一场关于蒸馏的战争，第一枪打在美国人自己之间
Anthropic 想让监管把“非法蒸馏”摁死，Y Combinator 总裁 Garry Tan 的回应是：什么都别做。
9 月 10 日，Anthropic 发布了第二份威胁情报报告——《检测与反制 AI 滥用：2026 年 9 月》。报告的数据令人震惊：自 2025 年 12 月至 2026 年 8 月，Anthropic 识别并拦截了五起针对 Claude 模型的非法蒸馏攻击活动，涉及七家位于中国的实验室，总计约 2 亿次 API 交互。其中最大的一起——阿里巴巴的 Qwen 团队在 2026 年 5 月至 7 月间，通过约 3,500 个账号发起了超过 1.51 亿次蒸馏请求，峰值达到单日约 300 万次。
报告点名的另外四家包括 Moonshot AI（Kimi 的母公司）、DeepSeek、小米和智谱。Anthropic 称这些实验室使用隐藏身份、欺诈手段和盗取凭证的方式，定向提取 Claude 的智能体能力、工具使用、代码分析及逻辑推理能力，用于训练其自有模型——阿里巴巴的目标是 Qwen 3.5、3.6 和 3.7 系列。
这组数字的分量有多重？今年 2 月 Anthropic 首次公开发声时，涉及约 2.4 万个欺诈账户和 1,600 万次交互。8 个月后，这个数字翻了超过 12 倍。规模的跃升本身就是一个判断：蒸馏已经从“碰运气的小打小闹”升级为工业级操作。
两天前，美国网络安全和基础设施安全局（CISA）、联邦调查局（FBI）和国家安全局（NSA）已联合发布警告（AA26-251A），指控六家中国 AI 公司对美国大模型实施“工业级蒸馏”。Anthropic 的报告正是那份指控的证据支柱。Anthropic CEO Dario Amodei 此前已多次公开呼吁美国监管层对蒸馏采取打击措施——在他看来，这不只是版权问题，更是国家安全问题。
然而就在报告发布次日，一个意想不到的反对声音出现了。不是来自中国，不是来自开源社区边缘人物，而是来自美国创业生态最核心的喂养者——Y Combinator 总裁 Garry Tan。
“我会什么都不做”
在 CNBC 位于旧金山 YC 年度 Demo Day 的独家专访中，Tan 被问到美国应该如何回应中国实验室蒸馏美国大模型时，给出了一个让所有人都没想到的答案：“我什么都不会做。”（I would do nothing.）
然后他往前又走了一步：“我们可以争论，应该有一套美国自己的蒸馏机制。”
在随后对 TechCrunch 的补充采访中，Tan 进一步澄清了他的“美国蒸馏机制”是什么意思——不是允许任何人用盗取凭证或欺诈手段，而是让美国开源权重实验室可以光明正大地通过“正门”——合法授权——从前沿实验室蒸馏能力。
这一表态的直接对立面是谁？正是 Anthropic 及其 CEO Dario Amodei。Amodei 在 9 月 12 日发表了一篇名为《我们必须为前沿设速》（We Must Pace the Frontier）的长文，提出了一个三步走框架：在企业内部引入驻场第三方评估员、行业层面建立通用安全标准、最终实现国际协作。蒸馏限制被 Amodei 视为平行措施中的关键一环——在他看来，封堵非法蒸馏是维持美国 AI 领先地位的必要防线。
Tan 不是不知道这些。他是故意站在对面。
Tan 的两个论点，每一个都直击闭源实验室的软肋
论点一：API 输出的控制权本身就是越界
Tan 的第一个主张直指封闭模型实验室的核心商业模式——通过服务条款（ToS）限制用户能用 API 输出做什么。“控制用户和客户对闭源模型 API 调用结果能做什么，让人感觉窒息。”他对 CNBC 说。
在他看来，政府应该推动一件事正常化——“在广泛公开数据上训练出的智能，本身就应该是一种公共品，而不是被锁在限制性服务条款后面的东西。”
这个观点在商业逻辑上成立。一家公司通过 API 卖的是计算服务和模型能力输出，但如果同时又严格限制客户对输出内容的使用方式——特别是禁止客户用这些输出来训练其他模型——那等于在说“你付钱买了我的答案，但不能用我的答案来学习。”
这和对学术界的 fair use 原则形成了有趣的镜像：学术界引用他人成果是合理使用的基础，但大模型商业领域却被服务条款筑起了高墙。
论点二：闭源实验室自己也没问过授权
Tan 的第二个论点更狠，也更难反驳。他在 TechCrunch 采访中指出：那些现在反对蒸馏的专有实验室，当年训练自己的模型时“吸入了尽可能多的人类知识”——包括海量版权材料——同样没有征求任何人的许可。
这里 Tan 手里有一个重量级靶子：Anthropic 在 2026 年 7 月 20 日刚获批的 15 亿美元版权和解案，是美国历史上金额最大的版权和解案。联邦法官 Araceli Martínez-Olguín 批准了 Anthropic 向作者和出版商支付 15 亿美元，以解决 Anthropic 未经授权使用约 50 万部受版权保护的书籍（从 LibGen 和 PiLiMi 等盗版数据库下载）训练 Claude 的集体诉讼，每部作品赔偿约 3,000 美元。
逻辑链条是这样的：你在训练阶段没有取得授权就用全世界的数据，但在推理阶段却要求客户不能用自己的数据来学习你的输出。这是双重标准，还是在制定一套“只许州官放火”的规则？
Tan 没有直接说 Anthropic 是“州官”，但他的论据指向了同一个方向。
真正驱动 Tan 的不是蒸馏，是对垄断的恐惧
如果只看到 Tan 在“为中国的蒸馏行为辩护”，那就完全读错了。他在 CNBC 采访时说出了一个更根本的判断：“AI 的噩梦场景、末日场景，是最后只剩一家公司。它拥有最好的资本渠道，有最好的 AI 研究员，然后一骑绝尘，突然变成一家垄断一切的巨头。”
在 Tan 看来，开源权重正是制衡这种垄断的唯一砝码。“开源实验室在前沿，并且推动前沿。我们希望这件事是可融资的，是个好生意。但你必须让开源权重模型给人们自由和访问权。”
这段话必须放在 YC 的基因里读。YC 作为全球最成功的创业加速器，其存在的意义就是不断催生新的挑战者来颠覆既有巨头。从 Airbnb、Dropbox 到 Stripe，YC 的历史就是一部“小公司颠覆大公司”的历史。在 AI 时代，如果前沿 AI 能力被一到两家闭源实验室牢牢锁住，YC 生态中的创业者用什么来创业？
这是 Tan 的底线焦虑，而不是简单的“亲华”或“反监管”。
“正门”怎么开？Tan 没说清楚的问题
Tan 的“美国蒸馏机制”听起来漂亮，但落到政策层面，有几个关键问题回避了。
第一，如果美国实验室真的敞开“正门”，蒸馏出来的开源模型再被转手流到中国怎么办？“正门”是对谁开的？门后有没有墙？Tan 没有给出答案。
第二，Anthropic、OpenAI 这些闭源实验室凭什么要配合？如果客户合法调用 API 然后用来蒸馏竞品模型，这直接损害了闭源实验室的商业利益和技术护城河。支付合理的 license fee 可能是出路，但 Tan 丝毫没有提及价格或分配机制。
第三，区分“合法蒸馏”和“非法蒸馏”的成本谁来承担？Anthropic 的报告中特别提到，蒸馏攻击方已经发展出越来越复杂的规避手段——包括身份伪装、账户轮换、降级模型探测等。一个“正门”机制的建立需要检测和验证，而这笔开销算在谁头上？
这些问题 Tan 一个都没回答。这也是为什么“什么都别做”听起来洒脱——落到政策层面最为含糊。
三方博弈：Amodei、Tan 与白宫之间的张力
这场争论的时机不是巧合。美国政府——特别是 CISA、FBI 和 NSA——已经明确表态，将蒸馏视为国家安全问题。国会层面的立法讨论也在悄然推进。
Amodei 的立场是“限制”派：蒸馏必须被认定为非法行为，配合出口管制和芯片限售，形成一道完整的“美国 AI 领先”防线。他的三步走框架本质上是将安全、商业和国家安全打包成一个政策包。
Tan 的立场是“开放”派：与其花精力封堵，不如让美国的开源生态获得合法蒸馏能力，用市场竞争来倒逼闭源实验室创新。他的底层假设是：垄断才是真正的末日，而不是蒸馏。
白宫夹在中间。一方面，Anthropic 的威胁证据是具体的、可量化的（7 家实验室、2 亿次交互），这份报告还与情报机构的联合指控相互背书。另一方面，YC 代表的是整个美国创业生态——如果监管太严，受伤的不只是中国实验室，还有美国本土的创业公司和小型 AI 团队。
这是一个经典的监管困境：当你想同时保护创新和遏制对手时，同一个政策工具可能两边都打中。
更大的棋局：蒸馏争论背后是 AI 治理的路线之争
把视线拉远，这场蒸馏之争的本质远不止技术或商业。它是 AI 治理路线的根本分歧。
一方认为 AI 是“核武器级”的技术，必须集中在少数经过严格审查的实体手中，通过出口管制、许可证制度和技术封锁来确保安全领先。Amodei 站在这里。
另一方认为 AI 是“公共基础设施级”的技术，核心能力应该通过开源和竞争广泛分布，防止单一实体掌握过大的权力。Tan 站在这里。
这两种观点在一个层面上是一致的——双方都认为中国 AI 不应该通过不正当手段获取美国大模型能力。但在“怎么办”上截然相反：一个要锁门，一个要开更多的门。
这场争论的结果将深刻影响 AI 产业的未来十年，不只是在蒸馏问题上，而是在更根本的层面上——当一项技术同时具备“最有用的工具”和“最危险的武器”双重属性时，社会应该如何设计它的治理结构。
Amodei 要的是一把锁，Tan 要的是一扇门。而白宫正在决定，这道门到底应该开多大。
开对了，美国保持领先，开源生态繁荣。开错了，或者敌人进来了，或者自己人被锁在了门外。
快报