Seed禁蒸馏把边界收紧

以前大家默认模型能被随便用，现在先把蒸馏边界收紧，才决定谁能碰能力。

我最近一直在盯一个很别扭的信号：大家嘴上都在聊开源、共享、生态，手上却越来越像在给模型能力上锁。以前很多团队默认一个思路，先把模型放出去，再看别人怎么用，能扩就扩，能抄就抄，反正先把声量做起来。可真到训练管线、产品接口、外部调用这些地方，事情就开始变味了。你会发现，模型一旦能被稳定复用，蒸馏、套壳、能力搬运几乎是必然发生的。问题不在于会不会发生，而在于你到底愿不愿意承认这件事，并提前把边界写清楚。

我读到这篇知乎文章时，第一反应不是又有新爆料，而是终于有人把这件事摊开讲了。来源是这篇 知乎专栏文章，标题直指“张一鸣禁止Seed蒸馏，开源模型也不放过”。文中提到，Anthropic此前曾指控多家中国AI公司通过大规模蒸馏违规提取Claude能力，但并未对字节跳动提出类似指控。这个细节很重要，因为它把讨论从谁更强拉回到谁在定义边界。

别再把蒸馏当成默认动作

Anthropic 此前曾指控多家中国AI公司，称这些企业通过大规模蒸馏，违规提取Claude的能力，再用来改进自己的模型。不过，Anthropic 并未对字节跳动提出类似指控。

翻译一下就是：蒸馏不再是一个默认被容忍的工程动作，而是一个需要被明确许可、明确限制、明确审计的行为。以前很多团队的潜台词是只要我没明说禁止，那就算可用。现在这套逻辑越来越站不住了。模型能力本身已经成了资产，资产就会被保护，保护方式不一定只是法律条款，也可能是访问策略、日志审计、调用频率限制，甚至是对外输出颗粒度的控制。

我自己在做模型接入时，最烦的就是这种默认开放的假象。接口看起来很友好，文档也写得漂亮，结果一旦有人开始批量采样、批量对齐、批量重放，整个系统的价值就被一点点抽干。你以为你在做集成，别人其实在做拆解。蒸馏最可怕的地方不是技术门槛低，而是它太像正常使用了。

怎么用到你自己的项目里？先别急着讨论能不能防住。先把哪些行为算蒸馏写进你的产品条款和技术策略里。比如高频相似提示、系统性批量查询、输出分布采样、自动化回放，这些都要进入风险名单。别等到数据被搬空了，才开始补一句未经许可不得训练。

• 把蒸馏定义成行为，而不是只定义成结果。
• 给高频、批量、自动化调用单独设限。
• 把审计日志和异常检测提前接上，不要事后补。

开源不等于放任外部再训练

这篇文章最容易让人误读的地方，是“开源模型也不放过”这句话。很多人看到开源两个字，脑子里就自动切换成既然开了，那就随便用。可实际做过模型的人都知道，开源只是分发方式，不是放弃边界。你可以开权重、开代码、开评测，但不代表你愿意让别人把你的输出拿去做二次能力提纯，然后再包装成别人的核心卖点。

我见过不少团队一开始很大方，后面突然变脸，原因很简单：他们发现自己提供的不是模型，而是可被持续榨取的能力池。这事儿很现实。尤其当你的模型在某个垂类上明显更强，别人根本不会老老实实集成你的 API，而是会想办法把你训练成他们自己的老师。技术上这叫蒸馏，商业上这叫被拿去补课。

如果你也在发开源模型，我建议你别只盯着许可证文本。许可证能管一部分，但管不住所有工程习惯。你还要看：模型卡有没有写清楚用途限制，推理服务有没有做速率和批量限制，社区分发有没有区分研究用途和商业用途。说白了，开源不是全部开放，而是开放到什么程度由你来定。

我会把这一条直接写进项目规范里：

• 公开模型的同时，明确禁止用于训练竞争模型。
• 把批量采样、自动化抓取、输出回放列为受限行为。
• 对外发布前，先确认你能不能接受自己的输出被系统性学习。

这里我还建议你看看 Anthropic 的公开材料，以及 字节跳动 的产品与平台说明。不是因为它们完美，而是因为它们至少把边界这件事摆在台面上了。

真正难的不是技术，是态度

很多人喜欢把这类问题讲成纯技术问题，好像加几个水印、调几个阈值、做几个检测器，事情就结束了。不是。真正难的是态度。你到底是把模型当成一个可以无限复用的公共零件，还是当成一个需要被保护的生产能力？这两种态度会导向完全不同的产品设计。

我以前也犯过一个错误，总觉得只要模型效果够好，大家自然会尊重你的边界。后来发现这想法挺天真。效果好，反而更容易被盯上。尤其是当你的模型在某些任务上明显优于竞品时，外部最先想到的不是我去买，而是我能不能复制它。所以你得先承认：边界不是附属品，边界本身就是产品的一部分。

这也是为什么我喜欢把禁止蒸馏看成一种产品声明，而不只是法务条款。产品声明能影响开发者预期，法务条款更多是兜底。前者告诉别人你打算怎么合作，后者告诉别人你准备怎么追责。两者都要有，但顺序别搞反了。

如果你正在做模型平台，我建议你把态度落到三件事上：

• 文档里直接写明哪些行为不被允许。
• 接口层面限制高频、批量、自动化提取。
• 运营层面保留人工介入和封禁机制。

别让“研究用途”变成万能借口

“研究用途”这四个字，很多时候就是借口的高级写法。大家都知道它听起来体面，也知道它最容易被滥用。你说你是做研究，别人也很难第一时间判断你到底是在做学术验证，还是在做能力搬运。这里最麻烦的地方在于，研究和训练之间的边界本来就不够清晰，尤其在大模型时代，验证一个能力和复制一个能力，往往只差一条自动化流水线。

我自己见过最离谱的情况，是某个团队把大规模 prompt 采样包装成行为分析，把输出对齐包装成效果评估，最后把整套流程说成研究实验。听起来像那么回事，实际上就是在榨取模型。你如果不把这层拆穿，最后吃亏的就是原始模型提供方。

所以我会建议你把许可分层，而不是一刀切。不同用途，给不同权限，不同额度，不同审计。研究人员可以申请更高权限，但要留痕；商业用途可以开放，但要签更严格的条款；自动化批量调用可以允许，但要触发更强的风控。别幻想一个研究例外能解决所有问题，它只会变成漏洞。

应用到你的项目里，可以直接这么做：

• 把研究、测试、商业三类用途分开授权。
• 给研究用途加审计和时间限制。
• 对批量采样和自动化导出加额外审批。

你需要的是边界设计，不是口号

我越来越不相信那种空泛的“开放共赢”口号了。不是说它完全没用，而是它太容易掩盖真正的问题：谁能调用，调用多少，输出能不能被二次训练，出了事谁负责。你不把这些问题写进系统里，口号就只是海报。

这篇知乎文章让我意识到，Seed 这类动作真正传递的不是我们怕被偷，而是我们知道能力会被系统性提取，所以先把边界划好。这比事后追责聪明得多。因为一旦模型能力已经被外部稳定复现，你再去争论是不是蒸馏、是不是违规，成本会非常高，证据链也很难补。

我自己的做法是把边界设计拆成四层：协议层、接口层、监控层、处置层。协议层写清楚规则，接口层限制行为，监控层发现异常，处置层负责封禁和追责。少一层都不行。很多团队只做协议层，觉得法务文本写好了就完了，结果线上照样被批量采样。

你可以把这套思路直接套进自己的模型发布流程：

• 发布前先定义允许与禁止的使用场景。
• 接口层限制速率、并发、自动化采样。
• 监控层抓异常相似请求和高频输出模式。
• 处置层准备封禁、告警、申诉流程。

把“禁止蒸馏”写成可执行规则

如果你只会在公告里写“禁止蒸馏”，那基本等于没写。真正有用的规则，必须能被产品、平台、法务、运维一起执行。否则别人照样能绕过，或者至少能装作没看见。说得直白点，模型边界不是贴出来的，是跑出来的。

我建议你把规则拆成三种语言：给开发者看的，给系统执行的，给法务兜底的。开发者看得懂的版本要短，系统执行的版本要硬，法务版本要完整。三者内容一致，但表达方式不同。这样你既不会把文档写成法律论文，也不会把风控做成摆设。

如果你现在就在做模型产品，我会直接给你一个检查清单：

• 有没有明确禁止用于训练竞争模型？
• 有没有对批量采样设置阈值？
• 有没有记录异常调用和输出模式？
• 有没有人工审核高风险账号？
• 有没有封禁和申诉机制？

这件事说到底，不是要不要开放的问题，而是开放到哪一步就该停的问题。你越早把这条线画清楚，后面越少扯皮。模型能力一旦成了资产，就别再假装它只是个接口。

可抄的模板

### 模型使用边界声明模板（可直接改名使用）

**适用范围**
本模型、API、权重、示例输出、评测结果及相关文档均适用本声明。

**允许的使用**
- 个人学习、内部测试、原型验证
- 经书面授权的商业集成
- 经审批的研究用途

**明确禁止的使用**
- 以任何形式对本模型进行蒸馏、提纯、模仿训练或能力复现
- 使用自动化脚本、批量请求、回放样本等方式系统性提取输出
- 将本模型输出用于训练、微调或改进任何竞争模型
- 规避速率限制、并发限制、访问控制或审计机制

**高风险行为定义**
以下行为将被视为高风险并可能触发限制：
- 高频相似提示
- 大规模自动化调用
- 输出分布采样
- 长时间连续请求同类任务
- 通过多个账号或代理分散访问

**系统侧控制**
- 速率限制：按账号、IP、项目维度限制
- 并发限制：对批量请求设置上限
- 审计记录：保存请求时间、频次、摘要、异常标记
- 风险检测：识别自动化采样和异常输出模式
- 处置流程：告警、限流、暂停、封禁、申诉

**研究用途特别条款**
研究用途仅限于经批准的人员、项目和时间范围；不得将研究过程中获得的输出、标注、对齐结果用于训练第三方模型或竞争模型。

**责任声明**
若发现违反本声明的行为，提供方有权限制访问、终止服务并保留进一步追责的权利。

**开发者提示**
如果你要把这份模板落地，至少再补三项：
1. 你的具体禁止行为清单
2. 你的速率和并发阈值
3. 你的封禁与申诉流程

**简短版公告文案**
本模型及其输出不得用于蒸馏、训练竞争模型或任何形式的能力复现。批量采样、自动化提取和规避访问限制的行为将被视为违规，并可能触发限制或封禁。

我把这个模板放在最后，是因为这才是你真正能拿去改的东西。别只转发观点，观点不落地，最后还是一地鸡毛。你要的是一份能写进产品条款、接进风控、交给法务看的边界文本。先把线画出来，再谈开放。

原文来自 知乎专栏，我这篇是基于其公开表述做的工程化拆解，不是对原文的逐字复述。关于 Anthropic 的指控背景，可参考 Anthropic 官网、字节跳动相关产品页面，以及 知乎 上的原始讨论。