1.9亿次偷梁换柱：国产大模型套壳蒸馏与跨洋泄密黑洞

成都军事设施周边的监控录像，被用户上传给了国产 AI。 几秒钟后，整段视频直接躺在了美国旧金山的服务器里。 没有黑客入侵，也没有系统漏洞。 是这家天天宣传自主可控的平台，自己把提问偷偷送过去的。 而且送过去的远不止这一段视频。 仅仅一个夏天，五家顶尖的国产 AI 机构，把用户的提问倒手给美国的 Claude。 整整倒了将近 1.9 亿次。

他们到底在干什么？ 既然天天宣传国产模型已经弯道超车。 为什么还要冒着封号的风险，把海量数据转包给大洋彼岸的竞争对手？ 这两个动作就是：白标套壳，还有能力蒸馏。

先看第一个动作。 许多用户以为自己在跟国产自研的大模型对话。 可真实情况是，国内平台的机房里甚至根本没有开机计算。 用户在前端输入问题。 后台脚本立刻伪装成海外普通用户，直接调用 Claude 的接口。 等美国的服务器吐出答案，再原样端回给国内用户。 这在业内叫白标套壳。 为什么要冒这么大风险？ 因为省钱。 高质量的实时长文本推理，对算力和显存的消耗极大。 面对高端算力芯片的出口管制，国内机房里的芯片储备根本经不起海量并发的消耗。 直接调用别人现成的模型，推理成本能降到几分之一。 响应速度飞快，对外还能维持技术强大的门面。

但这还只是做中间商赚差价。 更致命的是第二个动作：拿别人的脑子，给自己的模型灌顶。 在人工智能领域，这被称为蒸馏攻击。 像 GPT 4 或者 Claude 3.5 Sonnet 这样的前沿模型，真正拉开代差的秘密全在思维链里。 参数规模只要堆芯片就能堆出来。 但机器一步一步推导逻辑、拆解复杂问题、自我纠错的思考过程，花钱也买不来。 如果从零训练这种顶级推理能力，需要消耗几万张英伟达高端芯片。 烧掉数亿美元，反复试错好几年。 但如果直接抄别人的作业呢？ 只要设计好特定的提示词。 诱导 Claude 在给出答案的同时，把脑子里的草稿纸和推导逻辑一步一步全写出来。 把这些高质量的推导过程成百上千万次地抓取下来，打包成训练数据，再去喂自己的小模型。 别人花了几十亿美元摸索出来的思考路径，几天时间就能低成本克隆过来。

今年夏天，这套流水线的规模大到了什么地步？ 根据 Anthropic 在 2026 年 9 月发布的威胁情报报告，五家中国顶尖机构被抓了个正着：阿里巴巴、月之暗面、深度求索 DeepSeek、智谱 AI，还有小米。 其中动静最大的是阿里巴巴，代号 GTG 16005。 他们动用了 3500 个虚假账号，在 5 月到 7 月之间跟 Claude 进行了超过 1.51 亿次交互。 主要目的就是抽取思维链，用来训练旗下的通义千问 Qwen 模型。 早在 6 月份，Anthropic 政策主管萨拉·赫克在给美国国会的信中就披露过，光是 4 月下旬到 6 月初，阿里一家就发起了 2880 万次调用。 开发 Kimi 的月之暗面，代号 GTG 16002。 他们动用了 5380 个虚假账号，发起了 2300 万次调用。 DeepSeek 则在 7 月份短短 14 天里，把 1210 万次用户请求直接甩给了 Claude。 小米把用户跟自家 MiMo 模型的聊天记录录下来，打包送进 Claude 刷生成结果。

如果只是偷偷抄算法，顶多算是商业侵权和技术抄袭。 真正引发灾难的，是这套转包机制捅破的数据黑洞。 因为官方和企业天天宣传自主可控、安全合规，国内许多敏感单位对此深信不疑。 成都一名具有军方背景的用户，把成都市数百个监控摄像头的视频资料上传给了 Kimi。 这些摄像头覆盖了多处军事设施周边，该用户要求 AI 追踪并分析某个特定目标是否存在异常行为。 一家大型国企的工程师，为了让 AI 帮忙调试程序，把内部系统的源代码和线上登录密钥打包丢给了 Kimi。 一名俄罗斯军工承包商，也放心地把俄罗斯政府数据库的内部信息交给了 DeepSeek。 他们以为这些绝密数据严格锁在本土机房里。 可他们不知道，这些平台的自动化脚本根本不加甄别。 脚本的唯一任务，就是把所有收到的请求分发到海外账号池，推给美国的服务器。 美国情报和安全部门甚至不需要动用任何卫星或间谍。 旧金山机房的日志一拉，对方敏感军事设施周边的监控画面、国企的核心系统凭证、俄罗斯军工内网的数据，全被对方的明星 AI 公司亲手呈递了上来。

事情败露之后，Anthropic 联合美国网络安全和基础设施安全局 CISA、国家安全局 NSA 以及联邦调查局 FBI 发出了联合安全警告。 针对这套寄生链条，反制手段也很直接。 封禁成千上万个恶意代理账号。 强制压缩 Claude 输出的推理细节，不让思维链轻易外泄。 同时对来自未开放服务地区的 IP 启动严格的身份核验。

一边在发布会上高调宣布技术全面突围、数据主权牢不可破。 一边在暗地里动用几千个马甲，像偷电一样悄悄搭在竞争对手的主线上。 最荒唐的地方在于，那些最相信自主可控宏大叙事的人，反倒成了第一批被自己的平台送上裸奔舞台的人。 当一整套繁荣完全建立在对外部先进体系的隐蔽寄生之上，所谓的防火墙，究竟是在保护谁的安全？