OpenAI 点名月之暗面：峰值两天 1.6 万次请求，目标是模型隐藏的推理
OpenAI 9 月 30 日发布安全披露，把一轮提取隐藏推理的行动核心集群指向月之暗面：7 月峰值两天 1.6 万次请求；这篇逐段读完那份披露，把观测与归属分开摆。
9 月 30 日，OpenAI 在自己的新闻页发布了一篇安全披露，标题是 Disrupting a coordinated model-distillation campaign。1
同一天，彭博社把它写成一条报道，作者 Maggie Eastland，标题为 OpenAI Blames Moonshot for Mass Data Extraction on Its AI Models。这条报道的正文只有开头两段对未订阅读者公开，它给出的结论是：OpenAI 把一轮大规模提取自家系统数据的行动，指向了中国公司月之暗面（Moonshot AI）。2
披露本身比转述具体得多。OpenAI 在这份文件里写了方法：把模型加密过的推理搬进另一段对话，让模型自己把它逐字念出来；也写了哪些部分是自己观测到的，哪些部分只是它的判断。
01｜对抗性蒸馏是什么，这次的不同在哪里
OpenAI 先定义了两件事。
一件叫对抗性蒸馏（adversarial distillation）：把一个模型的输出或推理，做系统性的、未经授权的使用，用来训练、复现或改进另一个模型。1
另一件叫受保护的推理（protected reasoning）：模型解题时的内部记录，也就是最终回答里被隐去的那部分思考过程。OpenAI 说，把这段推理取出来，可以看到最终答案里没有写出的信息，也可以帮别人复现这个模型的能力。1
这次披露的分量落在边界上。OpenAI 写道，操作者没有攻破它的加密，没有入侵数据库，也没有直接读到存下来的用户对话；被利用的是模型交互本身——操作者用协调的、成规模的方式，让受保护的推理以请求方看得见的形式被复现出来，违反了服务条款。1
它同时说明，这个问题不是它一家独有的，相关信息已经通过 Frontier Model Forum 分享给了业内同行。1
02｜手法、时间与数字
手法只有一句话，但写得很具体：把一段加密推理从一次对话里复制出来，再放进另一次对话，要求那个模型解密并逐字转写隐藏内容。1
最早被观测到的活动出现在 7 月第一周。7 月 24 日和 25 日出现高峰：16,000 次请求，来自 4,000 多个用户，用的是同一种相关的提取模式。继续排查后，OpenAI 发现相关的提示模式活动分布在一个超过 15,000 个用户的集群里；到 7 月 28 日，这个集群被全部阻断。1
本刊制作。节点与数字出自 OpenAI 2026 年 9 月 30 日的披露原文，末行那句话来自该文脚注：16,000 是尝试次数，不是成功次数。
那个脚注是这组数字里最容易被读错的地方。OpenAI 特意注明，这些数字描述的是被尝试的提取，不一定成功。1
03｜哪些是观测，哪些是判断
归属这一段，OpenAI 把它拆成了两层。
第一层是它观测到的：活动、请求数、用户集群。第二层是它的判断，原话是「无法确认观察期内的全部操作者是否来自同一个行为体」，但它把其中的「一个核心集群」归于与月之暗面相关的人员——月之暗面是 Kimi 的开发商。1
限定语是「核心集群」（a core cluster）。可数的是活动和账号，属于判断的那个词，指向的是一个子集。
独立研究者补上了另一块。8 月 10 日提交的一篇论文发现，主流厂商返回给客户端的加密推理块，在同一家服务商的不同会话、不同用户、不同模型之间可以互换；把一段来自强模型的加密推理注入同门更弱、防护更少的模型，就能让这个弱模型在不越狱强模型的情况下，把推理原样解密输出。Stealing Reasoning Traces from Proprietary LLM APIs 论文作者是 Alexander Panfilov 等八人，来自图宾根大学、马克斯·普朗克研究所等机构。3
这篇论文给出的量级是：从公开仓库抓取 315,320 个推理块，恢复出 367 条个人信息和 182 条凭据；它列出四种攻击向量，其中第一种就是绕过模型厂商的反蒸馏机制，作者在 Anthropic、OpenAI 和 Google 三家上都做了演示。3 OpenAI 在披露里引用了这篇论文，说自己核对了它指出的攻击路径，确认这些路径真实存在。1
需要分清的是这两份材料各自能证到哪一步。论文证明的是机制存在，而且不限于一家厂商的模型；OpenAI 披露证明的是这轮活动被观测到、被计数、被封禁。至于被提取的推理在月之暗面那边变成了什么，目前公开材料里还没有可以对应的产物。
04｜它与此前几条指控的分界
月之暗面不是第一次被点名。把几条指控并排放在一起，能看到指控方、手法和时间都不同。
| 时间 | 谁指控 | 指控的手法 | 关键数字 | 出处 |
|---|---|---|---|---|
| 2026-02 | OpenAI 致函美国国会议员 | 说 DeepSeek 用不断变化的手法，从 OpenAI 等前沿实验室的模型里提取结果 | 未给出提取次数 | Bloomberg |
| 2026-02-23 | Anthropic 公开报告 | 说 DeepSeek、月之暗面、MiniMax 用输出蒸馏 Claude 的能力 | 逾 1,600 万次交互、约 2.4 万个欺诈账号；其中月之暗面逾 340 万次 | Anthropic |
| 2026-09-10 | Anthropic 9 月威胁情报报告 | 说月之暗面把用户请求转路由到 Claude Opus，并用跨会话重放提取思维链 | 一次监测的 10 天内近 30 万条请求、5,380 个虚假账号 | Anthropic |
| 2026-09-30 | OpenAI 安全披露 | 说有人跨对话重放加密推理，让较弱的模型逐字转写 | 7 月 24—25 日峰值 16,000 次尝试、4,000 多个用户；相关集群逾 1.5 万个用户 | OpenAI |
同一个月内，美国方面还有别的动作。7 月，白宫科技政策办公室主任 Michael Kratsios 公开说，美国政府掌握了月之暗面蒸馏 Anthropic 的 Fable 模型、并获得配 GB300 的服务器用于训练的信息；财政部长贝森特在同期说，如果确认存在窃取，美国可能考虑制裁。White House official accuses Chinese startup of improperly using Anthropic's latest model, accessing restricted Nvidia chips 4
所以到 9 月 30 日为止，围绕月之暗面的指控已经有三家不同的主体发出：美国政府官员、Anthropic、OpenAI。三家的指控都指向同一类行为，但各自给的是自己的观测，彼此之间没有共同的核查基础。
05｜原文引用
"We recently identified and disrupted a coordinated campaign designed to extract protected reasoning from our models, with the earliest observed activity occurring in the first week of July."
译：我们最近识别并阻断了一轮协调行动，它的目标是提取我们模型里受保护的推理；最早观测到的活动出现在 7 月第一周。1
"It is unclear whether all operators we observed during the relevant time period originated from a single actor. However, we attribute a core cluster of the activity to individuals associated with Moonshot AI, the developer of Kimi."
译：无法确认相关时段内我们观测到的全部操作者是否来自同一个行为体。不过，我们把这轮活动中的一个核心集群，归于与月之暗面相关的人员——它是 Kimi 的开发商。1
"The operators did not break our encryption, compromise a database, or gain direct access to stored user conversations."
译：操作者没有攻破我们的加密，没有入侵数据库，也没有直接读到存下来的用户对话。1
06｜接下来看什么
References
- 1
- 2
- 3
- 4
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.