最強的蒸餾證據不在模型裡，在帳號裡

證明一顆模型是蒸餾 Anthropic 或 OpenAI 來的，聽起來像個技術問題。你大概會想像有人把兩顆模型拆開，逐層比對，找出那些對不上的地方。

從 2023 年 12 月的第一次公開指控算起，四年、十幾回合，這件事一次都沒有這樣發生過。

把 2023 年到現在每一次公開的蒸餾指控攤在桌上，會浮出一條乾淨得有點刺眼的分界線：凡是被拿走的東西是「權重」，指控方都拿得出外人可以自己重跑一遍的證據；凡是被拿走的東西是「輸出」，四年來沒有任何一次拿出過可複核的技術物證。 一次都沒有。這條線跟國籍無關、跟意識形態無關，只跟被偷的東西是什麼有關。

而蒸餾，定義上偷的就是輸出。（蒸餾本身是什麼、合不合法，我們有專篇寫過；這篇只問一件事：憑什麼說是蒸餾的。）

一份 87% 的錯誤重疊，跟一句「我們有資訊」

先看證據長得好的時候是什麼樣子。

2024 年 6 月，清華與面壁智能的團隊指控史丹佛一個學生團隊的 Llama3-V 抄了他們的 MiniCPM-Llama3-V 2.5。他們拿出的東西是這樣的：兩邊的模型結構與設定檔完全相同、只有變數名不一樣；tokenizer 相同，連 MiniCPM 新定義的特殊 token 都一模一樣；而真正釘死的一擊，是一份還沒公開發表的清華簡掃描資料集——那批圖是他們自己從出土文物掃描標註的，外面沒有人有。兩個模型在這份資料上的預測有 87% 相同，更關鍵的是，Llama3-V 錯了 236 題、MiniCPM 錯了 194 題，而錯在同一題上的有 182 題。

答對可以是巧合，錯得一模一樣不行。

然後他們做了一件更重要的事：把已經被下架的 Llama3-V 權重檔重新掛上自家的物件儲存，讓任何陌生人都能自己下載、自己跑一次差值比對。一名不相干的開發者照做了，發現兩份權重的差值標準差在幾乎所有層都落在同一個極窄區間，貼合一個高斯分布——那是「拿原檔加雜訊」才會有的形狀。史丹佛那邊的兩位作者公開道歉，模型從 Hugging Face 和 GitHub 撤下。

從指控到收案，六天。

現在看另一頭。2026 年 7 月 22 日，白宮科技政策辦公室主任 Michael Kratsios 說：「We have information that Moonshot AI distilled Anthropic’s Fable for the development of its K3 model.」前一天，財政部長 Scott Bessent 說在許多中國模型上看到「美國大型語言模型的浮水印」，制裁與實體清單「will be on the table」。

兩個人都沒有說那份 information 是什麼，也沒有說判定方法是什麼。Bessent 那句浮水印是整件事裡唯一一個原則上可以被獨立驗證的宣稱——只要說明是哪一種浮水印、用什麼方法偵測，外界就能檢查。財政部沒有說明。（七月那幾天的連署信與名單，我們昨天整理過。）

這不是兩種強弱不同的證據，是兩種不同性質的東西。一個是任何人都能重跑的實驗，一個是要你相信有人看過了。

而在「輸出被拿走」這一類裡，四年來最接近定案的一次，靠的也不是技術。2023 年 12 月，OpenAI 停掉了字節跳動的帳號——依據是記者手上的字節內部文件，顯示 OpenAI 的 API 在其基礎模型「Project Seed」幾乎每個開發階段都被用上，內部通訊裡甚至有人討論怎麼把痕跡「洗白」。字節的回應是部分承認：GPT 生成的資料曾被用於早期的標註工作，年中已從訓練資料中移除。

這是整份紀錄裡唯一一次被指控方承認用過對手的輸出。而它成立的原因是有人洩了內部文件，不是因為有人檢查了模型。那些文件從未公開，OpenAI 的調查結果也從未公布，Doubao 照常大規模出貨。

證據還會過期。2024 年 9 月的 Reflection 70B 是另一個例子：當時社群用行為測試抓到它的 API 疑似在轉包 Claude，包括「Claude」這個字串被過濾、以及只在第一段回覆裡做取代所留下的破綻。那些測試在當時任何人都能重跑。今天那個 API 沒了、事後說明的網址換了主人、驗證用的權重檔回 404。輸出這一類的證據，連保存都做不到。

帳號那一格是真的，只是它證的不是那件事

把話說公道：不是所有指控方都躲在「我們有資訊」後面。

2026 年 2 月 23 日 Anthropic 那篇公告，是這條線上公開程度最高的一次。它逐字寫出歸因憑什麼——「IP address correlation, request metadata, infrastructure indicators, and in some cases corroboration from industry partners」——並給了規模：約 24,000 個假帳號、超過 1,600 萬次交換，其中 MiniMax 超過 1,300 萬次、Moonshot 超過 340 萬次、DeepSeek 超過 15 萬次。它甚至描述了流量的形狀：巨量集中在少數領域、結構高度重複、內容剛好對應到訓練最有價值的部分。

這是紮實的鑑識工作。帳號串接、付款方式重疊、metadata 對上被指控公司資深員工的公開檔案——這在詐欺調查裡是標準做法，而且好用。

問題不在這份證據是不是編的。問題在它證的是「有人大量把我們的輸出抓走了」，不是「那些輸出進了那顆模型」。 這兩句話中間有一道縫，而帳號日誌永遠跨不過去，因為日誌記的是進來的請求，不是別人家的訓練流程。

Anthropic 自己的措辭其實承認了這件事。它說攔下 MiniMax 是「before MiniMax released the model it was training」——那是在描述一次被打斷的擷取行動，不是對一顆已出貨模型做出的鑑識判斷。它從頭到尾分析的是自家的入站流量，沒有主張自己檢查過任何一顆released 的競品模型。

還有兩個細節值得放在旁邊看。第一，政治論述整整兩年圍著 DeepSeek 打轉，但在這 1,600 萬次交換裡，DeepSeek 占不到 1%，幾乎沒被政治討論提過的 MiniMax 占了 87%。Anthropic 沒有解釋這個落差。第二，Anthropic 把帳號 metadata 對到「Moonshot 資深員工的公開檔案」與「DeepSeek 特定研究員」，然後歸因給機構——但公司指使與員工個人行為之間那一步，公告裡沒有交代。

至於 OpenAI，它的證據等級比 Anthropic 低一階。2026 年 2 月 12 日給眾議院中國問題特設委員會的那份備忘錄，是它最詳盡的一次表述，措辭卻是全程對沖：「our review indicates」「activities consistent with adversarial distillation」「users who appear to be attempting to distill our models」。沒有日誌、沒有帳號識別碼、沒有時間、沒有量。

而一個很多人以為存在、其實不存在的東西：OpenAI 2025 年 3 月給白宮科技政策辦公室的 AI Action Plan 意見書，經全文檢索，「distill」出現 0 次。那份文件提到 DeepSeek 八次，全部是國家補貼、國家控制、使用者隱私與資安的論證。2025 年 10 月那份 OSTP 意見書，DeepSeek 與 distillation 都是 0 次。這份常被當成「OpenAI 向政府提出蒸餾指控」的文件，一個字都沒寫。

那些數字的來歷，比數字本身重要

再往回走，這條線上被引用最多的幾個數字，來歷都比表面看起來曲折。

2026 年 6 月 10 日，Anthropic 致函參議院銀行委員會，指阿里巴巴相關的操作者在 4 月 22 日到 6 月 5 日之間，用將近 25,000 個假帳號跑了 2,880 萬次交換，目標是軟體工程與代理式推理能力。這個數字後來被大量轉述。

但那封信從來沒有公開過。所有「2,880 萬次／25,000 個帳號」的引用，最終都指向同一個源頭：Bloomberg 看過一份副本，再由其他媒體轉述。Anthropic 的發言人對細節「declined to discuss specifics」。也就是說，這個被當成事實流通的數字，外界能查到的最上游是「有記者看過」。阿里巴巴否認使用專有輸出，並在 7 月 10 日起於內部停用 Claude 相關產品。那封信我們六月寫過，當時就記下同一個缺口：信中如何把那批帳號歸因到阿里巴巴，方法並未完整公開。

再往前一年，2025 年 1 月的那一輪也是同樣的結構，只是更薄。OpenAI 當時給媒體的正式說法是：「We are aware of and reviewing indications that DeepSeek may have inappropriately distilled our models, and will share information as we know more.」一句話裡三個對沖——indications、reviewing、may have。而它承諾的 share information，此後沒有發生過。

同一批報導裡另一條被廣泛當成技術證據的，是微軟安全研究員在 2024 年秋天觀察到疑似與 DeepSeek 有關的人士經 API 大量外流資料。這條的原始句子值得逐字讀：researchers「believe may be linked to DeepSeek」——一句話裡疊了兩層不確定，而消息來源是匿名的，兩家公司當時都拒絕評論。

順序也值得記一下。白宮 AI 顧問 David Sacks 在 Fox News 說有「substantial evidence」，是 1 月 28 日；OpenAI 與 Bloomberg 的報導是 1 月 29 日。官員先講，公司後補，而且 substantial evidence 這個說法從頭到尾不是 OpenAI 用的字。

到了 2025 年 4 月，眾議院中國問題特設委員會的報告把蒸餾列為四項發現之一，措辭是「highly likely」。但翻開它的依據，是美國業者表達了高度信心——委員會轉述的是產業的自述，不是自己做的鑑識。唯一的準技術支撐，是 OpenAI 稱 DeepSeek 輸出裡的「推理結構與用語模式」與自己相似。

還有一個反方向的例子，特別值得台灣讀者記住。Google 威脅情報團隊 2026 年 2 月揭露針對 Gemini 的萃取行動，單一波超過 10 萬條 prompt，附上了攻擊 prompt 的原文——就技術揭露而言相當扎實。但 Google 一家公司都沒有點名，還明白寫著沒有觀察到國家級行為者直接攻擊前沿模型。後續有政策倡議的文章把這份揭露收編進「中國竊取美國 AI」的框架裡。從一份不點名的技術報告，到一句有國籍的指控，中間那一步不是 Google 走的。

七類手法，逐格看它擋在哪

把所有可能的舉證途徑攤開，會發現一個很不舒服的規律：能拿出強證據的方法，都需要只有原告或被告才有的存取權；而中立第三方真的跑得動的那幾種，它們自己的作者都不願意稱之為證據。

手法	證得了什麼	證不到什麼	資料在誰手上	真實指控用過嗎
帳號與流量鑑識	有人以規模化、規避封鎖的方式抓走輸出，可對到 IP、付款方式、員工檔案	那些輸出有沒有進到這顆模型	只有指控方	✅ 唯一真的用過的
行為指紋／流量分類器	API 流量裡的蒸餾樣態	同上；方法未公開，無法複核	只有指控方	✅ 自述
模型自報身分	幾乎什麼都證不到（偵測準確率實測 0%）	一切	任何人	❌ 只在輿論裡當證據
時間窗／能力推論	可用來反駁	無法證成任何指控	公開	✅ 但用在反方
成員推論／資料集推論	實驗室條件下有效	前沿規模 AUC 0.486–0.579；偽陽性率無法設限	需要「可證明未被訓練過」的驗證集	❌ 從未
浮水印放射性／canary	有效，且有真的 p 值	必須事前部署；可被低成本清除	部署浮水印的一方	❌ 從未
模型指紋／教師歸因	封閉候選集、小模型上有效	開放候選集＋前沿學生等於換了一個問題	需白箱或路由存取	❌ 從未
第三方獨立評測	能力	出處	公開	✅ 但答的是別的問題

幾格值得單獨講。

自報身分是死的。 一項針對 27 個模型的量測把它當偵測器來評分，準確率是 0%——同一份研究裡，MoE 專家簽章拿 94% 以上、風格特徵 88%，自報身分是零。理由不難懂：Gemini Pro 曾經用中文自稱「我是百度文心大模型」，而幾乎沒有人認為 Google 蒸餾了文心。DeepSeek V3 八次生成裡五次說自己是 ChatGPT，同一件事。2023 年之後的網路本來就浸滿了 AI 生成的文字，模型讀進去、複述出來，如此而已。這一格我們其實早就押過同樣的立場，只是換了場景：談 AI 寫作偵測器時我們寫過，偵測分數不是證據，是一個「要不要再看一眼」的提示。同一把尺拿來量蒸餾指控，結論不會變鬆。有趣的是，這個「網路污染」的說法在 2023 年被用來替 Grok 開脫並被接受了——而 xAI 真的做過蒸餾這件事，最後是三年後在法庭上證實的，不是靠那張截圖。

成員推論是很多人直覺會伸手去拿、但拿不動的那一格。 在前沿規模上，各種攻擊的 AUC 落在 0.486 到 0.579 之間，幾乎就是擲硬幣。文獻裡那些漂亮的 0.7 以上數字，來自「非成員取自訓練截止日之後」的設定——那測到的是語言隨時間變化，不是成員身分。更根本的問題在原理層：要說出一個偽陽性率，你得能對虛無假設抽樣，也就是要能拿到一顆「沒用這批資料訓練過的同款模型」。對前沿實驗室，這個東西不存在。沒有可抽樣的虛無假設，p 值就沒有意義——這不是方法還不夠好，是這條路本身沒有地基。

浮水印是唯一真的能給出court-grade 數字的一格，代價是它必須先知道。 在開放權重、而且原告留有紀錄的情境下，p 值可以低到 10 的負 30 次方。但這需要輸出在生成的當下就已經打上浮水印、金鑰還在手上。而且 2025 年一篇 ACL 主會論文顯示，蒸餾前的目標式改寫、或推論期的浮水印中和，可以把繼承來的浮水印「徹底清除」，中和的計算成本很低、幾乎不損失知識轉移效率。結論很尷尬：浮水印抓得到粗心的蒸餾者，抓不到謹慎的——而值得抓的那個，正是會做功課的那個。

至於能不能請外面的人來查——美國政府自己的評測機構已經回答過了。CAISI 在 2025 年 9 月 30 日那份 DeepSeek 評測報告的方法論一節裡寫著，本報告分析這些模型的效能、安全性與其他特性，「it does not investigate how these models were developed, the cost of their development, or the possibility that they were trained on distilled data」。而同一份報告載明，CAISI 從 Hugging Face 下載了 DeepSeek 的權重、部署在自己的伺服器上。握有完整白箱存取，一個出處主張都沒做。

這一段是全文唯一的但書，放在這裡一次講完。上面沒有一句在主張 Anthropic 那份證據是編的——帳號鑑識是真實可用的方法，描述的指標類別也站得住。這篇要說的是另一件事：那份證據無法被外部檢驗，而「可能是真的」跟「已經被驗過」是兩種不同的東西。同樣地，「查無公開紀錄」不等於「沒有發生」；下面每一處寫「截至 2026-07-27 未見公開紀錄」的地方，都是照字面意思，不是反話。

真正落地的處罰，理由欄從來沒寫過蒸餾

這條線最反直覺的事實，是後果與指控之間根本沒對上。

四年下來，蒸餾指控引發的實際動作只有兩種：停權，還有寫信給國會。再往上的每一階，都沒有人爬過。

後果	門檻	誰認定	能不能司法審查	證據要公開嗎
API 停權	供應商「reasonably believes or determines」	供應商自己	實務上無成功先例	不必
寫信給國會	一張信紙	自己	—	不必
實體清單加列	reasonable cause to believe, based on specific and articulable facts	跨部會委員會，加列多數決、除名須全體一致	《出口管制改革法》明文排除行政程序法審查	不公布
OFAC 制裁指定	各授權行政命令自訂	財政部	可，但標準極度尊重行政	不必
訴訟	要真的舉證	法院	是	會，而且能強制對方交出來

最後一列是唯一一個會逼雙方把東西攤開的機制，而它從來沒有被啟動過。截至 2026 年 7 月 27 日，未見任何一件以蒸餾為訴因的訴訟公開紀錄——不論在哪個司法管轄區、不論誰告誰。

不是沒有人想過。史丹佛法學院的 Mark Lemley 說得直接：OpenAI 那些條款「likely unenforceable」，因為在沒有一個能阻止競爭的智財權存在的情況下，法院一般不會執行「不准競爭」的約定。而且模型輸出的所有權，OpenAI 自己的條款是給使用者的。再加上一個尷尬的對稱性：如果 OpenAI 在《紐約時報》那案裡成功主張「拿別人的著作訓練是轉化性合理使用」，DeepSeek 可以把同一套邏輯原封不動搬過來用。

營業秘密那條路也有一道自己挖的坑。美國《保護營業秘密法》對「不正當手段」的定義，明文把「reverse engineering, independent derivation, or any other lawful means of acquisition」排除在外。而「付錢呼叫一個公開販售的 API、從它的回答裡學東西」，看起來非常像逆向工程——法律說那不是不正當手段。要繞開這一點，原告得先證明模型輸出構成營業秘密，可是那些輸出是賣給任何一個付費使用者的。這也是為什麼法律評論普遍認為，真要打，違約之訴比智財之訴實際得多——但違約之訴回答的是「你有沒有違反合約」，永遠不會回答「你到底有沒有拿去訓練」。

即使真的走到行政救濟那一關，門也是關著的。實體清單的加列由跨部會委員會決定，加列採多數決，除名與修改卻要全體一致——列上去比拿下來容易得多。而 2022 年華盛頓特區聯邦上訴法院在 Changji Esquel 一案裡確認：《出口管制改革法》把這項職能排除在行政程序法的司法審查之外，法院甚至「question whether regulatory violations can be the subject of ultra vires review」——連「行政機關違反自己的法規」能不能拿來訴請審查，都存疑。判決的結語是，原告丟了一記「Hail Mary pass」，沒有接到。

那些真的落地的政府動作呢？理由欄寫的都是別的東西。

美國「No DeepSeek on Government Devices Act」（H.R.1121，2025 年 2 月 7 日）全文檢索，「distill」0 次，「intellectual property」0 次。義大利個資監理機關 2025 年 1 月 30 日的限制令，理由是保護義大利使用者的個資。美國海軍的禁令講的是來源與使用的資安與倫理疑慮。

最能說明問題的是這一組配對：唯一被列入美國實體清單的中國前沿模型實驗室是智譜 AI，2025 年 1 月 16 日加列，理由逐字是「These entities advance the People’s Republic of China’s military modernization through the development and integration of advanced artificial intelligence research」——沒提蒸餾、沒提使用他家模型輸出、沒提智財。而智譜的旗艦權重是用 MIT 授權釋出的。

至於七月被指控的那幾家：截至 2026 年 7 月 27 日，Moonshot、DeepSeek、MiniMax、Qwen 在 OFAC 特別指定國民清單與商務部彙整篩查清單裡都是零筆命中，2026 全年沒有發布過任何一份實體清單加列規則。Bessent 自己的措辭是「will be on the table」——放在桌上，還沒拿起來。

兩個日期，跟一個沒人查對的「兩週」

回到七月那件事本身，有兩個時序問題。

第一個，Anthropic 那份 Moonshot 超過 340 萬次交換的數字，出自 2026 年 2 月 23 日的報告。而 Kratsios 指控的內容是「Moonshot 蒸餾 Fable 來做 K3」——依 Anthropic 自己的公告，Fable 5 是 2026 年 7 月 1 日 returns globally。已經公開的那份證據，在時序上不可能是 Fable 相關蒸餾的證據。白宮如果另有東西，沒有拿出來。

第二個更有意思，因為連反駁的一方也踩了。TechCrunch 訪問到的 Braden Hancock 說：「You can’t distill that much data, train a model, and release it in two weeks.」Moonshot 自己的 Randy Xian 也用同一個算法：「Fable went public on July 1 and K3 launched on July 15.」

但 Anthropic 官方公告的用字是 Fable 5「returns globally July 1」。returns，不是 launches。爭論的雙方都把恢復部署那天當成首次發布那天在算——在一場關於「證據要多嚴謹」的爭吵裡，兩邊都沒去查那個日期。（Fable 5 首次發布的確切日期，公開資訊彼此不一致，我們不在這裡替它定案。）

Hancock 的結論未必因此就錯。但支撐它的理由，跟他講的那個不是同一個。

誰會說這整篇問錯了問題

最強的反方是這樣講的，而且它有道理：舉證根本是錯的鏡頭。

停權從來就不需要證明什麼——那是合約，供應商「合理相信」就能動手。實體清單的門檻是「reasonable cause to believe」，本來就明文寫成一個低標準，而且是前瞻性的，不要求已完成的違規事實。這不是制度失靈，這是刻意的立法設計。拿法庭的尺去量行政動作，是搞錯了工具。

這一擊成立，我接受它。這篇不主張門檻應該多高，也不評價制裁該不該做——那是另一個題目，而且不是舉證方法學的題目。

但接受之後，結論反而更硬。把四件事疊起來看：門檻低（明文設計）、證據單邊持有（只有原告看得到）、司法審查被排除（《出口管制改革法》寫死了）、而模型端在原理上補不上這道縫（虛無假設不可抽樣）。這四件事加起來的結果是：這條線上不會產生任何一次可供外部檢驗的裁決。 不是還沒產生，是結構上不會。

這不是道德指控，是結構描述。而它有一個歷史對照可以量。在那之前先看一個更近的：七月那次 Hugging Face 遭入侵，調查方讀完一萬七千筆日誌、重建了時間線、盤完了憑證，仍然不知道對手用的是哪一顆模型；最後能對上兇手，只因為加害的那一方自己發了報告。而那還是入侵——受害方手上至少有日誌。蒸餾指控裡，不會有人舉手。

2011 年 2 月，Google 指控 Bing 抄它的搜尋結果，用的是這個領域史上最好的一次 canary 設計：種了約 100 條合成的無意義查詢，人工塞進不相干的結果，再讓約 20 名工程師用開著 Bing 工具列的瀏覽器去觸發。兩週後，誘餌開始出現在 Bing 上。

100 條裡中了 7 到 9 條。

微軟的回應是：我們確實把匿名點擊流當成上千個排序訊號之一，但「It’s not like we actually copy anything」。然後呢？沒有訴訟、沒有主管機關動作、沒有任何機構做出過判斷。史上最好的誘餌證據，換到一場公關對談。

同樣的形狀還可以再找到：Genius 在歌詞轉錄裡用直彎引號交替編出摩斯密碼「REDHANDED」，抓到 Google 搬走它的內容，2019 年提告——2020 年被駁回、2022 年二審維持，理由跟有沒有抄一點關係都沒有（Genius 不擁有歌詞著作權）。近乎決定性的浮水印，換到零救濟。

地圖業更早就把這件事寫進判決了：業者種在地圖裡的「陷阱街」本身不受著作權保護，因為把混在真事實裡的假事實當成虛構作品保護，會讓任何人都不敢複製真的事實。抄到你種的假資料，本身不構成侵權。

種誘餌很擅長製造公眾確信，很不擅長製造法律責任。這一點五十年沒變過。

而規則本身，各家自己都在改

還有一件事會讓「蒸餾等於偷」這個框架站不太穩：這個產業對蒸餾的規則，是各家各自寫、而且一直在反轉的。

• DeepSeek 自家的使用條款明文允許把輸入輸出用於「training other models (such as model distillation)」——被指控方是這張表裡最寬鬆的授權方。
• Google 禁止你蒸餾 Gemini，但 Gemma 的條款寫著「Outputs are not deemed Model Derivatives」「Google claims no rights in Outputs」。
• OpenAI 的服務協議禁止拿輸出去訓練競品模型，但它自己的 gpt-oss 開放權重是 Apache 2.0，允許蒸餾。
• Alibaba 舊版通義千問授權禁止拿輸出去改善任何其他大型語言模型；Qwen3 起改成 Apache 2.0，這條限制拿掉了——而它同時是 Anthropic 六月那封信的被指控方。
• Meta 從 Llama 2 的禁止，改成 Llama 3／4 的允許，條件只是模型命名要以 Llama 開頭。
• Anthropic 是唯一完全沒有開放權重釋出的主要實驗室，也是唯一在使用政策裡逐字寫出「model scraping」與「model distillation」的。它的主張純屬契約，而且單向。

蒸餾在這個產業不是異常行為，是一個授權條款問題。而條款會改。

有一份研究把這件事量得很不客氣。2025 年 1 月一組中國作者發表的量測，用兩個指標去估各家模型的「被蒸餾程度」，程式碼公開。結論是：知名的閉源與開源模型普遍呈現高蒸餾程度，例外只有 Claude、豆包與 Gemini——而 GPT-4o 自己的分數，跟被指控的那幾家在同一個量級。

這份研究比 OpenAI 那次公開指控還早了一週發表，方法公開、任何人都能重跑。四年來沒有任何一個指控方引用過它。原因不難猜：它把幾乎所有人都算進去了。（也要說清楚，它的指標之一正是自報身分，前面已經講過那一格是死的——所以這份研究能證明的其實也不是誰蒸餾了誰，而是這個產業裡「風格互相滲透」是常態。）

執法的落點也對不太上。史丹佛的 s1 論文在正文裡寫明從 Gemini Flash Thinking 的 API 蒸餾、把生成腳本公開上架，Google 沒有任何動作。Musk 在 2026 年 4 月 29 日的法庭上被問到 xAI 是否對 OpenAI 模型做過蒸餾，答「Partly」，還補了一句「Generally A.I. companies distill other A.I. companies」——OpenAI 對這段證詞不予置評。四年來唯一一次在正式紀錄上承認蒸餾的，是蒸餾方自己說的。

還沒有答案的是什麼

已知（有一手可查）	仍未知
Anthropic 公開了歸因所憑的指標類別與規模數字	沒有公開任何原始日誌、IP、帳號識別碼或樣本 prompt
DeepSeek 在該次行動中占不到 1%，MiniMax 占 87%	為何政治敘事的中心與流量的中心完全不重合
帳號 metadata 對上被指控公司員工的公開檔案	公司指使與員工個人行為之間那一步，沒有交代
眾議院特設委員會 2025 年 4 月稱蒸餾「highly likely」	該判定的基礎是轉述業者自述的高度信心，非獨立鑑識
各家 API 條款皆有可據以停權的條文	分類器的誤判率——沒有任何一家公開過
DeepSeek 2025 年 9 月在 Nature 的審查往來中否認刻意蒸餾、承認網路語料污染	Moonshot 與 MiniMax 至今未正面回應
截至 2026-07-27 未見以蒸餾為法律依據的加列、制裁或訴訟	這是「查無公開紀錄」，不是「沒有發生」

最該當面問一句的，是 Anthropic：為什麼被政治敘事釘了兩年的 DeepSeek，只占那 1,600 萬次交換的不到 1%？

下次看到指控，先問這三句

這件事對你不是國際新聞。你團隊拿 GPT 或 Claude 的輸出去微調自家小模型，踩的就是上面那幾條裡的同一條；而停權的觸發條件是供應商「合理相信」，不需要證明，也不必告訴你理由——Google 的條款甚至寫著要你自己開口問，它才會說明停權依據。上面那張表對你來說不是誰對誰錯，是你自己那個帳號的風險說明書。順帶一提，這也是中轉站灰市那條供應鏈的第四層買家在買的東西——想拿原廠輸出去訓練自家模型的人，繞過的正是這套帳號監控。

所以下次再看到「某家蒸餾了某家」，把這三句拿出來量：

1. 拿出來的是方法，還是物證？ 描述指標類別（Anthropic 那種）比一句「我們有資訊」強得多，但它還不是可複核的物證。
2. 那份資料在誰手上？ 如果答案是「只有指控方」，那麼無論它多有說服力，都不會有第三方能檢驗它。
3. 有沒有任何一個能調卷的機構看過？ 這是唯一會逼雙方把東西攤開的機制。

四年下來，第三個問題的答案一次都沒有變過。而第一個問題最好的一次答案——那份 87% 的錯誤重疊、那份沒公開的清華簡資料集——之所以成立，是因為被拿走的是權重，不是輸出。蒸餾偷的永遠是輸出。

這就是為什麼那份日誌那麼重要，也是為什麼它從來沒有離開過原告的大樓。