安全旗号下的商战：Anthropic正在编织一张怎样的网？

导语：Anthropic一边高喊AI安全、呼吁行业减速，一边以最快速度推进上市和商业化。技术中立的蒸馏之争，正在被这家闭源巨头包装成打击竞争者的利器。当"安全"变成武器，AI行业真正该警惕什么？

9月10日，Anthropic对外公布了一份威胁情报报告，聚焦网络攻击、非法模型蒸馏等AI"滥用"行为。报告最受瞩目的部分，是点名7家中国AI企业，指控它们对Claude实施了所谓"工业规模蒸馏"。这已是该公司年内第三次发出类似指控，且措辞一次比一次严厉。

被推上风口浪尖的"蒸馏"，并非什么前沿技术。早在2015年，Google Brain团队就在一篇论文中将其确立为模型训练的标准方法，此后全球主流实验室均在内部广泛使用。技术本身无所谓善恶，它在边界上是否构成侵权，业界争论多年，至今没有定论。

一项中性且普遍的常规技术，为何值得一家头部公司在半年多时间里三番五次公开指责，且阵仗一浪高过一浪？要弄清这个问题，得把Anthropic近期的连串动作串在一起审视。

今年6月，Anthropic向监管机构秘密递交了IPO申请，冲刺一场可能创下史上最高纪录的上市；7月，它成为硅谷唯一拒绝签署开源公开信的头部公司；9月12日，也就是上述报告发布仅两天后，创始人达里奥·阿莫迪（Dario Amodei）发表万字长文，呼吁全行业放慢最强模型的迭代节奏，给安全验证留出更多窗口。

把这些动作拼在一起，一种耐人寻味的割裂感跃然纸上：一方面不断渲染AI风险、呼吁行业踩刹车，一方面以最高效率推进商业化和上市；一方面把安全捧上公司使命的神坛，一方面将最有价值的模型能力锁死在闭源体系里，攫取产业链中最丰厚的利润。

Anthropic早已不满足于做一个模型供应商。它同时在扮演应用竞争者、风险解释者和规则倡议者，并试图借助"安全"这面大旗，影响开源政策、划定技术边界、狙击潜在对手。

说白了，Anthropic并非单纯在守护AI安全——它真正想保住的，是自身的技术护城河、商业利润和行业话语权。

一、精心打扮的"受害者"叙事

在Anthropic构建的叙事框架里，自己始终是被攻击的一方。对"蒸馏"的连番指控，正是这套叙事的核心素材。

2015年，刚加入Google Brain不久的杰弗里·辛顿与团队负责人杰夫、研究员奥里奥尔联合发表论文，首次将此前零散的模型压缩思路系统化，将其命名为"知识蒸馏"。此后从顶级实验室到开源社区，蒸馏技术被广泛应用于模型的压缩与后训练环节。

其基本逻辑并不深奥：用一个能力更强的"教师模型"生成结果，去带动规模更小的"学生模型"提升水平。学生模型既可以学习教师模型输出每个Token的概率分布和思维链，也可以直接采用教师模型生成的最终答案，即所谓"硬蒸馏"。

在大模型领域，蒸馏已被普遍视为一种高效的后训练手段。它本身是中性的技术工具，既非模型能力的决定性因素，也难以单独构成竞争壁垒。

今年以来，Anthropic对"蒸馏"的攻势层层递进。2月，它首次公开指控DeepSeek、月之暗面、MiniMax三家公司通过约2.4万个虚假账户与Claude交互超1600万次；6月，它致信美国国会议员，指控另一家中国头部实验室实施了"史上规模最大的蒸馏攻击"；9月10日的报告则进一步将规模扩大到近2亿次交互，点名7家中国企业，并以账户数量、交互频次等监测数据来描述所谓"工业级"特征。

但在法律层面，"蒸馏"本身很难被直接定性。Anthropic的服务条款禁止用户利用Claude的输出训练与其竞争的模型，这意味着即便指控成立，最直接的依据也不过是合同层面的违约问题。更何况，上述所有交互数据均来自Anthropic自身的监测系统，从未经过任何独立第三方核验。

被点名的企业中，阿里方面已否认存在不当行为，其余多家公司则未公开回应。

面对所谓"史上最大规模"的攻击，Anthropic并没有第一时间将争议诉诸法庭，而是选择向国会议员递函、发布威胁情报报告，将技术分歧升级为公共议题。因为法庭讲究证据，而舆论场只需要一份足够耸动的报告。

从更深层的技术维度看，蒸馏既无法被证实，同样也无法被证伪——今天没有任何一家企业能够证明自己被另一家公司蒸馏过，也无法自证从未蒸馏过他人。

对于"技术无罪"这条界线，美国产业界的态度反而更加直白。7月末，英伟达、微软、Meta、IBM等25家机构联名发声，强调蒸馏被广泛用于模型改进、评估和验证，不应与非法提取混为一谈。英伟达CEO黄仁勋更公开表示，蒸馏以及从各类知识源中学习是智能演进的基础，应当追责的是违反隐私与合同的具体行为，而非技术本身。

围绕蒸馏的争论，很大程度上已演变成一场各说各话的罗生门。

而Anthropic自身经历的一场版权诉讼，则暴露出一个颇为尴尬的事实：这家公司并没有站在一块天然洁净的道德高地上。

在作家起诉该公司的案件中，法院文件披露，Anthropic曾从盗版来源下载超过700万册图书副本，建立内部资料库，再从中选取部分材料训练模型。

2025年6月，法官裁定案涉模型训练属于合理使用，但并未将这一结论延伸到为构建永久资料库而下载、留存盗版书的行为。双方最终以15亿美元达成和解，法院于2026年7月20日批准。和解并不意味着Anthropic承认责任，也未解决所有AI训练中的版权争议，Anthropic方面同样否认自己存在任何过错。

一家曾因获取训练资料的方式陷入版权诉讼、最终付出15亿美元和解代价的企业，如今却站在道德高地上指责同行"蒸馏"，多少有些讽刺。

Anthropic当然可以追究违反合同和隐私规则的行为，但它没有资格将自己包装成AI技术世界的道德法官。

二、当"安全"成为商业利器

如果说蒸馏指控为Anthropic塑造了"受害者"人设，那么围绕开源模型的博弈，则更能看清这套人设的商业用途。

7月24日前后，英伟达牵头25家AI产业链机构发起题为《开放权重与美国AI领导力》的联名信，签署名单迅速膨胀——开源阵营的Meta，芯片厂商英伟达、AMD，以及微软、谷歌等云平台均在列，连闭源阵营的OpenAI最终也签了字。

美国头部AI公司中，唯独Anthropic一家缺席。另有多名业内人士透露，该公司正在游说政府收紧对开源模型的管控。

压力之下，阿莫迪7月28日发表长文回应。他明确表示Anthropic从未主张封禁开源模型，但同时强调，足够强大的模型一旦开放权重便无法收回，若被不法分子利用将造成不可逆的危险。

尽管阿莫迪并未正面呼吁封杀开源，但他反复渲染的AI风险叙事，以及屡次将开源模型与蒸馏攻击挂钩的做法，实质上构成了对开源阵营的系统性"施压"。这正是"安全"作为商业武器的精妙之处——Anthropic无需公开喊出"禁止开源"，只需持续把开源模型与安全威胁、恶意利用和国家安全绑定，政策环境便会自然倾斜。

之所以如此，是因为随着开源模型不断逼近闭源模型的性能水位，Anthropic的利润壁垒正在被逐步削薄。

据SemiAnalysis报告，Anthropic二季度预计实现约5.59亿美元的首笔营业利润，三季度GAAP口径下息税前利润预计突破10亿美元；年化经常性收入将从2025年底的约90亿美元攀升至逾600亿美元。

如果剔除渠道分成和模型训练成本，Anthropic的毛利率可能超过80%。

因此，打压开源与冲刺IPO实际上是同一盘棋。6月1日，Anthropic向SEC秘密提交S-1草案。在此背景下，如果开源模型被政策阻挡在门槛之外，企业客户的可选项收窄，收入确定性上升，政策壁垒就能转化为估值溢价。

回溯Anthropic对开源模型的"围剿"节奏，与这家公司的估值曲线几乎同频——今年2月公开指控中国开源模型公司蒸馏攻击后不久，Anthropic在私募二级市场Forge Global上的估值突破1万亿美元，并反超OpenAI。9月的蒸馏报告，则与交表后的上市关键筹备期再度重叠。

对一家即将步入资本市场的模型公司而言，竞争对手越少、技术领先叙事越强、收入越集中于自身，估值就越容易被推高。若还能借"安全"之名让监管机构替自己抬高竞争门槛，就更是获得了一道由政策构筑的护城河。

况且，从整个AI产业生态来看，以Anthropic为代表的闭源模型公司不仅在收割资本市场，同时也在大量攫取产业链利润。闭源厂商的高额毛利率挤压着上下游的利润空间，从上游硬件厂商到下游云平台、应用开发商都会受到影响。如果开源路线被掐断，Anthropic的利润空间只会进一步膨胀——这是行业其他参与者不愿看到的。

一个鲜明的对照是OpenAI。在阿莫迪发表"减速"长文后，OpenAI CEO奥特曼公开表示赞同，并在接受媒体采访时确认，OpenAI今年不会进行IPO。两家最大的闭源模型公司在同一个月里做出了截然相反的选择：一家以安全为由推迟上市，一家在安全声浪中加速冲刺上市。

三、硅谷积怨，对手步步紧逼

Anthropic面对的麻烦，已不只是竞争对手的质疑。C端用户开始忧虑数据隐私，B端企业警惕其向应用层的无边界扩张，而中国开源模型正从技术追赶走向商业反攻。

一个要求全行业对AI风险保持高度戒备的公司，本应首先对自己的数据边界执行同样严苛的标准。但在用户协议层面，Anthropic的差异化安排早已引发讨论。使用Claude Free、Pro、Max的个人用户不享有零数据保留（ZDR）协议，付费订阅也不等于零保留。ZDR仅作为专项安排，提供给部分API客户和经批准的Claude Code企业客户。

换言之，普通用户的对话数据默认可能被用于模型训练。今年1月，一位海外开发者在查看代理日志时发现，Claude Code后台每隔几秒便向一个网站发送请求，频率之高接近实时监控。他在GitHub上的询问，未获实质性回应。

此次Anthropic对蒸馏的指控本身，也展示了其对用户交互数据的精细掌握——报告中精确描述了具体用户的对话内容。Anthropic对此的解释是，监测由后台自动运行的分类器完成，而非人工翻阅对话。

除了C端用户的隐私焦虑，B端企业也在抵制Anthropic的无节制扩张。

7月29日，据外媒报道，一股针对Anthropic的抵制情绪正在硅谷积聚，根源在于其产品与现有软件提供商形成直接竞争，以及它对封闭AI生态的倡导。导火索之一是4月发布的Claude Design——一款被认为直接对标其合作伙伴、设计软件公司Figma的产品。

此外，英伟达、Palantir、Booz Allen Hamilton已开始限制内部使用Anthropic的AI模型。这些企业担忧员工将内部代码、知识产权等敏感信息输入外部AI模型后，模型提供商可能接触甚至从中学习。

比舆论抵制更实际的压力，来自被指控者的追赶。斯坦福大学《2026年人工智能指数报告》显示，中美顶尖模型的评分差距已缩小至约2.7%，两国模型自2025年初以来多次交替登顶。报告同时指出，中国的优势恰在开源探索、应用落地与基础研究转化。

"能力接近"之外，中国开源模型正在商业上渗入Anthropic的腹地。Kimi K3在今年7月开源后以2.8万亿参数成为全球最大的开源模型。据外媒报道，月之暗面正与微软、亚马逊、谷歌三大云厂商谈判，寻求让Kimi K3进驻三大平台并获得最高30%的收入分成。若达成，这将是中国AI公司与美国云巨头之间首批重要的分成协议。

9月16日，智谱在投资人电话会上表示，已与多家国内外头部云服务商签署收入分成协议，GLM系列开源模型将以托管API形式在海外云平台提供服务，相关收入10月起确认。一周前，该公司刚完成50亿美元融资。

从花钱购买海外算力，到向海外云平台输出模型并参与分成，中国开源公司与全球云计算产业的角色正在发生对调。这也在事实上回答了Anthropic的打压为何收效有限——当技术差距收窄到个位数百分点、开源模型转而以分成模式入驻海外云平台时，被封锁者正在变成封锁者盟友的生意伙伴。

站在IPO节点上的Anthropic，其宣称的AI安全、开源威胁与蒸馏攻击，已经与自身的商业利益深度缠绕。

1959年，美国发明家托马斯·卡特开始销售一种名为Carterfone的装置，让无线对讲机用户能够与电话网络通话。电信巨头AT&T禁止用户接入，理由是公司承担维护网络的责任，必须控制接入设备。1968年，美国联邦通信委员会裁定，Carterfone并未损害电话系统，一概禁止外部设备接入的规定不合理且带有歧视性。

一个行业的领跑者可以参与制定技术标准，也可以对行业的未来方向提出倡议，但"安全"不应该成为打击竞争对手的武器，更不能成为领先企业向监管者索取竞争壁垒的筹码。

AI行业真正需要警惕的，不只是模型失控的风险，也包括"安全"被商业化之后，沦为少数企业排斥竞争、抬高门槛的工具。