技术深度剖析
针对Anthropic API基础设施的攻击，代表了知识蒸馏技术的一次高级应用。自Geoffrey Hinton 2015年那篇开创性论文以来，知识蒸馏一直是模型优化的基石。其常规工作方式是训练一个较小的“学生”模型来模仿较大“教师”模型的输出。而在本案中，攻击者颠覆了这一范式：他们并未使用合法的师生模型设置，而是将Anthropic的API视为一个神谕，系统性地对其进行探测，以提取出一个功能性的复制品。
此次攻击的规模——2880万次API调用——暗示了一条高度自动化的流水线。攻击者很可能部署了分布式僵尸网络或基于云的虚拟机来生成模仿正常用户行为的查询。每次调用都会返回包含模型logits、token概率或最终输出的响应。通过聚合这些响应，攻击者可以训练出一个逼近教师模型决策边界的替代模型。这对于像Anthropic的Claude这样依赖人类反馈强化学习（RLHF）来实现细致推理和安全对齐的模型尤其危险。替代模型虽然不完全相同，但可以继承教师模型的大部分能力，包括处理复杂推理任务、代码生成，甚至安全护栏的能力。
一个关键的技术细节是攻击如何规避了速率限制和异常检测。传统的API安全依赖于基于IP的速率限制、用户认证和简单的请求频率分析。然而，攻击者很可能轮换了IP地址，使用了住宅代理，并将查询分散到多个账户中，以保持隐蔽。2880万这个数字表明，这不是一次短暂的爆发，而是一场持续数周甚至数月的持久战。攻击者还可能采用了“查询多样化”策略——改变问题的措辞和上下文，以避免触发模式匹配过滤器。这类似于针对图像分类器的对抗性攻击，微小的扰动就能欺骗检测系统。
从工程角度来看，这次攻击突显了一个根本性的不对称：防御者必须防范所有可能的提取途径，而攻击者只需找到一条成功的路径。当前的API架构是为吞吐量和延迟而设计的，并非用于区分合法使用和系统性提取。这次攻击还引发了关于水印或响应指纹识别有效性的疑问。如果攻击者能够收集到足够多样化的响应，他们就可以平均掉或忽略掉那些细微的水印。
数据要点： 此次攻击的规模使此前已知的事件相形见绌。作为背景，一次典型的模型提取攻击可能涉及10,000到100,000次查询。2880万次意味着288倍的增幅，表明这是工业级的自动化攻击。
| 攻击类型 | 典型查询次数 | 检测难度 | 已知案例 |
|---|---|---|---|
| 学术模型提取 | 10,000–100,000 | 低 | Tramer等人 (2016) |
| 工业间谍 | 100,000–1,000,000 | 中 | 2021年特斯拉模型窃取案 |
| Anthropic-阿里巴巴事件 | 28,800,000 | 高 | 本案 |
关键参与者与案例研究
Anthropic 是主要的受害者和吹哨人。由前OpenAI研究员（包括Dario Amodei和Daniela Amodei）创立，Anthropic将自己定位为一家安全至上的AI公司。其Claude模型以其强大的对齐能力和推理能力而闻名，这使其成为蒸馏攻击的诱人目标。该公司在宪法AI和红队测试方面投入了大量资金，但这起事件暴露了其在运营安全方面的漏洞。
阿里巴巴 是被指控方。作为中国最大的电子商务和云计算公司，阿里巴巴拥有自己的AI研究部门，包括Qwen系列模型。这一指控表明，阿里巴巴可能试图通过逆向工程Anthropic的技术来缩短自身模型的开发周期。这并非没有先例：2023年，一家中国初创公司曾因蒸馏OpenAI的GPT-4来训练竞争模型而被抓。然而，此次攻击的规模要大得多。
AI安全领域的其他参与者包括提供API保护服务的Cloudflare和Akamai等公司，以及专注于机器学习特定安全的初创公司，如HiddenLayer和Protect AI。这一事件可能会提振对其服务的需求。在开源方面，IBM的Adversarial Robustness Toolbox (ART) 和CleverHans库已被用于防御性蒸馏和对抗性训练，但它们并非为实时API保护而设计。
| 公司 | 产品/服务 | 专注领域 | 融资/营收 |
|---|---|---|---|
| Anthropic | Claude API | 安全优先的大语言模型 | 融资76亿美元 |
| 阿里巴巴 | Qwen模型，阿里云 | 通用AI与云计算 | 2023年营收1300亿美元 |
| Cloudflare | API Shield, Bot Management | API安全与机器人管理 | 上市公司 |
| HiddenLayer | MLDR (机器学习检测与响应) | 机器学习安全 | 融资数千万美元 |
| Protect AI | Guardian, Recon | AI供应链安全 | 融资数千万美元 |