OpenAI披露并中断了一起自2026年7月起的协同式模型蒸馏行动，涉及超过1.5万名相关账号的尝试性请求。公司称未发生数据库入侵，已对涉事账号采取限制并加强对受保护推理的检测与防护，同时将部分核心集群与Moonshot AI有关联但保留归因不确定性。
OpenAI表示，公司近期识别并中断了一项试图提取其模型受保护推理内容的协同式模型蒸馏行动。公司称，相关活动最早可追溯至2026年7月1日，并在7月下旬扩大到由逾1.5万名用户组成的活动集群。
OpenAI在9月30日发布的官方安全披露中说，7月24日至25日，单一提取模式出现约1.6万次请求，涉及4000多名用户。进一步调查发现，相关提示模式已经扩散到一个更大的活动集群；OpenAI称，该集群已于7月28日前被完全中断。
公司强调，这些数字代表尝试性请求和活动范围，并不等于攻击者已经成功提取了同等数量的推理内容。
这不是一次数据库入侵
OpenAI称，相关操作并未破解加密、入侵数据库，也没有直接取得用户对话。攻击者采用的方式，是操纵模型之间的交互，使原本不应向请求者展示的推理内容，以可见形式被复现出来。
这类内容通常被称为受保护推理，指模型在生成最终答案之前用于处理任务的内部工作记录。模型供应商不公开完整推理过程，既是为了减少敏感信息泄露，也是为了保护模型能力和训练方法。若竞争者能够持续获得这类内容，就可能把它们作为训练数据，用于改进或复制另一个模型。
相关研究论文《Stealing Reasoning Traces from Proprietary LLM APIs》提出了一条更广泛的攻击路径。研究人员称，一些模型服务所返回的加密推理块，在不同会话、用户甚至模型之间具有可互换性；攻击者可以把一个模型产生的加密内容交给同一服务体系中的较弱模型，诱使后者将内容解密并以明文输出。论文还报告了跨模型提取、对话压缩漏洞，以及从公开代码库中恢复个人信息和凭据等风险。
OpenAI表示，公司调查确认了研究人员披露的跨模型和对话压缩相关攻击路径，并已采取补救措施。不过，论文作者的研究范围涉及Anthropic、OpenAI和Google等多个模型生态，不能简单理解为此次披露中的所有活动都由同一技术路径完成。
OpenAI将核心集群与Moonshot AI关联
在归因问题上，OpenAI的表述较为谨慎。公司说，无法确认观察期内的所有操作者都来自同一行为方，但将其中一个核心活动集群归因于与Moonshot AI有关联的人员。Moonshot AI是Kimi系列模型的开发者。
OpenAI没有表示月之暗面已经被政府或法院认定实施了相关行为，也没有把所有活动都归于Moonshot AI。公司使用的是“与相关人员有关联”的判断，并明确保留了归因不确定性。
这一区分很重要。模型蒸馏本身是合法且普遍的技术：模型开发者经常用能力更强的模型生成数据，再训练更小、更便宜的模型。争议集中在未经授权地大规模使用另一家公司的模型输出或受保护推理，为竞争模型提供训练材料。
月之暗面此前已通过开放权重和云端服务扩大Kimi的开发者覆盖范围。AIFlux此前报道的AWS Bedrock上线Kimi K3显示，Kimi K3已经进入面向企业的云端推理流程。但这一产品和部署背景本身，并不能证明其与OpenAI披露的活动存在因果关系。
这场争议为何扩大到行业层面
OpenAI称，相关活动不仅涉及提取推理内容，还反映出一种更广泛的“对抗式蒸馏”风险：攻击者利用大量账号、不同访问路径和自动化提示，集中获取某个模型最有价值的能力，再将结果用于训练、评测或改进其他系统。
类似担忧并非OpenAI独有。Anthropic在9月发布的相关披露中称，公司发现DeepSeek、Moonshot和MiniMax相关的工业规模蒸馏行动，合计产生超过1600万次与Claude的交互，涉及约2.4万个欺诈账号。Anthropic将这些行动描述为针对智能体推理、工具使用、编程和计算机操作等能力的集中提取。
两家公司的披露不能直接相加，也不能据此推断各项活动属于同一行动。它们提供的共同背景是，模型能力的竞争已经不只围绕公开基准测试和模型发布，也围绕如何获得高质量训练数据展开。对于闭源模型供应商而言，攻击者可以通过大量看似正常的请求，逐步重建模型的推理、工具使用和任务规划能力。
近期AI安全讨论中，类似风险也开始从“模型会不会拒答”转向“模型在工具环境中能够做什么”。例如，AIFlux对GLM-5.3网络安全能力评估的报道指出，隔离环境、工具权限和运行时边界，会直接影响对模型能力的判断。蒸馏行动则把同一问题放到了数据获取和模型复制的另一端。
OpenAI采取了哪些措施
OpenAI表示，公司已经对相关账号采取封禁或限制措施，并强化注册和基础设施控制，扩大了对相关网络的监测。公司还加强了跨用户、工作区、组织和模型家族的隐藏推理保护。
其中一项措施，是关闭一种允许攻击者重放他人加密推理内容、再恢复其内容的路径；公司同时增加了对可能暴露推理过程的流式输出进行检测和拦截的检查。对于经由第三方服务发起的活动，OpenAI称也与相关服务商合作识别并中断涉事账号。
OpenAI还表示，已经通过Frontier Model Forum以及适当的政府信息共享渠道分享相关发现。公司认为，支持可携带或可重放推理内容的系统可能面临类似风险，因此防御工作需要超越单一平台。
仍有几个问题没有答案
目前尚不清楚，OpenAI观察到的所有操作者分别来自哪些组织，也不清楚那些尝试请求中有多少最终产生了可用于训练的数据。OpenAI没有公布被提取内容的具体规模，也没有说明Moonshot AI方面是否承认或回应这一归因。
同样值得注意的是，OpenAI的披露没有声称用户数据库或用户对话被入侵。事件的核心是对模型交互和推理呈现方式的操纵，而不是传统意义上的数据库窃取。将其称为“模型能力提取”或“蒸馏行动”，比称为用户数据泄露更准确。
OpenAI预计，对抗式蒸馏会随着前沿模型能力提升而变得更加复杂。公司下一步将继续加强提取防护、协同活动识别、工具输出检测和行业间情报共享。对整个行业而言，真正的难题在于：如何在不阻断正常研究、评测和模型压缩的情况下，识别那些把正常调用伪装成大规模能力复制的活动。