摘要： Anthropic於2026年2月23日公布查出DeepSeek、Moonshot與MiniMax以約24,000個詐騙帳號對Claude發動超過1,600萬次交換規模的蒸餾攻擊。公司表示已用分類器與行為指紋辨識模式，收緊部分帳號驗證，並把技術指標分享給其他AI實驗室和雲端供應商。對大量使用API的開發者來說，流量模式與驗證摩擦都會成為更重要的營運議題。
假設你投入數百萬美元訓練出一個模型，競爭對手卻只靠 API 呼叫就把能力搬走——你會怎麼應對？Anthropic 把答案公開了，時間是 2026 年 2 月 23 日：他們追查出三家 AI 實驗室 DeepSeek、Moonshot 與 MiniMax，動用大約 24,000 個詐騙帳號，向 Claude 發動超過 1,600 萬次交換規模的蒸餾攻擊。這不是紙上談兵的風險，而是一場正在進行中的工業化竊取。
蒸餾技術本身沒有問題，它是合法的訓練方法，許多前沿實驗室都靠它把模型做小、壓低成本。問題出在用途：一旦競爭者拿它來抽取別人的能力，就能用極低的代價壓縮開發時程，而且產出的模型通常不具備原模型的安全防護。Anthropic 警告，這類攻擊會讓危險能力擴散——生物武器研發或惡意網路活動都算在內——甚至可能流入軍事或監控系統。
對產品建構者來說，本文的重點不在政治角力，而是它把 API 安全與模型保護的實際運作方式攤開來看。以下我拆解幾個關鍵面向。
攻擊手法：偽裝成正常流量的模式
Anthropic 觀察到，這些攻擊像照著同一套劇本走：先以詐騙帳號搭配代理服務繞開地區限制，再大量產出經過設計的提示詞，集中打向 Claude 最具差異化的能力，也就是代理推理、工具使用與編碼。
真正的線索在於「模式」，不是某一次請求。舉例來說，一個要求對方扮演「結合統計嚴謹性與深度領域知識的資料分析師」的提示詞，單獨出現時毫無異狀；但當它被重複數萬次，來自數百個彼此協調的帳號，又全都對準同一項能力，模式就浮現了。Anthropic 用「hydra cluster」形容這類代理網路：數萬個詐騙帳號把流量打散，某個帳號一被鎖就立刻補上新的，因此不存在單點失敗。
DeepSeek 的手法尤其值得一看：他們要求 Claude 設想並寫出完成回應時背後的內部推理，等於把 chain-of-thought 訓練資料以工業規模生產出來。Moonshot 動用了數百個帳號、橫跨多種存取途徑，後期甚至試圖還原 Claude 的推理軌跡。MiniMax 的 1,300 萬次交換規模最大，而且 Anthropic 在他們發布模型之前就偵測到了，因此得以觀察完整的生命週期。
偵測與回應：分類器、行為指紋與情報共享
Anthropic 的應對分成四層：偵測、情報分享、存取控制與反制措施。他們建起多套分類器與行為指紋系統，用來在 API 流量中認出蒸餾模式，涵蓋 chain-of-thought 誘導與跨帳號的協調行為。與此同時，他們把技術指標分享給其他 AI 實驗室和雲端供應商，並收緊教育帳號與安全研究計畫的驗證流程。
對開發者而言，這代表 API 供應商辨別「正常使用」與「異常模式」的能力正在提高。如果你的產品建立在大型語言模型之上，這是個提醒：流量監控除了關係成本，也關係安全。我在結構化資料擷取工具指南裡談過同樣的道理——可驗證性與模式偵測，是挑選工具時的關鍵。
另一點值得注意：Anthropic 坦承沒有任何一家公司能獨力解決這個問題。他們之所以公開證據，是要讓整個產業、雲端供應商與政策制定者能協同行動。這也與先前Claude 越獄事件的教訓一致：安全防護需要在生態系統層級合作。
出口管制的另一面：蒸餾如何削弱管制
本文最鋒利的論點在這裡：蒸餾攻擊直接抵銷了出口管制想達成的目的。Anthropic 一向支持出口管制，以維持美國在 AI 上的領先；但這些攻擊讓外國實驗室——包括受中國共產黨控制的那些——得以繞過管制，用別的路徑把差距縮小。
更細膩的地方在於，這些實驗室的「快速進展」經常被拿來當成出口管制無效的證明。Anthropic 的看法相反：這些進展有很大一部分是靠從美國模型提取能力換來的，而大規模提取本身就需要先進晶片。順著這個邏輯，蒸餾攻擊反而讓出口管制更有存在的理由——限制晶片取得，等於同時壓住直接訓練與蒸餾的規模。
這段論述對產品建構者有什麼用？它提醒你，當你依賴第三方 API，你的使用方式可能被看成威脅。假如你開發的應用需要發出大量提示詞，例如自動化測試或資料生成，請確認你的流量模式不會被誤讀成蒸餾攻擊。把你的用途透明地告訴供應商，效果可能比試圖藏起來更好。
給產品建構者的實際啟示
蒸餾攻擊的偵測靠的是模式辨識，這裡有兩個教訓適用於所有做 AI 產品的人。第一，監控的視角不該只停在成本或延遲，還要看流量的結構；異常的集中度、重複性與協調性，通常是最早出現的警訊。第二，防護不該只做在模型層，API 層同樣要做——Anthropic 正在開發的產品與 API 層級反制措施就是例子。
不過這篇文章也有它的界線。Anthropic 沒有公布具體的偵測指標或分類器細節，理由是那會讓攻擊者更容易繞過。想深入研究的人或許會覺得失望，但這是安全領域常見的取捨。
歸根究柢，揭露蒸餾攻擊不是要製造恐慌，而是要促成協調行動。身為產品建構者，我們能做的是正視這些攻擊確實存在，並在設計系統時把安全當成第一公民，而不是等到出事再補救。