10月12日晚，Anthropic发了一篇反蒸馏防御博客，数字很响：竞争对手能提取到的数据量下降90%到99%，推理token降到原来的百分之一到十分之一，数万个涉事账号被封，反蒸馏的新防护措施"大幅见效"。 报告照例点了中国厂商的名：智谱在开发GLM-5.3期间尝试蒸馏Claude Fable 5的网络安全能力，被防护机制拦住后转向旧版Claude和其他厂商的模型，月之暗面同样在名单上。 第二天路透社跟进报道，B站那条讲反蒸馏的视频发出去半天播放过了3万、评论区193条，小红书相关笔记下面也堆了134条评论——这轮风波是真在GLM用户圈里发酵，不是科技新闻自嗨。小红书微博
我从9月一路跟到这10月，与其复述新闻，不如把Anthropic三十四天里的三篇报告摆到一张时间线上对账。因为单看10/12这篇，是一个故事；三篇放在一起看，是对不上。
三篇报告，先摆时间线
① 9月10日·威胁情报报告：点名七家中国AI实验室蒸馏Claude输出，智谱、月之暗面在列，性质是单方指控、无第三方复核。36氪
② 9月30日·网络安全能力报告：实测GLM-5.3会找漏洞、会写攻击程序，Anthropic自己动手，花约4400美元、约2200 GPU小时拆掉其护栏，拒答率从90%以上掉到个位数。性质：实测数据加能力指控。
③ 10月12日·反蒸馏防御报告：两级分类器叠加"保留思考"机制上线后提取量降90%～99%，封号数万，再次点名智谱，蒸馏与绕线路径"首次完整公开"。哔哩哔哩
三篇的叙事线是"你抄我"→“你太强”→“我把门焊死了”。智谱这边，截至这篇的10月14日，我在微博、知乎、小红书、B站四个平台都没搜到智谱对第三次点名的公开回应，路透社发稿时点也是"尚未回应"。小红书
先分清：哪些数字能用，哪些不能
硬数字，第三方或可复核口径：NIST旗下CAISI在9月17日的评估说，GLM-5.3是迄今网络能力最强的开源权重模型，综合水平距美国前沿大约4个月。36氪
ExploitBench上同样尝试410次，GLM-5.3成功了50次，Claude Mythos Preview成功了56次。 给GLM-5.3-Flash一个刚公开的Chrome漏洞加公开资料，人工投入约20分钟、模型自主跑约8小时，在ARM64上搭出绕过PAC防护的攻击链，按智谱当时的API价估算花了20.40美元——这些是Anthropic自己掏钱、自己复测之后仍然写进报告的：它骂归骂，能力这关它替你验过了。36氪
自报数字：1/10到1/100、90%～99%、误伤正常请求"低于0.1%“。知乎AIX LAB的拆解值得抄一遍：这里的百分比描述的是数据获取量的变化，不能换成"小模型能力下降99%”，也不能换成"全世界的蒸馏成功率下降99%“。 至于"智谱试过Fable 5、碰壁后转旧版”，那属于报告叙事，权重至今没人独立比对过训练数据，读的时候按单方指控折价。知乎
对不上的地方：两条指控很难同时全真
9/30报告的结论是GLM-5.3的网络能力已经接近Mythos Preview（50次对56次）；10/12报告的结论是这份能力来自对Claude的蒸馏，而且蒸馏被它防住了。麻烦在于：Mythos Preview从头到尾没公开发布过，只通过Project Glasswing开放给审核过的防御者；而10/12报告又说Fable 5的蒸馏路径被防护机制"阻碍"了，智谱是被迫转向旧版的。旧版Claude没有Mythos级的端到端漏洞利用能力——这是9/30报告自己的前提。
所以要把两篇都读成"全真"，只有几种自洽方式。其一，5.3的能力大头是自己练的，蒸馏只是补料——这跟GLM-5.3公开的技术路线对得上：它没有重新预训练更大的底座，直接继承GLM-5.2做后训练。 社区给这家的花名，就叫"后训练仙人"。 其二，90%～99%是防御成型之后的事，而5.3是8月14日发布的、“保留思维"对新建API账号的限制8月31日才生效，训练取数窗口在防御成型之前——真正被防住的，是"下一个5.3”。其三，蒸馏对象只有旧模型，那"能力主要来自蒸馏"这个归因就解释不了50/410的实测成绩。Anthropic也承认，蒸馏者还会通过第三方云和其他推理服务商获取模型输出——所谓"焊死"，焊的是它自家那扇门。知乎哔哩哔哩知乎
这不是在给智谱洗白——证据还没到那一步。但它说明了另一件事：Anthropic同时需要"你抄我"（为封号和防御立理由）和"你太强"（为造防御立必要性）两个叙事，而这两个叙事互为消耗。对读者，这两篇是立场文档，不是法庭证据。
评论区实际分成了四派
"互蒸是常态"派：B站讨论里最高频的一句话，大意是AI互相蒸馏根本就不是什么新鲜事情，也就A社一天到晚拿这个炒作。哔哩哔哩
“A社手不干净"派：小红书53赞的顶评是"A÷本身就是蒸馏大户，没deepseek开源思维链早就被o踹死了”，另一条"白嫖盗版书训练的时候怎么都沉默了"；7月黄仁勋带着24家科技巨头发的"蒸馏并非盗窃"声明也被重新翻出来。小红书
“活该限速"派：36赞的"国产模型最近没动静了原来是这样”——这条情绪很强，但它是四派里最容易打脸的：智谱9到10月连发GLM-5.3-FlashX、GLM-Legal，灰度了490 tokens/s的Highspeed，唐杰还把5.4/5.5乃至6.0的蓝图摊开了，发布节奏不但没停反而在加速。 把"更新少"归因于反蒸馏，目前拿不出任何支撑。小红书
"要实锤"派：“好多说法都是空口指控，拿不出实锤就大肆传播”（29赞），“就Fable 5那个安全护栏，说能蒸馏骗鬼呢”。小红书
另有一条情绪单独拎出来说，因为它对应真实成本：“啥防蒸馏，就是封了更多中国的号，中国的号一律算蒸馏”。 就算不成立，它也是评论区流传最广的怀疑——因为封号口径外部完全不可见，普通用户只能从"数万"这个词自己脑补自己会不会在里面。哔哩哔哩
谁被波及：按你的位置对号
订着Zcode/开放平台的GLM用户：直接影响为零。这轮攻防发生在Anthropic的院子里，你的订阅、额度、API都不受影响。唯一沾边的是叙事：如果你买GLM-5.3就是冲着网络安全/逆向能力去的，那这项能力的"水平"被CAISI和Anthropic先后验过两遍，"来源"却处于争议中——它影响的是你跟人聊起来怎么说，不是你实际拿到手的token。
自部署/本地党：验证权在你手里。权重开源意味着你可以不消费任何一方的报告，自己跑漏洞复现类任务对照。要盯的是：5.3"继承底座+重后训练"的路线，恰好是最容易被"推理数据蒸馏"指控的路线——接下来5.4/6.0的技术报告如果认真写后训练数据来源，等于替自己答了这道题；继续沉默，这个指控就会一直挂着。这是智谱唯一能一锤定音的动作，也是你判断风向最便宜的方法。
走中转/代理用Claude的人：账单真正落在这。2026年8月31日之后创建的新API账号无法编辑Claude的上下文历史，老集成必须改造。 自9月24日起，在蒸馏等特定低误报率的防御领域，被拦截的请求也恢复计费——失败请求不再等于零成本。 再加上数万封号，社区里说的"中转站单独开蒸馏专区"，被这一刀砍的就是这类渠道——你的中转价如果低得反常，你买的可能本来就是高危账号上的token。微博知乎哔哩哔哩
企业里接Claude集成的：三个盘点动作——是否依赖可编辑的推理历史块、是否跨会话/跨组织复用受保护记录、拦截请求的费用有没有进预算。"低于0.1%"是Anthropic的自报指标，不能直接当成你自己业务流量的实测误判率。知乎
往后盯三个信号
智谱回不回话：这周回不奇怪，一直不回也不奇怪；真正算回答的，是5.4/6.0技术报告里"后训练数据来源"那一栏写不写。
Anthropic放不放可复现证据：10/12这篇承诺的是蒸馏与绕线路径"首次完整公开"，公开到什么颗粒度，决定它这两篇报告的最终分量。
中转行情和封号案例：如果"中国账号一律算蒸馏"真存在，一两周内的晒号案例会自己作证；如果不存在，中转站会用价格证明。
最后收个口径：这件事给GLM用户最有用的东西，是把"水平"和"来源"分成两个账户——水平，CAISI替你验了，Anthropic也替你验了；来源，一边是单方指控，一边是官方沉默，谁也没到能定案的程度。别因为一份报告就把"蒸馏模型"四个字钉上去，也别因为一次背书就当"抄没抄"这个问题不存在。时间线上那栏留白的空格，才是这场连续剧下一集的剧名。
