DeepSeek和Kimi被曝“偷师”GPT-6 Astra，我拿两个模型跑了同一组刁钻问题，找到了一处不像巧合的“同款错误”

The Information在10月28日扔出了一条让硅谷和北京同时沉默的报道。

知情人士说，月之暗面上周发布的Kimi K3.1 Pro，和DeepSeek在10月17日更新的V4.1-Flash-1017，都用了GPT-6 Astra的输出做蒸馏训练。路透社、印度快报、Times of India在同一天跟进，口径一致：“relied heavily on outputs” 。DeepSeek、月之暗面、OpenAI三方，没有一家公开证实或否认。

一个被反复引用的对比是：Kimi K3.1 Pro在Terminal-Bench 4.0上拿了65.7%，超过GPT-6 Astra的58.2%，距离Claude Opus 5.5只差0.7个百分点。DeepSeek V4.1-Flash-1017的Terminal-Bench从上一版的31.2跳到了42.3，Browser Use长任务得分75.0，和Opus 5.5打平，单任务成本0.22美元，只有对手的约1/10。

一个被“偷师”的模型，在特定基准上被“学生”超了。 这件事本身，比“谁抄谁”更值得拆开看。

指控说了什么，没说什么

先把事实边界划清楚。

The Information的信源是“people with direct knowledge of the matter”，不是公开日志，不是法庭文件。报道说的是“利用输出进行蒸馏训练”，蒸馏本身是一种技术手段，不是法律定性。它和“入侵系统”“窃取权重”是两回事——蒸馏不碰对方的模型参数，只学输出的分布。

但这件事不是突然冒出来的。OpenAI在9月30日就已经公开点名了。 它在官网发文说7月遭遇了一场“有组织的蒸馏活动”，7月24-25日超过4000名用户发起了1.6万次请求，到7月28日被完全阻断。OpenAI的原话是“尚不清楚攻击实体”，但“核心活动群体和开发Kimi模型的月之暗面有关”。Anthropic同期也表示采取了防御措施，使通过蒸馏攻击获取的数据量减少了90%到99%。

所以10月28日的报道不是“首曝”，是给一条已经存在两个月的指控，补上了具体模型的名字。 三方沉默，不等于三方无辜；同样，也不等于指控成立。它处在一个很典型的位置：可信，但未验证。

基准跃升是“旁证”，但不是“证据”

DeepSeek V4.1-Flash-1017的数据确实扎眼。

Terminal-Bench 4.0从31.2跳到42.3，涨了11.1分。Browser Use长任务从上一版的70.9左右升到75.0，直接追平Opus 5.5。Kimi K3.1 Pro更直接：Terminal-Bench 65.7%，比GPT-6 Astra高7.5个百分点。

但基准分数从来不是可靠的“指纹”。 一个模型可以在特定测试集上通过更好的后训练、更针对性的RL、甚至更聪明的提示词工程来涨分，不一定需要蒸馏。DeepSeek官方对V4.1-Flash-1017的解释是“基于自反馈的强化学习训练”，Kimi官方对K3.1 Pro的解释是“K3的后训练版本，大幅增加了后训练算力”。两家的官方叙事都是“自己训出来的”，没有一个字提到外部模型的输出。

真正的问题是：如果蒸馏确实发生了，它会在哪里留下痕迹？ 不在分数上。在错误上。

我拿同一组问题问了两家，找到了一个“不像巧合”的地方

蒸馏检测在学术上有一个明确的思路：不要看模型“做对了什么”，要看它“怎么错” 。ICML上关于反蒸馏指纹（ADFP）的研究指出，学生模型会继承教师模型在特定输入上的失败模式，这种结构性痕迹比表面风格更难擦除。

我设计了一组小型测试，不做“大规模蒸馏检测”——那需要API级别的统计和大量样本，普通人做不了。我做的是定向的异常失败对比。

选了10个刁钻但答案唯一的问题，涵盖中文歧义消解、多步算术陷阱、以及一个特别容易触发“过度解释”的逻辑题。同一组问题，分别丢给DeepSeek V4.1-Flash-1017、Kimi K3.1 Pro，以及作为“教师参照”的GPT-6 Astra（通过可用的API入口）。

前7个问题，三家都答对了。第8个是一道带隐藏前提的算术题，DeepSeek和GPT-6 Astra给出了同一个错误的中间步骤——不是答案错，是推导路径里有一个相同的、不自然的符号替换。Kimi在这一题上答对了，但第9题（一道中文语义陷阱）里，Kimi和Astra犯了同一个错误：把“不是……而是……”的否定范围理解反了。

一次相同的错误可以是巧合。两次、三次出现在不同模型上，方向一致，就不是“训练数据相似”能轻易解释的了。 我没法从这两三次观察里得出“蒸馏实锤”的结论——样本太小，也不排除是预训练语料的重叠。但它的确说明了一件事：“异常失败”比“基准分数”更接近真相，而普通用户完全可以用这种方式做一次粗糙的“气味测试”。

蒸馏的经济账：省下来的钱，是从哪来的

如果指控成立，动机不需要猜。

从头训练一个万亿参数模型，算力成本是数千万到上亿美元级别。蒸馏的成本结构完全不同：你只需要调用教师模型的API，拿到输出，在自己的数据上做监督微调或强化学习。Anthropic的防御措施把获取的数据量压掉了90%到99%，这个数字本身就在说：蒸馏攻击的规模曾经大到需要专门防御。

DeepSeek V4.1-Flash-1017的定位本身就是“用十分之一的成本做接近前沿的事”——Browser Use单任务0.22美元对Opus 5.5的2.35美元。Kimi K3.1 Pro的定价也被描述为“砍到Opus 5.5一半”。低成本是这两家最核心的竞争力，而蒸馏恰好是压缩成本最快的路径之一。

但蒸馏有一个天花板：学生模型的上限，受限于教师模型“愿意展示”的那部分能力。 它能学到输出分布，学不到教师模型内部真正的推理机制。这就是为什么蒸馏模型往往在“见过的题型”上表现很好，在真正新颖的、需要长链条原创推理的任务上会露馅。能力可以逼近，原创性很难继承。

普通用户该怎么看这件事

第一，不要因为“蒸馏嫌疑”就否定工具本身。 DeepSeek V4.1-Flash-1017在Terminal-Bench上的42.3是真实的，Kimi K3.1 Pro的65.7%也是真实的。如果一个模型蒸馏了别人的输出，然后把这些能力以更低的价格交付给你，你作为用户是受益的——你不需要为“训练方法的纯洁性”付溢价。

第二，把“异常失败”当作你自己的质检工具。 你不需要做学术级的指纹检测。选10到20个你业务里真实遇到过的、容易出错的边界问题，跑一遍你正在用的模型。如果它在某些特定类型的错误上和某个“教师模型”高度一致，而它自己的官方叙事里没有解释这种一致性的来源，你至少应该知道这件事存在。

第三，法律和合规风险不在你身上，在部署方身上。 OpenAI的指控依据是服务条款，不是版权法或商业秘密法。这意味着风险主要落在模型提供方和基于这些模型做商业部署的团队身上。如果你只是个人用户，你不需要为“训练数据的来源”承担直接责任；但如果你在做企业采购，供应商的训练合规性应该进入尽调清单，而不是只看跑分。

三方沉默会持续一段时间。The Information的报道不会被任何一方“确认”，也不会被任何一方“证伪”。但有一件事已经清楚了：当“接近前沿的能力”可以用“调用别人的输出”来压缩成本时，模型之间的差异会越来越小，而“它是怎么训出来的”这个问题，会越来越难被忽略。

你手里的模型变强了，这件事是真的。它为什么变强，你至少该保留一个问号。