美国三大安全机构，盯上中国AI蒸馏

9月9日，商务部发言人在回答记者提问时，强烈驳斥了美国所谓中国人工智能企业从事“工业规模”蒸馏美国模型的指控，强调相关指控“于事无凭、于法无据”。

商务部表示，模型蒸馏是全球人工智能企业普遍采用的中性技术手段，美国企业同样大量使用中国模型开展蒸馏；如果美方以打击蒸馏为名，采取措施遏压中国人工智能企业，中方必将予以反制。

商务部驳斥美方言论

商务部的回应，针对的是美国三个部门一天前发布的公告。9月8日，美国国家安全局、网络安全与基础设施安全局、联邦调查局联合发布网络安全公告，指责DeepSeek、月之暗面、阿里巴巴、MiniMax、阶跃星辰和智谱等中国人工智能企业，自2024年底以来对Claude、GPT、Gemini和Grok等美国前沿模型开展“工业规模”的蒸馏活动。

这三个部门认为，中国企业通过多个渠道获取模型输出，共用批量购买的高级账户，绕过地域和访问限制，以更低成本训练自己的模型。公告还声称，这些活动侵犯了美国企业的知识产权，并可能增强中国的军事和网络攻击能力。

事实上，关于中美企业相互蒸馏模型的讨论由来已久。过去，围绕模型输出能否用于训练、调用行为是否违反用户协议的争议，主要被视为企业之间的商业纠纷，相关法律边界也尚无统一定论。现在，美国三个安全和执法机构直接下场，把企业服务条款、模型商业利益与国家安全捆绑在一起，以国家安全的名义介入商业争议。

更重要的是，美国这场争论表面上围绕模型蒸馏，真正指向的却是另一个问题：在对华芯片和算力限制仍未能阻止中国AI快速发展的情况下，美国试图直接干预中国模型的发展，企图压制中国AI的追赶势头。

一场商业焦虑，被送进安全部门

美国企业真正紧张的，恐怕不只是模型蒸馏本身。

过去几年，美国头部大模型公司逐渐形成了一套清晰的商业逻辑：投入数百亿美元购买芯片、建设数据中心，训练性能最强的闭源模型，再通过高价会员订阅和API调用收费，把巨额投入包装成资本故事，并转化为持续收入。

在这套模式中，领先优势与高价格相互支撑，共同构成商业壁垒。只有模型明显更强，企业客户才愿意长期支付更高的Token费用；只有模型保持封闭，开发者才必须留在服务商的API和云平台里。

这套逻辑也被资本市场直接写进了估值。OpenAI已经秘密递交上市申请，目标估值最高达到1万亿美元；Claude背后的Anthropic，估值甚至达到2万亿美元。

Open AI与山姆奥特曼

我们可以粗略估算一下：假设市场成熟后，两家公司的净利率达到25%、市盈率达到30倍，那么要支撑这两档估值，两家公司的年收入分别需要达到约1330亿美元和2670亿美元，年净利润则要分别达到约333亿美元和667亿美元。

这意味着，两家公司不仅要把收入再扩大三到四倍，还必须从目前高投入、低毛利甚至亏损的状态，转变为利润率接近大型软件公司的企业。

资本显然不是按照成本—利润关系给出如此高的估值，它押注的是两家AI公司未来垄断“智能入口”的故事：当企业在写代码、分析数据和处理日常工作时都依赖这些模型，OpenAI和Anthropic便可以像云平台一样，持续按照Token收费。只要它们的闭源模型始终领先，这个资本故事就能一直成立。

但中国模型正在同时松动这两个支点。

斯坦福大学《2026年人工智能指数报告》称，中美顶尖模型的性能差距已经“实际上闭合”。截至今年3月，美国领先模型的优势只剩2.7%。同一份报告还显示，2025年美国私人AI投资达到2859亿美元，是中国124亿美元的23倍以上。也就是说，美国以远超中国的资本投入，换来的却只是与中国模型相差无几的能力。

更重要的是，中国企业正在把模型的使用价格压到很低的水平。DeepSeek今年将V4-Pro的API价格永久下调75%；阿里云国际站的Qwen3.8-Flash，每百万Token的输入和输出价格分别为0.15美元和0.47美元；智谱GLM-5.3-Flash首轮优惠结束后，标准价格也只有0.15美元和0.5美元。月之暗面Kimi K3的价格稍高，每百万Token的输入和输出价格分别为3美元和15美元，但仍明显低于同档美国闭源模型，并已采用开放权重模式，供开发者下载和修改。

中国企业的低价、高效切入，足以改变企业客户的计算方式：如果一个开放模型已经能够完成八成甚至九成的任务，成本却低得多，还能部署在企业自己的服务器上，那么剩下的一点性能差距，还值不值得用数倍价格去购买？

外媒在分析Kimi K3引发的市场波动时，就把问题指向了美国AI产业的投入逻辑：当市场上出现“更便宜、性能接近、还可以下载”的模型，投资者便会重新审视美国企业为芯片和数据中心投入的巨额资本，是否还能带来足够高的回报。

KIMI展台

这才是“蒸馏”指控背后真正的商业压力。

中国模型不只是在模型榜单上追赶，也在用低价和开放权重削弱闭源模型的溢价，让AI更接近普惠基础设施，而不是沦为少数企业和少数人的昂贵智能玩具。

美国头部实验室花重金建立的能力，如果很快变成全球开发者都能低成本调用、下载和二次开发的公共底座，受到冲击的就不只是一次API收入，而是闭源模型、云平台和开发者生态共同构成的护城河，以及建立在这道护城河之上的资本故事。

当美国企业无法再只靠产品性能和定价维持这道护城河，把竞争对手定义为安全威胁，就成了一种选择。

蒸馏不是中国企业发明的“偷师术”

即便暂且不谈背后的利益博弈，只看模型蒸馏技术本身，美国三个部门及相关企业的指控也站不住脚。

模型蒸馏大致可以分为传统蒸馏和黑盒蒸馏。无论哪种模式，都属于当下AI行业常见且有用的技术手段。

传统蒸馏可以理解为“大模型带小模型”。能力更强的教师模型先回答大量问题、生成推理过程或给出评分，再用这些结果训练体量更小、运行成本更低的学生模型。学生模型不需要复制教师模型的源代码和参数，也能学习其解题方式和输出规律。

黑盒蒸馏则是指学生模型无法看到教师模型的内部参数，只能通过API向其大量提问，再使用返回的答案训练自己的模型。美国此次指控的，正是这类做法。

即便退一步，按照美国所谓“黑盒蒸馏”的口径，这也不是中国企业独有的做法。

英伟达2025年发布Llama Nemotron Super 49B v1.5时，曾在技术博客中明确披露：该模型使用了超过2600万条合成数据，这些数据由阿里Qwen3 235B和DeepSeek-R1 671B生成，覆盖推理、代码、数学、对话和工具调用等任务。英伟达的Llama-Nemotron技术论文更直接把DeepSeek-R1称为“教师模型”，并把学习其推理轨迹的过程称为蒸馏。

英伟达黄仁勋

按照如今美国公告的宽泛叙事，美国企业使用中国开放模型生成数据，是正常的技术学习；中国企业调用美国模型学习能力，却可以被描述为“工业规模攻击”。差别不在技术本身，而在于美国是否愿意承认，其他国家同样拥有利用规则学习和追赶的权利。

有趣的是，这种扩大化的做法，连美国科技行业内部也不完全认同。

今年7月，微软官网公开了一封由英伟达、微软、Meta、IBM、OpenAI、Google等企业和机构共同签署的公开信。信中特别提出，政策制定者不应把合法的模型开发技术与侵占行为混为一谈。公开信承认，从闭源模型中非法获取商业价值的行为确实需要处理，但应当通过有针对性的法律和商业框架解决，而不是全面限制对AI创新具有重要作用的蒸馏技术。

这恰恰说明，争议的边界原本可以划得很清楚。

如果有人使用虚假身份开户、盗用支付方式或绕过技术限制，可以依据合同、反欺诈法律和数据规则逐案处理。但违反一家企业的服务条款，不会自动等同于窃取国家机密；正常使用模型输出开展研究，也不能仅仅因为使用者来自中国，就被预设为国家安全威胁。

美国安全机构现在做的，正是把这条原本可以逐案判断的边界，改写成面向中国企业的整体性风险判断。

从限制芯片，到限制“谁能学习”

商务部此次回应的核心，也正在于此。

美国三个部门在公告中提出的防御思路，包括加强用户身份验证、监控异常调用、识别多个账户之间的关联，并推动模型企业、云服务商与政府部门共享风险信息。单独看，每一项都可以被解释为平台风控；连在一起，却可能形成一套针对特定国家和企业的模型访问制度。

这套制度的关键，不只是限制谁能登录，而是改变模型输出的性质。原本，API是企业付费购买的信息服务；按照新的安全叙事，模型返回的答案也被视为一种需要控制流向的技术能力。平台审查的标准将不再只是某次调用是否违规，还包括用户来自哪里、隶属于哪家企业，以及这些输出未来可能被用于什么目的。

六家被点名的企业

这相当于把芯片出口管制中的“最终用户审查”，复制到了模型接口上。模型公司负责识别和封禁账户，云服务商负责追踪算力与支付来源，安全机构则汇总风险信息并提供政策依据。企业的服务条款由此不再只是商业合同，而可能成为管制模型能力出口的第一道规则。

过去，美国通过限制GPU和高带宽内存出口，压缩中国企业能够获得的算力；现在又试图通过账户审查、API封禁和跨平台追踪，控制模型输出能够流向哪里、被谁吸收。

前者控制的是生产智能所需的硬件，后者控制的是智能扩散和再生产的过程。背后的管理思路其实一以贯之：利用各种行政手段限制中国AI发展。

但模型能力毕竟不同于芯片。芯片可以被海关和出口许可截断，知识一旦转化为论文、代码、开放权重和合成数据，就会被不断复制和重新组合。美国收紧闭源模型访问，能够增加部分中国企业获取海外模型输出的成本，却难以阻止技术扩散，反而会加快中国企业摆脱美国API、转向国产模型和开放生态。

换言之，当芯片和算力限制已经无法阻止中国AI追赶，美国又把手伸向了模型接口。但美国封得住API，封不住技术扩散；最后被挡在中国AI生态之外的，反而可能是美国模型自己。