怎么看美国三部门关于蒸馏的联合公告

美国三部门针对蒸馏的网络安全联合公告，正式名称叫 Joint Cybersecurity Advisory，这种文件不罕见，实际上就是政府把它观察到的一些网络活动告诉企业：我们看到了什么、认为它可能构成什么风险，你们可以通过哪些线索去排查，以及可以采取哪些措施进行防御。比如今年7月和8月，美国国家安全局就连续发布过多份类似通报，涉及路由器攻击、Zimbra网络钓鱼、Gunra勒索软件、西门子工业控制设备，以及针对军事和关键基础设施的网络入侵等。

所以从形式上看，这个公告基本上还是一份安全预警和防御性文件，不是制裁和实际落地的限制措施。

但这类通报还有另外一层作用，就是收集线索。这次联合发文机构里有FBI，而且公告明确提出，如果企业认为自己或者其他人成为了相关蒸馏活动的受害者，可以向FBI的互联网犯罪投诉中心，也就是IC3，提交投诉。

FBI的介入还是一个值得关注的信号，这个部门的参与本身并不意味着已经启动刑事调查，因为FBI本来就经常参与网络安全联合通报。但这次公告大量使用了“未经授权访问”“规避安全措施”“隐藏身份”等网络安全语言，并把相关行为映射到攻击技术和战术框架。这给人感觉美国好像正在尝试把一部分蒸馏行为往网络攻击或者计算机犯罪的方向去审视。毕竟美国法律界此前已经有人讨论过，某些蒸馏行为有没有可能触及《计算机欺诈和滥用法》（CFAA）。

这里最相关的一条法律，是美国法典第18编第1030(a)(2)(C)条，这一条禁止故意未经授权、或者超越授权访问受保护计算机并取得信息。这条规定的一个特点，是它并不要求拿到的信息一定是商业秘密，也不要求行为人把计算机系统破坏掉。因此，即使相关模型输出是否构成商业秘密、是否满足商业秘密犯罪的其他要件仍存在争议，CFAA也可能提供一条不依赖于“取得的信息必须构成商业秘密”的独立法律路径。

但问题是什么叫“未经授权”？美国最高法院2021年的 Van Buren案 在这里划了一条很重要的界线。这个案子里，一个警察本来有权限查询车辆数据库，但他为了收钱替私人办事而进行了查询。最高法院认为，如果一个人本来就有权访问这些信息，仅仅因为后来把这些信息用于不被允许的目的，并不当然意味着他“超越授权访问”。

把这个逻辑放到模型蒸馏上，中间就有一个不小的gap。比如，一家公司正常注册了模型账户，也正常付了钱，API本身允许它提出问题并获得回答。后来它把这些回答拿去训练自己的竞争模型。即使模型公司的用户协议明确禁止这种用途，“违反禁止竞争性训练的合同条款”和“非法侵入计算机系统”说到底还是两回事。 单纯违反服务条款，通常还不足以自动变成CFAA意义上的计算机犯罪。

美国司法部现行的CFAA起诉政策也基本遵循这个思路：不能仅仅因为一个人违反了面向公众的网络服务条款，就把它作为CFAA刑事起诉；使用化名或者填写虚假注册资料，也不会自动让原本获得授权的访问变成“未经授权”。

但情况在服务商明确撤销访问权限之后可能发生变化。一个很典型的例子是 Facebook v. Power Ventures。Facebook已经明确要求Power Ventures停止访问，并采取了封锁IP等措施，但对方仍然继续接入。法院最终认为，在Facebook明确撤销授权之后继续访问，可以构成违反CFAA。Nosal II案也是类似逻辑。员工离职后自己的访问权限已经被撤销，却借用仍在职员工的账号和密码继续进入公司数据库，法院也认为这种行为触及了CFAA。

今年8月刚刚判决的 Amazon v. Perplexity 案进一步说明，仅仅证明平台已经明确表示“不允许访问”，可能是不够的。Amazon曾明确禁止Perplexity的Comet AI工具访问其网站，但第九巡回法院撤销了针对Perplexity的初步禁令。法院认为，按照当时的证据，Amazon还没能充分证明CFAA意义上实际“访问”Amazon计算机的是Perplexity，而不是使用Comet的用户。这个案件和蒸馏争议很有可比性：即使模型公司已经明确撤销授权，美方仍需要证明具体访问行为能够归因到被指控的中国企业。

Anthropic此前公开发出的警告，以及后来采取的账户封禁和技术封堵措施，是有法律意义的，至少它们有助于证明服务商已经明确表达“不再授权你访问”。但这距离指控某一家中国企业违反CFAA仍然有相当距离。美国政府还需要证明具体是谁实施了访问、使用了哪些账户和基础设施、企业和这些账户之间是什么关系、什么时候知道访问权限已经被撤销，以及撤权以后是否仍然继续访问。也就是说，归因仍然是非常关键的一环。

这也就说到了这份公告另一个很现实的目的——推动美国AI行业之间加强信息共享。

举个例子，一家公司如果想大规模调用美国模型，可能不会只走一个渠道。一部分请求直接通过模型公司的API，一部分通过AWS、Azure或者其他云平台，还有一些可能通过API聚合商或者第三方中转服务。每个渠道下面又可能分散成很多不同账户。这样一来，每家公司看到的其实都只是拼图的一部分。模型公司可能知道这些账户在问什么，却不一定知道背后的最终客户是谁；云平台可能知道账户、IP和付款关系，却未必知道这些请求是不是在系统性地收集某一种模型能力。

只有把这些信息拼在一起，才更容易判断不同账户和渠道背后是不是同一个行动，也才更容易完成归因。这也是为什么公告明确建议整个美国AI生态——包括模型公司、云服务商、API聚合商和基础设施提供商——加强有关疑似蒸馏活动的信息共享。它特别提到的IP地址、域名、第三方服务商、请求时间和调用量等指标，本质上都是为了帮助不同企业把这些零散线索关联起来。

Anthropic今年2月其实已经在这样做。它公开表示，已经把发现的部分技术指标与其他AI实验室、云服务商以及相关政府部门共享，而且部分归因结果也得到了行业伙伴的交叉验证。

信息共享还有另外一个作用，就是避免各家公司各自防守留下缺口。一家模型公司识别出某种异常账户或者调用模式以后，其他公司就可以迅速检查自己的系统里有没有类似活动。

而且这份公告提出了一种比较有意思的防御方式：对于高度确定属于恶意蒸馏的请求，服务商不一定只是简单封号，还可以降低实际提供的模型能力，比如减少推理深度、调整输出或者降低回答对于训练其他模型的价值。这反过来又让“识别准确”变得更加重要。因为如果判断错了，受到影响的可能就是正常付费的企业客户。

除了上面的考量，这份联合公告是不是在向中方威慑和施压？可能有这个意思。路透社9月4日已经报道，美方希望在筹备中的AI对话里提出蒸馏问题。几天后，美方三部门公开点名并将蒸馏归因到具体的中国企业，还特地在里面提到了“中国政府可能知情”（likely with Chinese government awareness）。至少客观效果上，这会提高蒸馏问题的政治层级，也增加中方在双边对话中回应这一问题的压力。

最近美国政府对蒸馏的公开表态呈现出一种看似矛盾、但逻辑上可以并存的双重叙事：一方面把蒸馏描述成“盗窃”、恶意活动甚至潜在网络安全问题，强化其行为性质的严重性；另一方面又不断淡化蒸馏对美国AI领先地位本身构成的战略威胁。

贝森特昨天在南卫理公会大学考克斯商学院有个炉边对话，专门就蒸馏问题说了一段。首先，他仍然把蒸馏直接等同于“盗窃”（The technical word for stealing and copying American AI models is “distillation”），但接着他话风一转，强调了蒸馏最多只能帮助中国追赶、降低追赶成本，却不能实现技术超越。他还举了个例子，说这就像你看着旁边同学的作业照抄一样，你的成绩永远不可能比被你抄的人更高；又或者这就像环法自行车赛中的“跟骑”（drafting）战术，你可以跟在领骑的人屁股后面借力滑行，但很难冲到前头去。

此外，贝森特还强调了美国明显的算力优势，声称美国到2028年将拥有全球80%的算力，中国大约也就能有15%，世界其他国家和地区加起来只有剩下的5%。美国这种算力规模，其他国家难以争锋。

这两点连起来，感觉基本上就是他对当前中美AI竞争形势的判断，或许也某种程度上代表了白宫目前的想法。

文章仅做学术探讨和研究交流使用，相关判断不代表任何公司或机构立场，也不构成任何法律、商业或投资建议。转载请注明出处。