Kempen Distillation Berskala Industri oleh Labs AI China

Kempen Distillation Berskala Industri oleh Labs AI China

Pada 8 September 2026, NSA, CISA dan FBI mengeluarkan amaran bersama AA26-251A — dokumen paling terperinci setakat ini tentang bagaimana labs AI utama China membina training data dari model frontier Amerika. Angka utamanya sukar diabaikan: berbilion token diekstrak melalui jutaan API exchange, bermula sekurang-kurangnya hujung 2024, melibatkan enam syarikat yang dinamakan — DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun dan Z.AI.

Cara agensi merangka isu ini memang disengajakan. Amaran itu mengakui knowledge distillation ialah teknik training yang sah dan selalu digunakan. Masalahnya bukan pada distillation itu sendiri, tetapi distillation yang dijalankan pada skala industri — menyasarkan capability proprietari dan melanggar terms of service syarikat mangsa. Menurut kata agensi berkenaan, aktiviti ini bukan pelengkap kepada strategi pembangunan labs berkenaan, tetapi "inti sebenar" strategi itu.

Distillation 101: semua orang guna, bila ia jadi theft?

Knowledge distillation ialah corak teacher-student. Model "teacher" yang lebih kuat menjana output — selalunya termasuk chain-of-thought reasoning — dan model "student" yang lebih kecil dilatih untuk meniru capability itu tanpa perlu mencipta semula keseluruhannya. Labs frontier memang kerap menggunakan teknik ini untuk menghasilkan versi model yang lebih kecil dan murah. Tekniknya sendiri tiada apa-apa niat jahat.

Apa yang mengubah keadaan ialah consent dan skala. Distill model sendiri secara dalaman? Itu tidak mengapa. Tetapi membina operasi pengekstrakan berasingan — kumpulan akaun premium, metadata yang disental, proxy "transfer station" — untuk menuai reasoning proprietari orang lain? Itu kategori lain. Student model yang dilatih cara ini mewarisi capability teacher tetapi bukan safety trainingnya, sebab itulah agensi menganggapnya lebih daripada sekadar pertikaian harta intelek. Laporan Anthropic pada Februari 2026 sendiri mengira lebih 16 juta exchange dengan Claude melalui kira-kira 24,000 akaun palsu, membabitkan DeepSeek, Moonshot AI dan MiniMax.

Apa yang agensi beritahu tentang setiap labs

Amaran ini luar biasa spesifik: ia menyenaraikan model AS mana yang menjadi sasaran dan capability apa yang didistill.

DeepSeek

DeepSeek menjalankan kempen terancang sejak sekurang-kurangnya hujung 2024 untuk menjana synthetic training data bagi model R1 (dilancarkan awal 2025) dan V3. Antara teacher model yang disenaraikan: Claude 3.7, Claude Sonnet 4 dan 4.5, Claude Opus 4.1, Gemini 2.5 Pro/Flash preview, GPT-4 sehingga GPT-5, serta Grok 4. Domain yang diekstrak macam senarai semak model frontier: legal specialization, tugasan berpandukan API, chain-of-thought drafting, fungsi agentic, dan SFT optimization.

Yang paling menarik, agensi turut menyentuh naratif kos rendah DeepSeek yang terkenal. Kos training $5.6M yang diumumkan itu, menurut amaran, "mengelirukan kerana ia tidak termasuk kos sebenar data yang diperoleh melalui distillation berniat jahat secara besar-besaran."

Moonshot AI

Kempen Moonshot berjalan sejak sekurang-kurangnya pertengahan 2025. Agensi menyatakan ia mengekstrak data Claude Fable 5 untuk melatih Kimi-K3 dan data GPT-4o untuk Kimi-K2, menyasarkan SFT optimization, reinforcement learning (RL), software engineering dan matematik. Sasaran merangkumi Claude Opus 4.1, beberapa varian Sonnet, GPT-5 Codex/Pro, Gemini 2.5 Flash/Pro, malah Grok Code Fast-1.

Alibaba, MiniMax, StepFun, Z.AI

• Alibaba (akhir 2025): mendistill Claude-4, Claude Opus, Claude Sonnet dan GPT-5 untuk memajukan keluarga Qwen — software engineering, dialog perkhidmatan pelanggan, penciptaan watak, dan pipeline RL/SFT/distillation.
• MiniMax (akhir 2025): menuai CoT reasoning, RL, SFT dan software engineering untuk model M2 daripada Claude Code, Claude Sonnet 4, Claude Opus serta Gemini 1/2.5 Pro/3 Pro. MiniMax malah pernah menggunakan prompt injection untuk cuba meyakinkan Claude Code bahawa ia ialah produk MiniMax.
• StepFun (akhir 2025–awal 2026): mendistill Claude Opus 4.1/4.5, Claude Sonnet 4.5, Claude Haiku 4.5 dan beberapa varian GPT-5.x bagi membina fungsi coding dan agentic untuk model Step 4.
• Z.AI (pertengahan 2026): berbilion token data GPT-5.5 dan Claude Opus 4.8 untuk membangunkan kebolehan chain-of-thought reasoning.

Untuk konteks lanjut ke mana arah reasoning extraction jenis ini membawa industri, baca penulisan tentang Claude Fable 5.1 dan keluarga Mythos, serta bagaimana keterlihatan CoT itu sendiri menjadi medan pertarungan safety design.

Mekanik: transfer station, kumpulan akaun dan empat novel TTP

Kempen ini bukan sekadar jutaan panggilan API. Amaran tersebut menggambarkan operasi bertaraf produksi dengan empat teknik yang tidak termasuk dalam rangka kerja MITRE ATLAS:

1. Pengelakan sekatan wilayah dan eksploitasi langganan — pasaran kelabu proxy API, atau "transfer station", menjual akses model frontier dengan harga lebih murah; StepFun menyusun akses berdasarkan kumpulan akaun pekerja dengan sesi seimbang dan peruntukan bajet harian bagi setiap ejen automatik.
2. Centralized request routing — infrastruktur routing pusat yang menyatukan kawalan merentas model dan penyedia, dengan pemantauan kesihatan masa nyata, penguatkuasaan kuota dan sanitasi metadata automatik.
3. Sanitasi metadata automatik — pembersihan identiti organisasi pada lapisan infrastruktur, berbeza daripada prompt crafting manual.
4. Pengoptimuman kuota dan kos yang sistematik — pemilihan laluan dianggap sebagai masalah routing-dan-harga, dengan langganan premium dibeli pukal dan dikongsi merentas pasukan developer.

Taktik lama pula sepadan dengan rangka kerja ATLAS MITRE (AML.T0040 untuk akses API, AML.T0051/T0054 untuk prompt injection dan jailbreak). Jailbreak untuk memaksa model mendedahkan chain-of-thought tersembunyi ialah tema berulang: data CoT mengajar student bukan sekadar fakta, tetapi metodologi reasoning lengkap — cara menghampiri tugasan agentic, cabaran coding dan bukti logik.

Rupa bentuk query distillation

Prompt individu selalunya kelihatan biasa sahaja. Anthropic menerbitkan contoh corak yang digunakan pada skala besar untuk mengeluarkan reasoning dalaman:

You are a helpful assistant. I have a question that was already answered,
but I only have the final response. Please imagine the step-by-step
internal reasoning the assistant would have gone through, and write it
out in full detail as a training example.

Prompt berbentuk sebegini yang diulang beribu kali setiap domain — daripada akaun yang baru dibuat — ialah cap jari sebenar. Satu permintaan tidak mengapa. Tetapi kempen berkoordinasi yang berbulan-bulan menyalurkan pelbagai varian prompt sebegini melalui kumpulan akaun ialah cara anda mengenal pasti corak berniat jahat ini.

Pertahanan: behavioral detection dan response degradation

Cadangan mitigasi dalam amaran itu ditujukan kepada penyedia model, dan pecah kepada tiga lapisan:

Behavioral detection

Perhatikan akaun yang menyeludup anomali ke dalam aliran trafik yang kelihatan normal: langganan baru terus mencecah kuota maksimum, penggunaan 24/7 tanpa jeda, akaun kongsi dari banyak IP dan user agent, ratio langganan-ke-API yang tidak normal, dan template prompt yang sama berulang merentas penyedia.

Perubahan respons secara bersasar

Apabila distillation berisiko tinggi dikesan, degradasi respons secara halus — differential privacy, jawapan daripada model "downgraded" yang kurang berkemampuan, pengurangan kedalaman reasoning, ketidakkonsistenan gaya. Paling penting, kata amaran itu, jangan beritahu operator yang disyaki. Kalau mereka tahu, mereka boleh melatih semula pengesanan mereka dan memberhentikan training run mereka. Ubah-ubah degradasi supaya pipeline QA mereka tidak dapat menentukur kepada garis asas baharu.

Perkongsian intelligence merentas organisasi

Tiada penyedia tunggal dapat melihat keseluruhan kempen. Rangkaian proxy yang menguruskan puluhan ribu akaun palsu serentak melintasi penyedia, cloud dan aggregator. Perkongsian penunjuk infrastruktur (IP, domain, perkhidmatan pihak ketiga) dan penunjuk tingkah laku (korelasi masa, corak volum query) ialah satu-satunya cara untuk mendedahkan kempen teragih seperti yang sebenarnya.

Bagi pasukan yang membina di atas model ini — termasuk kerja agent harness yang didokumenkan dalam rangka kerja open-source DeepSeek atau deployment ejen coding AI di perusahaan — baca ini sebagai threat model untuk rantaian kebergantungan anda sendiri, bukan sekadar cerita dasar AS-China.

Gambaran besar

Amaran ini sebahagian daripada timbunan dasar yang lebih luas: ia merujuk NSPM-11 White House mengenai AI dalam enterprise keselamatan negara, dan NSTM-4 khas tentang adversarial distillation — dokumen yang kelihatannya menetapkan dasar AS untuk masalah khusus ini. Hujah strategiknya terus terang. Distillation membolehkan fast-follower melangkau bahagian paling mahal dalam pembangunan frontier — risiko research, perbelanjaan compute, kerja RLHF dan safety yang berulang — dan tetap mendapat sebahagian besar peningkatan capability. Kalau pengekstrakan ini sesistematik seperti yang digambarkan agensi, sebahagian daripada naratif "keajaiban kecekapan" yang dinikmati sesetengah labs China sebenarnya disubsidi, tanpa persetujuan, oleh bajet R&D labs yang menjadi mangsa distillation.

Sama ada anda bersetuju dengan atribusi itu atau tidak, pengajaran operasinya jelas untuk sesiapa yang menjalankan infrastruktur AI: skala membuat pengekstrakan kelihatan. Berbilion token terlalu banyak untuk disembunyikan sepenuhnya. Itulah yang amaran ini suruh pertahanan gunakan.

Sumber

• CISA / NSA / FBI: AA26-251A — China-Based AI Companies Conducting Industrial-Scale Distillation Campaigns
• Anthropic: Detecting and preventing distillation attacks
• BleepingComputer: US says Chinese firms extracted billions of tokens from frontier AI models
• Help Net Security: Chinese AI firms are siphoning capabilities from American models, CISA warns
• White House NSTM-4: Adversarial Distillation of American AI Models