用戶以為在問 Kimi 答案由 Claude 寫

用戶以為在問 Kimi，答案由 Claude 寫

Anthropic 香港時間周五（11 日）凌晨發表一份 154 頁的威脅情報報告，指中國 AI 公司 Moonshot AI 把客戶的請求暗中轉送到 Claude，再把 Claude 的回覆當成自家 Kimi 模型的輸出，顯示給用戶。報告指這批用戶一直以為自己在用 Kimi。

報告披露，在其中一段為期 10 天的時間內，Moonshot 把接近 30 萬個客戶請求轉送到 Anthropic，絕大部分送往 Opus 模型。由於 Anthropic 不容許從中國境內存取其技術，Moonshot 動用了一個由 5,380 個虛假帳戶組成的代理網絡，當中大部分看似位於新加坡和日本。

五間實驗室，接近兩億次對話

Anthropic 表示，自今年 2 月首次披露以來，已偵測並阻止七間中國實驗室針對 Claude 的蒸餾攻擊，今次報告詳列其中五宗。蒸餾（distillation）本身是正當的訓練方法，用一個能力較強的模型的輸出去訓練另一個較小的模型；報告把有組織、隱蔽、靠虛假帳戶進行的版本稱為「非法蒸餾」。

Alibaba 那一宗是 Anthropic 形容它量度過規模最大的一次，高峰期每日近 300 萬次對話，目標是 Opus 4.6 和 4.7 的推理過程，用來訓練 Qwen 3.5、3.6 和 3.7。報告又指，Anthropic 封掉 Alibaba 第一批近 5,000 個虛假帳戶之後，對方隨即把流量轉去第二批；當中部分帳戶同時在替 DeepSeek 和 Xiaomi 送出請求，顯示這幾家公司用的是同一批代理服務網絡。

被轉走的不只是對話

Anthropic 指，Moonshot 轉走的用戶查詢夾雜了客戶的敏感資料，而公司不知道 Moonshot 有沒有告知客戶他們的請求正被轉往第三方。報告列出的個案，包括一名 Anthropic 評估相信與解放軍有關的用戶：該用戶用他以為是 Kimi 的介面，載入一個閉路電視資料庫的監控片段，要求分析一名被追蹤者的行為是否異常。片段來自成都數百個鏡頭，包括解放軍設施、中國電子科技集團旗下研究所，以及一間大型國有企業門外的鏡頭。

另一宗涉及一名大型國企工程師。他用 Kimi 建立內部系統期間，交出了多家中國大型科技公司的內部程式碼和有效憑證，而他無從得知自己用 Kimi 的內容正被轉送到 Claude。

DeepSeek 一方的個案同樣涉及第三方資料。報告指 DeepSeek 轉走過一名替俄羅斯國防部相關機構工作的 IT 人員的請求，內容暴露了一個俄羅斯政府資料庫的有效憑證；另一組是替中國某市公安局開發案件管理系統的工程師，他們造的工具會用市民的身份證號碼，把一個人的行蹤與警方紀錄比對。

一道技術防線被繞過

Claude 回覆時不會直接交出原始推理內容，而是回傳一個稱為 thinking signature 的參照，用意正是防止未經授權的蒸餾。報告指 Moonshot 和 DeepSeek 用同一招繞過：先保存這個參照，再另開一個對話，誘導 Claude 把參照還原成完整的推理內容。Anthropic 稱正在加強防禦。

報告另提到，Zhipu 曾嘗試針對 Anthropic 旗下 Fable 模型的網絡攻擊能力，但因為 Fable 的防護令攻擊效果轉差而放棄，之後改為針對 Opus 4.6 和另一間美國實驗室的模型，原因是他們評估那邊的防護較弱。

北京早前已否認美方同類指控

美國國家安全局、聯邦調查局與網絡安全和基礎設施安全局，在 9 月 8 日聯名發出網絡安全警示，指中國 AI 公司自 2024 年底起以工業規模蒸餾美國前沿模型。北京方面周三（9 日）回應該份警示時指有關指控毫無根據，形容是華盛頓打壓中國 AI 產業的做法。

翻查資料，OpenAI 自 2025 年初起已多次就蒸餾問題發聲，Google 今年亦發表過針對對抗式蒸餾的追蹤報告。今次是 Anthropic 首次指中國公司並非單純抽取模型輸出，而是把用戶直接轉接到 Claude。Moonshot、DeepSeek、Alibaba、Zhipu 及 Xiaomi 暫未就報告內容作出回應。

來源

• Detecting and countering misuse of AI: September 2026（Anthropic 報告原文）
• Moonshot, DeepSeek secretly routed user requests to Claude, Anthropic claims（南華早報）