По сообщениям, Astra от OpenAI стала главной целью дистилляции для китайских ИИ-лабораторий

По сообщениям, Astra от OpenAI стала главной целью дистилляции моделей для китайских ИИ-лабораторий после того, как Anthropic усилила защиту Claude. Об этом сообщает The Information, на который ссылается The Decoder.

В отчёте DeepSeek и Moonshot AI названы организациями, которые, как утверждается, активно использовали ответы Astra при разработке новых моделей, включая продукты под названиями Kimi K3.1 Pro и V4.1-Flash 1017. Эти утверждения невозможно было независимо проверить на основании предоставленных свидетельств, а в изложении The Decoder ни одна из компаний не дала публичного ответа.

Это развитие важно, поскольку указывает: усиление мер защиты у одного поставщика передовых моделей может перенаправить попытки извлечения к другому поставщику, а не прекратить эту практику. Для разработчиков моделей и покупателей корпоративного ИИ этот случай также показывает, насколько трудно защищать proprietary-возможности, когда к продвинутым системам можно многократно обращаться в больших масштабах.

От Claude к Astra

Дистилляция моделей предполагает использование ответов более мощной модели для улучшения менее мощной или конкурирующей системы. В данном случае описанная активность, по-видимому, включала попытки получить подробные ответы, в том числе скрытые этапы рассуждений, которые некоторые передовые модели используют внутри себя.

Ранее Claude от Anthropic называли предпочтительной целью для такой деятельности. The Decoder сообщает, что с тех пор Anthropic ужесточила защиту, из-за чего китайские ИИ-лаборатории стали больше концентрироваться на Astra от OpenAI, которая в отчёте обозначена как GPT-6 Astra.

Имеющиеся свидетельства не показывают, насколько широко этот сдвиг распространился в китайском секторе ИИ, сколько данных Astra было собрано и действительно ли предполагаемая деятельность существенно улучшила какую-либо названную модель. Однако они указывают на меняющееся противостояние между поставщиками моделей, пытающимися предотвратить несанкционированное копирование, и лабораториями, ищущими способы воспроизводить передовые возможности дешевле.

OpenAI также сообщила о скоординированной кампании по дистилляции, в которой, по словам компании, участвовали люди, связанные с Moonshot. Согласно пересказу The Decoder, компания заявила, что относится к проблеме серьёзно, но видела, как злоумышленники меняют методы после появления новых защитных мер.

Что показывают свидетельства — и чего они не показывают

Наиболее весомая публикация в этой серии принадлежит The Information, однако полный текст статьи отсутствовал в предоставленных исходных материалах. The Decoder излагает этот рассказ и связывает основные выводы с людьми, знакомыми с ситуацией. Поэтому предполагаемое использование Astra — это важное событие, о котором сообщают СМИ, но не подтверждённое публичное раскрытие со стороны DeepSeek или Moonshot AI.

По данным The Decoder, Moonshot отказалась от комментариев, а DeepSeek не ответила на запрос о комментарии. Эти отказы от ответа не подтверждают и не опровергают обвинения. В доступных материалах не было технических журналов, наборов данных, объёмов запросов, записей обучения или независимых результатов тестирования.

Утверждение Anthropic о том, что её новые методы сократили объём данных, который могли извлечь злоумышленники, на 90–99%, представляет собой результат, заявленный самой компанией. В исходных материалах не объясняются условия тестирования, определение извлечённых данных и то, одинаково ли сокращение применяется к разным стратегиям атак. Поэтому эту цифру следует считать заявлением поставщика, а не универсальным показателем безопасности.

Из публикаций также не следует, что Astra от OpenAI в целом более уязвима, чем Claude. Очевидный сдвиг может отражать относительную доступность, качество модели, контроль аккаунтов, цены, особенности вывода или изменение тактики злоумышленников. Эти факторы остаются невыясненными.

Почему это важно для разработчиков ИИ

Для компаний, создающих передовые модели, описанная активность превращает доступ к ответам одновременно в функцию продукта и проблему безопасности. Контроль API, ограничения частоты запросов, проверка аккаунтов, обнаружение аномалий, отказ в ответах и мониторинг становятся частью защиты возможностей модели. Защита также должна учитывать противников, которые распределяют запросы между аккаунтами, меняют промпты или объединяют обычные на вид запросы в более масштабную кампанию сбора данных.

Для небольших разработчиков ИИ дистилляция может снизить стоимость достижения конкурентоспособных результатов, однако зависимость от ответов другой компании создаёт юридические, операционные и технические риски. Система, интенсивно обученная на внешней модели, может унаследовать её слабые места, схемы отказов, предубеждения или правила форматирования. Она также может стать уязвимой, если поставщик изменит правила доступа или введёт ограничения на вывод.

Корпоративным покупателям следует осторожно относиться к заявлениям о копировании моделей. Поставщик может продемонстрировать сходные результаты бенчмарков, не обеспечивая такой же надёжности в производственных процессах, использовании инструментов, задачах с длинным контекстом, обработке вопросов безопасности или точности в конкретной области. Предполагаемая активность вокруг Astra не доказывает, что дистиллированная система обеспечивает эквивалентную производительность, и не подтверждает, что организации, использующие такие системы, сознательно участвовали в несанкционированном извлечении.

Этот случай имеет и конкурентные последствия. Если защита просто перенаправит внимание с Claude на Astra, поставщики моделей могут столкнуться с постоянным циклом контрмер, а не с разовым решением. Это способно увеличить стоимость предоставления высокопроизводительных моделей и побудить поставщиков предлагать более жёстко контролируемые интерфейсы, сигналы происхождения или дифференцированные уровни доступа.

За чем следить дальше

Первым сигналом станет то, раскроет ли OpenAI публично дополнительные сведения о кампании, связанной с Moonshot, включая обнаруженные методы и применённые впоследствии меры контроля. Технические доказательства помогли бы отличить целевое злоупотребление от общих заявлений о китайских ИИ-лабораториях.

Вторым сигналом будет публикация Anthropic независимого тестирования заявленного сокращения извлечённых данных на 90–99%. Детали об исходных предположениях атаки, методах измерения и эффективности против адаптивных злоумышленников определят, насколько значима эта цифра.

Исследователям и операторам платформ также следует наблюдать за выпусками названных моделей DeepSeek и Moonshot AI, обращая внимание на необычные сходства в структуре ответов, профилях возможностей или поведении. Сами по себе такие сходства не доказывают дистилляцию, но могут стать поводом для более тщательного изучения источников обучения и методов оценки.

Наконец, поставщики API могут начать раскрывать больше информации о проверке клиентов, мониторинге использования, водяных знаках на выводе и ограничениях автоматизированного сбора. Эти меры будут важны как для добросовестных разработчиков, так и для команд безопасности, поскольку чрезмерно жёсткий контроль может затруднить эксперименты и открытые исследования.

Взгляд Creati.ai

Сообщаемый переход от Claude к Astra лучше понимать как гонку вооружений за доступ к поведению моделей, а не как доказательство того, что какой-либо поставщик окончательно утратил контроль над своей системой. Имеющиеся свидетельства слишком ограничены, чтобы установить масштаб предполагаемого извлечения или возможности любых полученных моделей.

Тем не менее эта история даёт разработчикам практическое предупреждение: безопасность вывода нельзя отделить от стратегии развертывания модели. Поставщикам нужны средства защиты, способные адаптироваться к меняющимся моделям атак, а покупателям следует оценивать происхождение, правила доступа и независимую производительность, не полагая, что сходство результатов бенчмарков доказывает реальную эквивалентность возможностей.