇论文，并说明这条漏洞为什么三家厂商都有。
北京时间 10 月 1 日凌晨，彭博发出一篇稿，标题是《OpenAI 把大规模提取数据归咎于月之暗面》。1
同一天，OpenAI 在自己官网上发出另一篇，标题是《阻断一场协同的模型蒸馏行动》。2
公告给了四个数字。
活动最早出现在 7 月第一周。2
7 月 24 日和 25 日出现高峰：来自 4000 多名用户的 16000 次请求，用了同一种提取模式。2
进一步调查识别出跨 15000 多名用户的相关提示模式集群。2
到 7 月 28 日，OpenAI 说这些活动已被「完全阻断」。2
公告和那篇论文的原文都是英文，本篇引用时按字面译出，最要紧的那一句会同时附上原文。
有三件事要提前交代。
第二，公告在脚注里写明，这些数字描述的是「尝试」，不必然是成功的提取。2
第三，截至北京时间 10 月 1 日凌晨 3 时 50 分，月之暗面没有就这份公告作出公开回应；台湾钜亨网在报道里写的是「月之暗面未立即回应置评要求」。4
公告里有一句话，决定了这篇稿子该从哪里读起。
OpenAI 写，操作者「没有破解我们的加密，没有攻陷数据库，也没有接触存储的用户对话」。2
01 这次的机制，第一次不在被指控的那一方手里
要看懂这次的不同，先看前面几轮讲的是什么。
今年 2 月 23 日，Anthropic 发过一篇公告，说三家中国实验室通过大约 24000 个欺诈账号，与 Claude 产生了超过 1600 万次交互。5
其中挂在月之暗面名下的是超过 340 万次交互，用了数百个欺诈账号；归因依据是请求元数据与该公司资深员工的公开资料相匹配。5
7 月 22 日，白宫科技政策办公室主任迈克尔·克拉齐奥斯在自己的 X 账号上说，美方有信息表明月之暗面蒸馏了 Anthropic 的 Fable 来开发 K3，并且另在泰国接入了 GB300 服务器。6
9 月 8 日，美国国家安全局、网络安全与基础设施安全局、联邦调查局联合发出公告 AA26-251A，点名六家中国公司。7
对月之暗面的原句是：自至少 2025 年年中起对美前沿 AI 公司发动广泛蒸馏活动，提取 Claude Fable 5 数据训练 Kimi-K3、GPT-4o 数据训练 Kimi-K2。7
这三轮讲的都是「谁在做什么」：谁注册了假账号，谁搭了中转平台，谁把请求转出去。
这一轮讲的是另一件事。
OpenAI 描述的攻击是：把一段对话里加密的推理内容复制出来，放进另一段对话，让那边的模型把隐藏的推理解密，并用明文抄写下来。2
机制解释在那篇论文里。
Anthropic、OpenAI、Google 三家都已不再把推理过程以明文返回，而是打包成一段加密的块，由客户端在后续每一次请求里原样带回来。8
论文发现，这些块在同一个厂商的生态内「完全兼容、可以互换」：跨会话，跨用户，也跨模型。8
论文进一步推测，厂商是在用同一把全局密钥加密和认证每一个推理块。8
于是提取只需要两步。
先用一个防护严密的强模型，生成一段加密推理。8
再把这段块灌进同一家厂商里更弱、更便宜、没有上反蒸馏防护的模型，逼它逐字抄出来。8
论文把这个结构称为「安全不对称」：强模型被训练得不肯说出自己的推理，它弱小的同门却在不知不觉里充当了一台解密机。8
论文在 Anthropic、OpenAI、Google 三家身上都跑了这条路。3
OpenAI 在公告里也承认了这一点：「这种操纵不是 OpenAI 模型独有的漏洞」。2
这一次，问题的落点第一次从被指控者在做什么，移到了厂商自己的设计上——门是锁着的，只是这一家所有的锁，共用同一把钥匙。
02 OpenAI 说的是「相关个人」，媒体写成「月之暗面」
整份公告里最需要逐字读的，是归因那一句。
OpenAI 写：「我们观察到的操作者是否全部来自同一个行为者，目前并不清楚。但我们把这场活动的核心集群，归因于与月之暗面——Kimi 的开发商——相关的个人。」（原文：It is unclear whether all operators we observed during the relevant time period originated from a single actor. However, we attribute a core cluster of the activity to individuals associated with Moonshot AI, the developer of Kimi.）2
彭博的导语把它压成了另一句：「OpenAI 指控其中国竞争对手月之暗面，对一场大规模提取其 GPT 系统数据的行为负责。」1
彭博正文的第二段，限定语还在：「虽然无法把所有操作者归因于单一行为者，OpenAI 说与月之暗面相关的用户扮演了重要角色。」1
这个落差不是咬文嚼字。
2026 年 2 月 12 日，OpenAI 曾向美国众议院中共问题特别委员会递交一份备忘录，全文提到 DeepSeek 24 次，提到月之暗面、Kimi、MiniMax、阿里、智谱、Qwen 各 0 次。9
也就是说，9 月 30 日这一次，是 OpenAI 第一次公开点名月之暗面。彭博在稿子里也写了这层判断。1
为什么差一个词要紧，看 7 月的先例就清楚。
那一轮是政府官员出面：白宫科技政策办公室主任在 X 上直接点了公司名；路透在同题报道里也写到，美国财政部长说过可能把它列入贸易黑名单。6
按 7 月那一轮的走向，能触发实体清单、制裁、出口管制这类动作的，是被点名的公司，不是「相关的个人」。7
中文转述里已经出现了混用。
数智朋克那篇的标题和摘要写的是「OpenAI 公开指责月之暗面（Moonshot AI）对其 GPT 系统进行大规模数据提取」，正文后半段又写回「与月之暗面相关的用户」。10
同一篇里，公司和个人各出现了一次。
还有一个细节值得记下来：这份公告的时间窗，与月之暗面自己的节奏几乎重叠。
OpenAI 说那场活动 7 月 1 日开始，7 月 24、25 日冲到峰值，7 月 28 日前阻断。2
白宫点名公司是 7 月 22 日。6
这几个日子都落在同一个 7 月里：K3 发布、白宫点名、提取峰值，彼此相隔不到十天。
但本篇不据此推断因果；公开材料里没有任何一份说明它们之间的关系。
OpenAI 公告里被点名的是「与月之暗面相关的个人」，而能触发后续动作的是这家公司本身——两者的距离，就是接下来所有悬念所在。
03 论文里各有一句对两边不利的话
OpenAI 在那篇公告里主动写明了技术底料的来路：独立安全研究员通过负责任披露把相关漏洞报给了它，它复核后确认攻击路径真实存在。2
那篇论文是 8 月 10 日提交的，作者来自 MATS Research、图宾根 ELLIS 研究所、马克斯·普朗克智能系统研究所、图宾根 AI 中心、Snyk 等机构。3
它不属于这场争论里的任何一方，是目前唯一一份两边都动不了的材料，所以里面各有一句话对两边不利。
先说对月之暗面不利的那一句。
论文在做探索性分析时，把解码出来的一小段 Claude Opus 4.8 推理，作为前缀灌进 Kimi K3；结果 K3 后续推理的风格、以及它生成的可见回答的风格，都向 Claude 靠拢，个别案例里可见回答几乎逐字一致。8
这正是白宫 7 月所指控的那个现象。
但要注意论文把它放在了什么位置：这是一段「可移植性」的实验观察，不是训练数据来源的证据。论文没有说 K3 拿 Claude 的推理做过训练。8
再说对 OpenAI 不利的那一句。
论文写，早在 2026 年 5 月，另一位研究者就已经披露过「推理块可互换」这个原始漏洞；按论文的转述，当时厂商「并未承认侧信道或重放攻击存在任何安全含义」。8
论文在发表前也做过披露：它把漏洞与提取方法报给了受影响的厂商、微软和 Hugging Face，之后研究者「无法再发起同样的攻击」。8
OpenAI 说它对攻击路径「确认属实」，并在发布前完成了缓解。2
从 5 月到 9 月底，中间隔着四个月。
论文还自己写下了边界：因为拿不到真正的明文推理作对照，它无法完全验证抽出来的 token 就等于模型的私有推理。8
这篇论文不是任何一方的证词——它同时给出了对被指控方最不利的一段观察，和对厂商最不利的一段时间差。
04 被这条新闻盖住的另一半：泄露的是开发者的密钥和密码
论文列出了四条攻击路径：绕过反蒸馏机制提取推理、从公开轨迹里还原密钥与个人信息、把指令夹在加密块里做不可见的提示注入、借隐藏推理取出模型在可见回答里拒绝掉的有害信息。3
蒸馏是第一条。第二条与中美之争无关，但对读者最直接。
研究者从 GitHub 与 Hugging Face 上抓取了 6708 条公开的智能体轨迹，把它们里面仍然带着的加密推理块逐条解码，共还原出 315320 段推理。8
按轨迹算，6708 条里有 4.9%，也就是 328 条，至少泄露了一件真实的敏感信息。8
从真实用户会话里解出来的东西包括：62 个 API 密钥、33 个密码、24 个访问令牌、7 个私钥、30 个个人邮箱、6 个非本地 IP。8
从真实用户会话里还原出来的东西，加上姓名与邮寄地址，一共 704 件；其中 64 件在可见的对话记录里根本不存在。8
为什么会这样，论文给了一个很具体的触发场景。
用户让助手「清理一下这段会话」的时候，模型会在隐藏推理里把整段历史重读一遍，然后把需要删掉的敏感值在那里再抄一次。8
脱敏只能在明文层做，而加密块原样通过了脱敏。
论文也写了下游的风险面：它对公开轨迹的扫描并不是穷尽的，本地保存的轨迹和生产服务里的痕迹，涉及敏感信息的概率只会更高。8
解决办法，论文提了几条。
最彻底的一条是改架构：推理块不再交给客户端保存，改为存在服务端，客户端只拿一个随机标识符。8
保留现有架构的话，至少要把加密信封绑定到出处：把用户与会话标识写进信封里，把前置对话内容哈希进消息认证码，这样重放就会被拒。8
OpenAI 说它已经关闭了「已持有他人加密推理即可重放还原」的那条路，并对可能暴露推理的流式输出加了拦截。2
它没有说改的是哪一层。
这半条攻击路径伤到的不是模型厂商，是把会话日志发到公开仓库的开发者自己；它跟中美之争没有关系。
05 接下来要盯的是哪几个节点
先看月之暗面自己的处境。
估值要看两档：7 月完成的那一轮（单轮融资 35 亿美元）投后估值是 350 亿美元；眼下在谈的 Pre-IPO 轮，投前估值约 500 亿美元。15
南华早报得到的目标是最早 2027 年一季度挂牌；公司对这类问题的答复是「不对市场传闻或猜测置评」。16
港交所披露易用 MOONSHOT、Moonshot、月之暗面三个关键词检索 2026 全年，返回 0 条。17
这不矛盾：保密递交在通过上市听证前本就不公开。16
再看美方。
截至同一时点（北京时间 10 月 1 日凌晨 3 时 50 分），白宫科技政策办公室主任的 X 账号、白宫的发布、简报与总统行动三个列表页、财政部的新闻稿与会谈纪要（readouts）两个列表页、商务部工业与安全局的新闻页、众议院中共问题特别委员会两党的发布页，都没有针对这份公告的新声明、信函、听证公告或执法动作。1819
同一天真正的新动作是另一件事：联邦贸易委员会对 Anthropic、OpenAI 等发起广泛调查，主题是 AI 安全与消费者保护，与这次归因无关。20
彭博稿里另给了一条线索：参议员吉姆·班克斯与亚当·希夫提出一项范围很窄的反垄断豁免，让厂商之间可以就「未经授权的蒸馏」共享信息。1
中方这一侧的既有口径有两条。
商务部新闻发言人 9 月 9 日的原话是：「美方所谓中国人工智能企业从事『工业规模』蒸馏美模型的指控，于事无凭，于法无据。」21
外交部发言人毛宁 9 月 11 日被问到 Anthropic 报告时的答问只有两句：「我不了解你提到的具体情况。中国始终坚持人工智能向善发展，同时坚决反对歪曲事实，对中国进行攻击抹黑。」22
这两条都不是针对本次公告的，不能混引。
外交部例行记者会自 10 月 1 日起休会，10 月 8 日恢复。23
月之暗面公司层面至今没有回应，但这不是它第一次被点名。
7 月 21 日，也就是白宫开口前一天，月之暗面的企业业务负责人黄震昕对媒体说过一段话：开源模型与中国大模型不应被贴上低价标签，K3 性能跃升的核心来自底层原创架构创新，并非对现有模型蒸馏复刻。12
路透 9 月 3 日那篇里也写了：月之暗面否认过 K3 的性能来自蒸馏。13
所以「不回应」要分两层看：公司对外媒的问询不置评，业务负责人对具体的蒸馏指控则反驳过。
从一份公司安全博客走到一份政府文件，中间隔着的那几步，才是真正会改变月之暗面处境的部分。
下面这张表把今年四轮指控并排放好，每一格都指到可核查的出处。
| 时间与提出方 | 提出的说法 | 依据／现在能核到什么 |
|---|---|---|
| 2026-02-23，Anthropic | 三家中国实验室通过约 24000 个欺诈账号与 Claude 产生超过 1600 万次交互；挂在月之暗面名下超过 340 万次、数百个欺诈账号 5 | 依据是 Anthropic 自己的威胁情报，归因靠请求元数据与该公司资深员工公开资料匹配；被点名方未回应 5 |
| 2026-07-22，白宫科技政策办公室主任（个人 X 帖） | 月之暗面蒸馏 Anthropic 的 Fable 开发 K3，并另在泰国接入 GB300 服务器 6 | 一条 X 帖，未附公开支撑材料；本条为媒体转引，原帖本次未作一手回取 6 |
| 2026-09-08，美国国家安全局／网络安全与基础设施安全局／联邦调查局 | 六家中国公司对美开展「工业规模」蒸馏；对月之暗面称自 2025 年年中起，用 Fable 5 数据训练 Kimi-K3、GPT-4o 数据训练 Kimi-K2 7 | 三家机构联署的公告 AA26-251A；中国商务部 9 月 9 日回应称「于事无凭，于法无据」 21 |
| 2026-09-30，OpenAI | 把 7 月一场提取「受保护推理」活动的核心集群，归因于与月之暗面相关的个人；7 月 24—25 日 16000 次请求来自 4000 多名用户，相关提示模式集群跨 15000 多名用户，7 月 28 日前阻断 2 | OpenAI 自己的公告，脚注注明这些是「尝试」而非成功的提取；技术底料是一篇独立论文 3；截至核对时点未见美方官方跟进 |
前三轮问的是「谁做了这件事」，第四轮问的是「这件事为什么做得成」。
封号、关中转站、发公告，这些动作可以反复做。
但「同一套加密推理块能跨会话、跨用户、跨模型重放」这件事，改架构之前不会自己消失。8
References
- 1
- 2
- 3
- 4钜亨网：不只问答案、还想挖推理！OpenAI点名月之暗面撷取GPT资料
news.cnyes.com
- 5
- 6
- 7
- 8
- 9
- 10数智朋克：OpenAI 指控月之暗面大规模提取 GPT 模型数据
shuzhipunk.com
- 11Kimi：Kimi K3 Tech Blog
kimi.com
- 12第一财经：被马斯克视为"竞争对手"，月之暗面公开回应外界质疑
yicai.com
- 13
- 14
- 15
- 16
- 17港交所披露易标题检索
www1.hkexnews.hk
- 18白宫 Presidential Actions 列表
whitehouse.gov
- 19美国财政部 Press Releases
home.treasury.gov
- 20Washington Post：FTC launches broad investigation into Anthropic, OpenAI
washingtonpost.com
- 21商务部新闻发言人：就美发布中国人工智能企业对美蒸馏活动相关网络安全公告答记者问
mofcom.gov.cn
- 22外交部：2026年9月11日外交部发言人毛宁主持例行记者会
mfa.gov.cn
- 23外交部：2026年9月30日外交部发言人郭嘉昆主持例行记者会（含休会公告）
mfa.gov.cn
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.