今年"逆向研发"的主线剧情，是AI在拆一切：四五十万星热潮里，App、固件、游戏被REA这类工具从界面一路拆到二进制。结果10月底连续两件事，让所有人意识到逆向的对象调了个头——这次轮到AI模型自己被逆向。
10月26日，菲尔兹奖得主邓煜在知乎开炮，锐评AI公司的反蒸馏双标：“你不能在只有你蒸馏全人类的网络文献、全人类的知识的时候，就大大方方地去蒸馏……大家只是想要了解一下思维链，然后你觉得别人想要蒸馏你，就开始说这个不行”。10月29日，梁文锋R1爆火时的老话重新冲上热搜：“在颠覆性的技术面前，闭源形成的护城河是短暂的。即使OpenAI闭源，也无法阻止被别人赶超”。知乎知乎微博
两人吵的是同一件事：蒸馏——当下逆向研发大模型的主流方式。一句话讲透：让顶级模型出题写解答，小模型照着抄答案，把"神"的过程蒸进"学生"的权重里。
这买卖太划算了。DeepSeek-R1技术报告实测：拿80万条蒸馏数据给32B模型做SFT，比32B自己硬啃1万步强化学习的效果还好；Qwen3的0.6B、1.7B、4B小模型全部由自家大模型蒸馏而来，GPU时长比强化学习省90%，性能反而更强。知乎
那为什么防不住？一位工程师的总结堪称诛心：“模型提供价值的唯一载体是token，而蒸馏需要的唯一载体也是token”。只要模型对外提供服务，就等于把逆向原料随服务一起打包送出。知乎
于是攻防进入了极客最爱的猫鼠环节。闭源厂商先把思维链加密：OpenAI给推理内容上`encrypted_content`，Claude的thinking块只回传密文。9月1日Claude还改了API规则，把新账户的思考块和产生它的对话上下文焊死在一起。想跨会话搬走推理记录？门都没有。知乎钛媒体
黑客随即开拆。第一条路线叫跨模型重放：把强模型返回的加密推理块喂给防护较弱的小模型，诱导它把大模型的思考原文吐出来。另一条叫假工具诱供：注册一个名为`deep_think`的虚拟工具，骗模型把推理从加密区改写到明文的工具调用里。知乎
防守端的杀招更有意思：Claude Code被扒出客户端请求里会带上`anti_distillation: [‘fake_tools’]`字段——给疑似蒸馏者的请求注入假工具，直接投毒训练数据。整体防御摊开是五层漏斗：模型层拒绝训练、协议层上下文绑定、输入输出双检测小模型、假工具层、账号风控层。OpenAI在9月底的官方博客直接点名，“挫败了一场有组织的模型蒸馏行动”。知乎
但舆论场更精彩：10月17日DeepSeek V4.1 Flash更新，Terminal-Bench成绩从31.2分跃升到42.3分，海外开发者反手就给它做了一次"模型指纹"验身，检测页面直接给出84.66%的相似指向。是实锤还是乌龙，社区吵翻了天。每隔一段时间就有人宣布反蒸馏获胜，转头对面就冒出摸到上一代旗舰水平的flash小模型——这反蒸馏到底赢没赢？一句话概括现状：蒸馏话题已经到了"怎么输都是赢"的阶段。钛媒体知乎
回到逆向研发本身：从拆App到拆模型，剧本其实一模一样——逆向成本每降一个数量级，就有一层护城河塌掉；塌到最后还站着的，从来不是闭源这一层，而是团队、产线和下一波颠覆。
