前阵子AI圈流传出一份名单说某头部实验室通过追踪手段点名了7家中国AI公司的模型疑似存在“蒸馏”行为。这个消息在技术群里传得很快但大多数人争论的焦点都跑偏了——大家纠结的是“该不该骂”“丢不丢人”却很少有人真正讲清楚一个问题蒸馏到底从被蒸馏的模型身上拿走了什么如果你也想搞清楚这件事这篇文章适合你。我会从知识蒸馏的底层原理讲起用大白话拆解教师-学生框架、软标签、温度系数这些术语背后的逻辑再聊聊检测蒸馏的技术手段分析“被点名”是怎么被实锤的最后聊聊蒸馏的正面用法和反蒸馏的防护手段。整个过程我会尽量保持一个做技术的人该有的冷静不站队不带节奏只把事情说透。1. 这7家被点名的模型为什么让人又惊又疑先说清楚我掌握的信息边界。我并不知道那份名单里的7家具体是谁也不打算指名道姓。这种事在圈子里之所以能引起这么大动静并不是因为“中国公司”这个标签而是因为蒸馏行为一旦被实锤意味着一个模型公司可以只用几周时间、几万美元成本复刻出别人烧了几千万美元、几十万张GPU才训出来的能力。这听起来像“抢劫”但技术层面又没那么简单。蒸馏不是复制粘贴它不直接拷贝对方的代码也不偷对方的训练数据集它甚至不需要拿到对方的模型权重。它做的只是把大模型当作一个“回答问题的黑盒”疯狂向它提问然后把它的回答当成标准答案去训练一个更小的模型。这个过程有时被叫做“模仿学习”有时被叫“知识蒸馏”有时被叫“利用模型输出训练竞品模型”。同一个动作站在不同的立场上名字完全不同。那么问题来了为什么“向一个模型提问再用回答训练自己的模型”会被视为一种越界行为要理解这个争议得先知道蒸馏真正转移的是什么。它不是一段话、一套参数那么简单而是把对方模型在数万亿token上学到的隐式规律给吸收了。这就像你请一个名师给你讲了一个学期的课你记了他的全部笔记然后对外宣称这些知识都是你自己看书学来的。笔记本身不侵权但宣称来源的方式是行业争议的核心。更微妙的是蒸馏和人类学习之间的边界本来就模糊。一个学生读了一本优秀小说然后写出一篇风格相似的习作这是学习一个学生把小说逐字扫描进文档署上自己的名字这是抄袭。模型蒸馏恰好落在这两者之间——它既不是单纯的模仿也不是逐字复制而是一种统计层面的吸收。这种模糊性正是整个行业争论不休的根源。2. 蒸馏不是传功教师模型借出的是“读题笔记”不是内力2.1 教师-学生框架的真实含义知识蒸馏Knowledge Distillation最初是2015年左右由Hinton团队系统提出的核心结构就是“教师-学生”框架。教师模型通常是一个大而准的模型学生模型是一个小而快的模型。训练时学生模型不但看真实标签还要看教师模型在相同输入上的输出。很多文章喜欢把这种关系比喻成“师傅带徒弟”但这个比喻不够准确。师傅带徒弟师傅是主动教的而在蒸馏里教师模型从头到尾都不知道自己在教学生。它只是正常地预测输出学生则在旁边“偷听”。这更像你去旁听一位名师的课名师并没有专门为你备课但你通过他回答问题的风格、措辞、甚至犯错的模式领悟到了他处理问题的方式。所以蒸馏转移的表面上是“答案”实际上是教师模型的判断习惯。比如你问教师模型一个医学问题时它可能回答“可能是A但需要排除B建议做C检查”——这种带条件、带概率分布的回答方式比一个硬邦邦的答案“A”包含的信息量大得多。学生模型学的就是这种“思考方式”。2.2 软标签和温度系数教师模型“犹豫”才是精华为什么“真实标签”不够还要教师模型的输出因为在分类任务里真实标签就是一个one-hot向量一张猫的图片标签就是“猫”其他所有类别都是0。但教师模型会输出一个概率分布猫89%、狗7%、狮子3%、老虎1%。这个分布叫软标签soft label它包含了重要的信息——猫和狗之间的相似性、模型对这张图的不确定性。这些信息在硬标签里是完全丢失的。为了让软标签更“软”蒸馏引入了温度系数temperature, T。标准softmax输出是( q_i \frac{e^{z_i}}{\sum_j e^{z_j}} )加了温度后变成( q_i \frac{e^{z_i/T}}{\sum_j e^{z_j/T}} )。T越大分布越平滑类别之间的“粘连”越明显T通常取2到5太小没效果太大会把有用信息糊成一片噪音。这个“犹豫”信息才是蒸馏的核心资产。学生模型从教师那里学到的不只是“这个输入应该输出什么”还有“这个输入在多大程度上同时像好几个答案”。这种软知识很难通过人工标注获得因为标注员只会给你一个确定的答案不会告诉你他内心权衡的过程。也正因为软标签如此有价值很多蒸馏检测手段都盯着模型输出的概率分布做文章——如果两个毫不相关的模型对同一批输入的输出分布高度相似那就不太可能是巧合。2.3 黑盒蒸馏与白盒蒸馏隔着API照样能偷师按蒸馏过程中能拿到多少教师信息可以分成白盒和黑盒两种。白盒蒸馏你能直接拿到教师模型的权重可以在本地运行它。这种情况下你可以精确复现教师的logits还可以对齐中间层特征蒸馏效率最高。黑盒蒸馏API蒸馏你接触不到权重只能调用对方提供的API向它发送大量输入收集输出然后用这些输入输出对来微调自己的模型。现在很多被爆出的“蒸馏争议”指的都是这一类。半白盒介于两者之间——模型权重是开放下载的但没有训练日志和数据你想复现它的训练过程几乎不可能只能拿权重做推理再蒸馏。黑盒蒸馏在技术上有一种“看不见摸不着”的隐蔽性。你只把API当“标注工具”用每次调用都符合服务条款吗很多API服务条款明确禁止“利用输出训练与我们有竞争关系的模型”但在实际执行中检测难度很高。这也是为什么各家公司开始研究各种“指纹识别”技术后面会细说。2.4 算一笔账蒸馏为什么让中小团队很难说不假设你要从零训练一个130B参数的模型大概需要多少成本按照目前行业里的经验数据光预训练就需要数千张H100 GPU跑上几个月电费、机房、人力加在一起轻轻松松几千万美元打底。这还不算数据清洗、实验调参这些隐形开销。但如果你想“借力”训练一个70B甚至14B的模型成本会低几个数量级。你只需要调用大模型API生成几十万条高质量问答对再在开源底座模型上做几轮微调。所需计算资源可能只是预训练的几十分之一时间也从几个月缩短到几周。这种“时间差 成本差”的双重诱惑让很多初创公司在融资压力或产品交付压力下很难对蒸馏说“不”。这个成本结构才是这次“点名”事件背后真正的火药味。它不只是一场技术争议还是一场商业竞争逻辑的冲突如果所有人都可以通过蒸馏快速“追平”头部模型那头部公司几千万美元的训练投入就变成了为整个行业“做嫁衣”。3. “实锤”怎么来模型指纹、哨兵样本和token水印3.1 错误一致性比正确率更说明问题要判断一个模型是不是“师从”另一个模型只看正确率没有意义。两个模型都答对了同一道题证明不了什么关键是看它们答错的题是不是也一样错以及错的方式有多像。我做测试的时候遇到过类似场景。用两批不同的上下文问一个疑似蒸馏模型和它的“疑似教师”如果它们在完全相同的问题上、以完全相同的句式、甚至完全相同的错误细节去回答那基本可以断定两者之间发生了信息转移。因为语言模型的错误往往是“个性化的”——模型A可能习惯性地把“2023年世界杯冠军”答成阿根廷模型B可能答成法国如果两个模型都恰好犯同一个离谱错误那这个巧合的概率低到可以忽略。检测人员通常会用一批高质量测试集专门挑那些“模型最容易错、但错得很有辨识度”的样本。如果一个模型继承了另一个模型的错误模式那这种“错误指纹”就很难洗掉。3.2 哨兵样本专钓教师“独家反应”的陷阱题比分析错误更主动的检测方法是主动构造哨兵样本sentry samples。这些样本是特意设计的问题正常人不会问、正常模型也答不出统一答案。比如问一个毫无意义的问题“如果把‘蓝色星期二’切成薄片后放在雷暴里它更适合用来订书还是用来计算星辰数量”看起来是废话但教师模型会给出一个独特的、带有自身训练数据痕迹的答法。如果你发现另一个模型面对这种随机问题时给出了极其相似的“一本正经胡说八道”模式这就说明它可能见过教师模型的这种行为。哨兵样本的价值在于它们不是自然分布中的样本所以两个独立训练的模型碰巧答得一模一样的概率几乎为零。3.3 API的暗号temperature痕迹与token水印还有一类检测手段是从API调用的“副产物”里找线索。调用一个模型的API时服务商通常会暴露一些参数比如temperature、top_p、seed。如果一家公司重复调用同一API接口并且其本地模型的输出分布里明显带有某种固定的temperature痕迹就可以反推它是否用该API的输出做了training data。更有意思的是token水印。一些模型在生成长文本时会按照一套只有自己知道的算法在特定位置插入一些罕见但语义上冗余的token组合——有点像纸张里的防伪水印。普通用户根本察觉不到因为读起来完全通顺。但如果另一个模型在自己的输出里也频繁出现这套水印token那就等于直接在“犯罪现场”留下了签名。当然这些方法也有局限性。水印可以被过滤temperature痕迹可以被平滑错误一致性分析需要大量测试样本。检测与反检测本质上是一场猫鼠游戏。不过随着蒸馏争议越来越多这类取证技术也在快速成熟。3.4 服务条款与开源协议的边界在哪技术之外蒸馏越不越界还取决于“规则”。如果你是个人开发者下载一个开源模型并做蒸馏然后在自己的小项目里用这在很多开源许可证下是允许的但如果你是商业公司且使用的开源模型许可证是“仅限研究用途”或“非商业性使用”比如CC BY-NC、某些RAIL许可证那你的商业蒸馏行为就明显越界了。更常见的是API服务条款。OpenAI、Anthropic、Google等主流平台几乎都在服务条款里明确写了“不得利用输出训练与我们竞争的第三方模型”。这次“点名”如果属实大概率踩的就是这条线——它不是刑法意义上的偷窃而是民事层面的违约和违反平台规则。这也是为什么“被点名”不等于“被起诉”行业里更多是用舆论和封号来处置。4. 他们到底“偷走”了什么答案不止是模型能力4.1 偷走“训练结果”参数知识是一次性打包转移很多人以为蒸馏“偷”的是训练数据。其实不是。被蒸馏方最心疼的是那个训练结果——把数万亿token压缩成几千亿参数后形成的“隐含知识地图”。地图本身没法申请专利但它的价值远超任何一份具体数据。用一个不算太离谱的类比一家餐厅花五年研发出了一份独家的复合调味料配方另一位厨师靠“连续一年每天都来店里吃饭”用自己的舌头反向琢磨出了八成的配方。他没有偷食材没有偷菜谱但他确实偷走了餐厅的“研发成果”。模型蒸馏也类似——它通过观察输入输出的映射关系把对方花巨大代价学到的东西重新编码进了自己的参数里。4.2 偷走“时间差”研发周期被压缩成几周“偷走时间差”这件事在商业上可能比偷走能力更致命。头部模型公司烧了大半年时间和几亿美元训练出一个新模型本来指望靠这个“领先窗口期”抢占市场。但如果竞品在模型发布后两周就推出一个“缩水版”能力达到80%价格便宜90%那窗口期就等于被强行压缩没了。我记得圈子里有一个对比很扎心从零预训练一个高性能大模型研发周期以季度为单位而基于已发布模型的蒸馏微调周期以周为单位。这中间相差的就是那7家公司“偷走”的最核心的东西——别人用真金白银换来的时间。时间意味着市场份额、融资节奏、客户信任这是比算力更稀缺的资源。4.3 顺带继承的还有偏见和幻觉很多人忽略的一点是蒸馏不只是“偷能力”还会连对方的“病”一起偷过来。教师模型如果有政治偏见、性别歧视、语言倾向、幻觉模式这些特征都会通过软标签传递给学生。因为你学的是对方的“判断习惯”而不是“客观真理”。这就带来一个责任困境如果学生模型说了什么有伤害性的话那它该怪自己还是怪它的“教师”从技术上讲教师是主要来源从产品发布的角度讲发布学生模型的公司必须自己兜底。蒸馏并不能净化模型它最多只能让模型“更像教师”。如果你不想让模型继承某种偏见你只能在蒸馏前先用安全过滤等手段把教师模型的输出“洗”一遍但这会降低教师输出的保真度需要做一个权衡。4.4 对技术生态信任机制的损耗最后蒸馏争议对整个技术生态的信任机制也会产生影响。当一个社区里有足够多的“疑似蒸馏”事件被曝光开源平台会倾向于收紧模型发布策略不再公开完整权重、只提供API、或者在新模型发布后的数周内不开放权重下载。这会让合规的开发者更难做研究。我见过一些圈内人开始绕开“是否侵权”的争论直接谈一个更现实的问题如果所有人都靠蒸馏那谁来当那个“被蒸馏”的人大模型的研发成本极高如果头部公司发现自己的投入无法获得合理回报它们会减少公开研究的动力。长期来看这会让整个领域的基础创新变慢。这种损耗不是一个具体的损失数额能衡量的。5. 蒸馏本身是正派功夫合规蒸馏与反蒸馏防护5.1 合规蒸馏的四个正确姿势聊了这么多争议我还是想强调一个观点蒸馏是一项正当的、重要的技术。它不是天生“偷”的代名词关键在你怎么用。合规蒸馏的正确姿势我总结了四条自己训练教师模型用内部研发的模型当教师蒸馏完全合规还能把大模型压缩成小模型方便部署。使用许可证允许蒸馏的开源模型Apache 2.0、MIT等宽松许可证通常允许派生和再分发但你需要看清楚条款。记录并公开数据来源如果用了某个模型的输出来训练在模型卡model card里明确写出来而不是遮遮掩掩。透明度是避免信任危机最好的方式。明确商业边界如果要用API蒸馏务必先查阅服务条款。别等到被平台发律师函了才想起来看。5.2 最小可跑的蒸馏代码示例说一千道一万不如一个能跑的代码示例。下面是一个最简单的知识蒸馏训练过程适用于分类任务核心就是把教师模型的输出作为软标签与学生模型的输出算KL散度。import torch import torch.nn.functional as F def distillation_loss(student_logits, teacher_logits, labels, T4.0, alpha0.7): # 用温度T将两个模型的logits都软化 soft_student F.log_softmax(student_logits / T, dim-1) soft_teacher F.softmax(teacher_logits / T, dim-1) # KL散度学生去模仿教师的软标签分布 kd_loss F.kl_div(soft_student, soft_teacher, reductionbatchmean) * (T ** 2) # 同时保留真实标签的交叉熵避免学生完全被教师的偏见带偏 ce_loss F.cross_entropy(student_logits, labels) return alpha * ce_loss (1 - alpha) * kd_loss在LLM场景下蒸馏通常不是直接算logits而更像“数据生成”。流程是用大模型生成大量高质量指令问答对然后用这些问答对微调小模型。# 伪代码LLM蒸馏的常见套路 prompts load_prompts() # 准备一批高质量指令 teacher_model load_model(teacher) # 大模型教师 student_model load_model(student) # 小模型学生 training_pairs [] for p in prompts: response teacher_model.generate(p, temperature0.7, max_tokens512) training_pairs.append((p, response)) # 用生成的数据对学生模型做标准SFT train_loader make_dataloader(training_pairs) for batch in train_loader: loss student_model.sft_loss(batch) optimizer.step(loss)注意一个细节LLM蒸馏时temperature的选择会影响数据质量。temperature太低接近0输出太模式化学生的多样性会被压制太高输出会跑偏。我个人的经验是0.7左右是一个比较稳妥的区间。5.3 蒸馏 vs 微调 vs 从零训练如何选既然聊到实操很多人会困惑蒸馏、微调、从零训练什么时候用哪个。我用一张表帮你梳理。方案需要的数据量计算成本研发周期风险等级适用场景从零预训练数万亿token极高数月高不稳定头部公司、基座模型全量微调十万级指令对中等数周中领域模型、私有化部署蒸馏自家大模型百万级生成数据低到中数天到一周低服务端压缩、边缘部署蒸馏API数据十万到百万级低但可能违约数周法律风险高不推荐用于商业竞品LoRA等参数高效微调数千到数万指令低数天低快速尝鲜、小规模业务从这张表能看出来蒸馏本身不是问题问题在于教师来源是否合规。合规的蒸馏是效率极高的工程手段不合规的蒸馏是拿公司的未来去赌一把。5.4 防止自己被蒸馏的工程手段如果你是模型开发者不想让自己辛辛苦苦训练的成果被别人薅走市面上已经有一些可以参考的防护思路输出水印token watermark在解码阶段按既定规则嵌入特殊token组合分布尽量均匀、人类不可察觉但可以被自动检测。这是目前性价比最高的一种。检测API调用模式对单一账号的高频调用、异常的数据分布、重复相似请求进行限流和告警。很多被曝出的蒸馏案例实际上是因为调用太频繁、太有规律而暴露的。对输出做动态扰动在API推理时给logits加微小的随机扰动让模型输出保持自然但蒸馏得到的软标签模糊化从而降低蒸馏质量。这个方法会轻微影响真实用户体验需要谨慎权衡。协议先行发布模型时选择合适的许可证并在service条款里明确禁止用输出训练竞品模型。虽然防不了“铁了心违规”的人但至少能让合规开发者在法律和舆论上有据可依。我自己在一次内部讨论中听到一个观点觉得很有启发与其把精力花在“怎么检测别人蒸馏我”上不如把精力花在“怎么让我的模型更新速度远超蒸馏的复制速度”上。蒸馏再快也需要时间赶上如果头部模型每季度一次大版本迭代蒸馏方的“偷师供应链”会始终处于落后状态。这算是技术竞争的降维思路。最后再分享一点个人心得。做AI这行见多了技术被滥用、被误解、被污名化的过程。“蒸馏”这个词本来是一篇论文里的中性术语如今在大众舆论里快变成“作弊”的同义词了挺可惜的。我觉得真正重要的不是讨论“谁蒸馏了谁”而是建立一套能兼顾创新激励和技术流通的规则。如果规则永远是“先跑再说”那下一次被点名的可能就不是7家公司了而是整个开源社区共同承担后果。希望这篇文章能帮你看懂蒸馏这件事的底层逻辑以后再看到类似的瓜能吃得明白一点。