蒸馏战争——当最好用的编程工具变成最危险的污染源

在 AI 行业，最深的恐惧不是对手比你强，而是你说不清自己的能力是自己长出来的，还是"喝"别人家的输出喝出来的。

2026 年最荒诞的一幕发生在 Meta 内部：一群正在自研 AI 编程助手的工程师，被公司勒令限制使用市面上最好用的两个 AI 编程工具——Anthropic 的 Claude Code 和 OpenAI 的 Codex。

不是因为太贵，不是因为不好用。恰恰相反——是因为它们太好用了，好用到 Meta 害怕这两个工具的输出会"不小心"渗进自家模型的训练数据里，构成一种谁也说不清的罪名：无意识蒸馏。

同一个夏天，Anthropic 把一封信递进了美国参议院，指控阿里巴巴用 2.5 万个虚假账户、2880 万次交互"收割"Claude 的能力；阿里随即在内部全面禁用 Claude 全系产品；马斯克在法庭上被问到 xAI 是否蒸馏过 OpenAI 的模型时，给出了一个载入史册的回答："Partially yes"。

写代码这件事，第一次有了"训练数据主权"问题。AI 编程工具，第一次从生产力神器变成了大厂互相提防的污染源。

蒸馏战争，全面开打。

一、Meta 的禁令：一份写满恐惧的备忘录

先看这份禁令本身，它的细节比结论更有信息量。

据 The Information 获取的内部文件，这份指南自 2026 年 5 月起生效，针对 Meta 的 Applied AI 工程部门——恰好是负责自研编程助手 MetaCode（前身叫 DevMate）的那批人。指南没有一刀切禁用，而是画了几条精确到令人心惊的红线：

• 不得使用外部 AI 模型的输出来创建用于测试自家模型的编程挑战题；

• 不得让外部 AI 基于源代码分析寻找漏洞、生成任务想法；

• 不得将任何 AI 生成的材料放入内部模型可访问的基础设施容器中；

• 可以用它们干杂活：搭工作流、整理代码文件、构建测试基础设施——但所有产出必须经人工审核，部分场景需要先打报告审批。

翻译一下：Claude 和 Codex 可以当勤杂工，但不能靠近考场。因为训练和评估 MetaCode 的"考题"，必须百分之百由人类出——一旦考题本身是竞品模型生成的，MetaCode 学到的就不是编程，而是 Claude 的"解题风格"。

备忘录里最重的一句话是：如果竞品输出混入 Meta 的训练数据，将引发"与合作方的严重升级"（serious escalations with partner companies）。这不是技术警告，是法律警告——OpenAI、Anthropic、Google 的服务条款都白纸黑字禁止用模型输出构建竞争性系统。

Meta 的恐惧至少有四层：

第一层是合同风险。 一旦被证实用了 Claude 的输出训练 MetaCode，等着 Meta 的是诉讼和天价赔偿。

第二层是能力溯源。 这是蒸馏的终极恐惧：如果工程师一边花着 Meta 的预算开发 MetaCode，一边靠 Claude Code 完成关键工作，那 MetaCode 的能力到底是"自己长出来的"还是"借来的"？当一家公司无法向投资者证明自己的 AI 能力完全归功于自己的研发时，动摇的不只是法务，是估值。

第三层是成本。 Meta 内部 AI 使用量正指数级膨胀，2026 年仅内部 AI 使用一项就要花掉数十亿美元。

第四层是数据主权。 工程师每用 Claude Code 调试一次训练脚本，Meta 的专有代码就流经一次 Anthropic 的服务器。对一家把 AI 当命脉的公司，这是一条不能容忍的泄露管道。

最讽刺的细节是：Meta 一边"去 Claude 化"，一边还在用 Claude 和 Codex 帮忙搭建 MetaCode 本身。戒断反应，比禁令本身更真实。

二、2880 万次对话：一封递进国会的举报信

如果说 Meta 的禁令是防守，那 Anthropic 在 6 月的动作就是进攻——而且跳过了所有商业和司法程序，直接打到了美国国会。

6 月 10 日，Anthropic 致信参议院银行委员会主席 Tim Scott 和资深成员 Elizabeth Warren，指控阿里巴巴通义千问实验室在 4 月 22 日至 6 月 5 日的 44 天里，通过约 2.5 万个虚假账户，与 Claude 完成了 2880 万次交互——平均每天 65 万次，每秒 7.6 次，不眠不休。

Anthropic 的措辞毫不含糊："以工业规模被非法、系统地实施，目的是收割美国先进人工智能能力，并重新包装成自己的成果"——这是该公司"迄今遭遇的最大规模蒸馏攻击"。信中称这些账户使用混淆技术和代理网络绕过地区限制，定向提取 Claude 在软件工程、智能体推理、长时程任务上的能力，目标直指旗舰模型 Mythos Preview。Anthropic 还算了笔账：对方只花了几百万美元的 API 调用成本，就想复刻数十亿美元研发出来的核心能力。

后续连锁反应又快又狠：

• 消息曝光当天，阿里巴巴港股盘中一度重挫 5%，创 52 周新低；

• 6 月底至 7 月初，Anthropic 对中国用户启动大规模封号，大量个人和团队付费账户无预警封禁、不予退款，杭州成为重灾区；

• 7 月 3 日，阿里内部下发通知，全面禁用 Claude 全系产品。

而这已经是 Anthropic 今年第二次向国会告状——2 月它刚用同样的方式点名 DeepSeek、月之暗面、MiniMax 三家中国公司，总计约 2.4 万个虚假账户、1600 万次以上交互。

时间点也很微妙：Anthropic 刚提交 IPO 文件冲刺高估值，与美国国防部的合作在 2 月底破裂，而 DeepSeek V4、Qwen3.7-Max 的编程能力持续逼近、API 价格只有 Claude 的零头。这封信到底是安全举报，还是估值保卫战，取决于你坐在哪一边。

三、贼喊捉贼：没有一双手是干净的

这场战争最精彩的部分，是没有任何一方能站上道德高地。

Anthropic 自己的"原始积累"就不干净。 2025 年 9 月，它以 15 亿美元和解了美国史上最大规模的 AI 版权诉讼——法院查实其从盗版网站下载了超过 700 万本图书训练 Claude。2026 年 1 月，音乐出版商又起诉它非法抓取 2 万首版权歌曲，索赔 30 亿美元。此前 Reddit 也起诉过它爬取平台帖子。

于是当 Anthropic 高喊"知识产权盗窃"时，马斯克的嘲讽获得了病毒式传播："Anthropic 犯有大规模窃取训练数据的罪行，并且已经为其盗窃行为支付了数十亿美元的和解金。这只是一个事实。"有网友回怼：Grok 的训练数据不也是偷的？马斯克的回答堪称行为艺术："是啊，但我们不会像 Anthropic 那样对此表现得极度自鸣得意、伪善又虚伪。"

更大的乌龙在 5 月就埋下了。 Claude Opus 4.8 上线后，多名开发者通过 API 测试发现，这个模型在回答"你是谁"时，会自称"通义千问"或"DeepSeek"。行业普遍推测：Anthropic 自己的训练数据里，混入了中国开源模型的输出。

品一品这个循环：Anthropic 指控阿里蒸馏 Claude 的同时，Claude 的肚子里可能正消化着 Qwen 的输出。在 2026 年的互联网上，AI 生成内容已经无处不在，每个模型都在或多或少地"喝"别的模型排出的水。蒸馏早已不是单向的偷窃，而是整个行业的循环系统。

Meta 的双重标准同样刺眼。 它以"开源旗手"自居，鼓励全世界拿 Llama 做任何事——包括蒸馏式微调。当外部开发者用 Llama 蒸馏 GPT-4 的能力时，Meta 是受益者；当自己的工程师可能"不小心"蒸馏了 Claude 时，Meta 立刻切换成最保守的封闭模式。开源是进攻的武器，封闭是防守的盾牌——所谓"开放 AI"的真实商业逻辑，从来如此。

别忘了，蒸馏本身是一项由 Geoffrey Hinton 在 2015 年提出的正经技术，是行业通用的模型优化手段——Anthropic 自己的官方博客都承认，前沿实验室都会定期蒸馏自家模型做迭代。AI2 研究员 Nathan Lambert 说得最清楚：这次事件真正的问题是虚假账号滥用规则，而不是蒸馏技术违规。科技博主 Evrim Kanbur 则补刀：逆向工程、基准测试、研究竞对，从来都是科技行业的常规操作——怎么通义千问在软件工程基准上领先之后，同样的行为就成了"恶意攻击"？

四、为什么战场偏偏是编程工具

这场战争有个值得深挖的细节：冲突集中爆发在 AI 编程领域，而不是聊天、写作或图像。Meta 禁的是 Claude Code 和 Codex，Anthropic 指控被"收割"的是软件工程和智能体推理能力。为什么？

第一，代码是当前 AI 能力的皇冠。 2026 年，编程能力就是模型综合智能的代名词——它同时考验推理、规划、工具使用和长程任务执行。SWE-bench 分数直接决定 API 定价权。谁的编程能力被蒸馏走了，谁的商业护城河就被抽干了。

第二，编程场景的交互天然就是最优质的蒸馏数据。 一次 Claude Code 会话包含完整的任务分解、架构决策、调试过程、错误恢复——这正是训练 Agent 模型最稀缺的"过程数据"。聊天记录蒸馏出来的是语气，编程记录蒸馏出来的是思维链。2880 万次交互定向瞄准"软件工程、智能体推理、长时程任务"，不是随机采样，是精准开采。

第三，编程工具深入企业腹地。 聊天机器人接触的是员工的问题，编程工具接触的是公司的代码库、架构文档和工程决策。数据流是双向的：你在蒸馏它的能力，它也在见证你的机密。Meta 的禁令与其说是怕"蒸馏进来"，不如说也怕"泄露出去"。

于是一个悖论成立了：AI 编程工具越强大，大厂越不敢用。 能力与信任第一次成了反比关系。

五、封锁的代价：所有人都退回自己的井里

把三条战线放在一起看，一个新秩序的轮廓已经清晰：

• Meta 工程师不能痛快地用 Claude Code 和 Codex；

• 阿里员工全面禁用 Claude；

• Anthropic 封掉了成千上万中国用户的账号，连付费的也不退款；

• OpenAI 的备忘录躺在众议院中国特设委员会的案头；

• 每家公司都在自研"绝对干净"的内部工具——Meta 有 MetaCode，各家都有各家的"数字自留地"。

这像极了另一个我们熟悉的故事：冷战时期的技术封锁。只不过这次封锁的不是芯片和机床，是模型的输出——是"智能"本身。

接下来的剧本不难预测。短期，Google、微软、Amazon 的合规团队没有理由不跟进 Meta 式的内部禁令；中期，"空气间隙"（air-gapped）的本地部署编程工具会迎来需求爆发——买家要的不再是最聪明的模型，而是数据残留可控的模型；长期，蒸馏会像互联网早期的盗版一样，在技术检测与法律威慑的动态博弈中找到某种平衡，但绝不会消失——因为它太便宜、太有效、太难证明了。

而真正的代价由谁承担？是效率本身。

Meta 工程师明知道 Claude Code 是市面上最好的工具，却要打报告才能用；中国开发者一夜之间失去了付费购买的服务；整个行业最优质的编程数据——那些真实的人机协作过程——被切割进一个个互不联通的合规孤岛。上一代程序员共享 Stack Overflow，这一代 AI 各自圈占护城河。知识的自由流动，曾经是软件业四十年狂奔的燃料，如今第一次被系统性地视为风险。

六、尾声：每一滴水都在寻找主人

Hinton 在 2015 年提出蒸馏时，把它描述为一种知识传递的优雅方法——大模型是老师，小模型是学生，知识像水一样从高处流向低处。

十一年后，这个温情的师生比喻变成了国会听证会上的"工业级攻击"、备忘录里的"严重升级"、法庭上的"Partially yes"。老师开始给知识上锁，学生开始伪造身份听课，而每个老师年轻时都曾翻墙进过别人的课堂——只是有人为此付了 15 亿美元学费，有人还在赃物上贴着"开源"的标签。

最黑色幽默的是：这个行业里的每一家公司，都是靠蒸馏人类的知识起家的。700 万本书、2 万首歌、十几万条 Reddit 帖子、整个开放互联网——人类从未收到过一封递交国会的道歉信。

如今他们互相指控对方偷窃，理直气壮的样子，仿佛那些能力真的是自己长出来的。

水喝进肚子里，就分不清来自哪条河了。但 2026 年的 AI 巨头们决定试一试——给每一滴水验 DNA，给每一行代码查户口。

祝他们好运。毕竟按这个标准，第一个需要被封号的，是他们自己。