阿里巴巴被控用2.5万假账号蒸馏Claude 成已知最大规模模型盗窃案

Anthropic于2026年6月10日致函美国参议院银行、住宅暨都市事务委员会，指控阿里巴巴通过2.5万个虚假账户和2880万次交互，在2026年4月22日至6月5日期间大规模蒸馏Claude模型。据路透社和CNBC报道，此案若属实将成为中国企业对美国AI公司最大规模攻击，同时涉及DeepSeek、月之暗面和MiniMax三家中国AI企业。

模型蒸馏攻击的技术路径

蒸馏攻击的核心在于利用目标模型的公开API输出，反复查询以收集高价值响应，再用于训练自身较弱模型。阿里巴巴相关操作覆盖通义千问团队，单日交互峰值远超正常用户模式。Anthropic在信件中列出账户创建时间、查询模板重复率及输出长度分布等证据，这些数据直接指向有组织批量操作。

相比之下，DeepSeek在2025年1月后的蒸馏行动仅记录15万次交互，月之暗面340万次，MiniMax1300万次。阿里巴巴单次行动规模已超过前三者总和。

Claude模型的防护现状与短板

Claude系列依靠速率限制、异常检测和账户验证来阻挡批量查询。但2800万个虚假账户表明现有验证流程可被低成本绕过。官方博客披露，攻击者使用真实企业邮箱和手机号完成初始注册，后续通过代理IP和脚本维持会话。

这一事实暴露API设计中一个实际问题：开发者为提升易用性而放宽初始验证，导致高价值模型输出被系统性采集。Anthropic发言人明确表示，需要政府与产业共同协调才能有效应对此类威胁。

与其他AI产品的对比

DeepSeek通过低价模型快速获得市场关注，其蒸馏规模相对有限，更多依赖公开基准数据而非直接针对单一目标。月之暗面和MiniMax的行动同样聚焦输出收集，但交互次数未突破千万级。

美国方面，2026年6月12日商务部对Anthropic最新Mythos与Fable系列模型实施出口限制，显示政策工具已从单纯黑名单转向针对性技术管控。白宫科技政策办公室此前发布的备忘录承诺协助企业检测大规模蒸馏，但实际执行仍依赖企业主动上报。

对开发者的实用建议

开发者应在API层面增加查询模式分析，例如检测同一语义模板的高频重复和异常时段集中请求。结合设备指纹与行为基线，可在早期拦截脚本驱动的账户群。

其次，模型输出应默认加入水印或扰动机制，使蒸馏后训练的数据质量下降。Anthropic已开始测试此类技术，但尚未全面部署。

• 限制单账户每日token配额，并对新账户实施渐进式放量。
• 与云服务商共享可疑IP和邮箱列表，建立行业黑名单。
• 定期审计日志，重点核对非自然语言的结构化查询。

对企业的战略建议

企业需将模型安全纳入供应链风险评估。阿里巴巴事件显示，单纯依赖法律警告效果有限，必须在技术层面增加检测能力。建议与Anthropic等公司建立信息共享通道，及时获知已知攻击模式。

对于中国AI企业，蒸馏虽能短期提升性能，但依赖单一来源会带来合规与可持续性风险。自主研发基础模型仍是长期路径。

据彭博新闻披露的信件内容，Anthropic已将此案定性为“迄今已知规模最大的模型蒸馏攻击”，并强调无视川普政府警告的行为加剧了事态严重性。