大規模模型複製企圖瞄準 Google Gemini

在一次凸顯了人工智慧軍備競賽日益升級的重大披露中，Google 揭露了一次針對其旗艦級 AI 模型 Gemini 的大規模協作式複製企圖。根據 Google 威脅情報小組（Google Threat Intelligence Group, GTIG）昨天發佈的一份報告，受商業利益驅動的行為者向該系統投放了超過 100,000 條提示詞（Prompts），進行了一場複雜的「蒸餾攻擊（Distillation attack）」，旨在提取該模型的專有推理能力。

這一事件標誌著 AI 安全領域的一個轉折點，將焦點從傳統的數據洩漏轉向了「認知（Cognitive）」智慧財產權的盜竊。當 Creati.ai 分析這一發展時，顯而易見的是，AI 霸權之爭現在不僅發生在研究實驗室中，還發生在支撐整個行業的 API 之中。

蒸餾攻擊的機制

針對 Gemini 的攻擊並非傳統意義上的駭客入侵。Google 的伺服器沒有遭到破解，沒有密碼被盜，也沒有加密密鑰被洩露。相反，攻擊者利用了一種稱為 模型提取 或知識蒸餾的技術。

在這種場景下，攻擊者將 Gemini 視為「教師」模型。透過有系統地向其提供精心設計的提示詞，他們旨在映射其決策過程和推理模式。Gemini 生成的回覆隨後被用於訓練一個較小的「學生」模型。最終目標是以開發成本的極小部分，創建一個模仿昂貴專有模型性能的衍生 AI。

Google 的報告強調，攻擊者特別針對 Gemini 的 推理演算法（Reasoning algorithms） —— 即模型用於得出複雜答案的內部邏輯鏈。透過分析 Gemini 在數千個變量中如何「思考」，攻擊者試圖對賦予該模型競爭優勢的「秘方」進行逆向工程。

傳統駭客攻擊 vs. 模型提取

為了理解這種威脅的細微差別，必須將其與標準的網路攻擊區分開來。

受商業驅動的「數據劫案」

GTIG 報告中最令人擔憂的方面或許是攻擊者的背景。與通常與網路間諜活動相關的國家背景組織（如報告中同樣提到的利用 Gemini 生成惡意軟體的北韓或俄羅斯團體）不同，這次模型提取行動似乎是受 商業利益驅動 的。

Google 的調查指向了尋求快速進入 AI 領域的私營實體和研究人員。開發一個前沿級別的大型語言模型（Large Language Model, LLM）需要數十億美元的算力和數據策劃。對於規模較小的競爭對手或缺乏道德的初創公司來說，蒸餾提供了一條「捷徑」：竊取更高級模型的智慧來引導自己的產品。

攻擊的巨大規模——超過 100,000 條提示詞——表明這是一種有組織、自動化的方法。Google 識別出的一種特定攻擊向量涉及指示 Gemini「思考內容中所使用的語言必須與用戶輸入的主語言嚴格保持一致」，這是一種旨在強迫模型揭示其內部思維鏈（Chain-of-thought）處理過程的提示。

Google 的防禦：實時檢測與響應

Google 的防禦系統能夠實時識別並緩解攻擊。該公司採用先進的行為分析來監控 API 使用情況，以尋找「異常的提示模式」。

當系統檢測到協作查詢的大量激增時，它將該活動標記為蒸餾企圖。Google 隨後封鎖了相關帳戶，並實施了更嚴格的保護措施，以在未來的輸出中隱藏模型的內部推理痕跡。

Google 威脅情報小組首席分析師 John Hultquist 將此事件描述為整個行業的「煤礦裡的金絲雀（預警信號）」。雖然 Google 擁有檢測和擊退此類攻擊的資源，但監控基礎設施較弱的小型 AI 開發商可能已經成為類似 智慧財產權盜竊 的受害者而自知。

對 AI 即服務（AI-as-a-Service）的影響

這一事件對「AI 即服務（AI-as-a-Service）」商業模式的可行性提出了關鍵質疑。Google、OpenAI 和 Anthropic 等公司透過 API 提供公共訪問權限來實現技術獲利。然而，正是這種訪問權限使他們容易受到提取攻擊。

如果競爭對手僅透過詢問足夠多的問題就能複製 GPT-4 或 Gemini Ultra 的能力，那麼保護這些科技巨頭的護城河就會變得明顯變淺。

AI 時代的智慧財產權

Google 已明確將此類活動歸類為 智慧財產權盜竊。然而，管轄模型提取的法律框架仍在演變中。雖然該活動違反了 Google 的服務條款，但要對跨多個司法管轄區運作的匿名、去中心化行為者強制執行這些條款，面臨著重大挑戰。

該行業可能會看到轉向更具侵略性的防禦措施，包括：

• 浮水印技術（Watermarking）： 在模型輸出中嵌入微妙的模式以證明其來源。
• 速率限制（Rate Limiting）： 對 API 使用實施更嚴格的上限，以防止大規模查詢。
• 法律行動： 對被發現託管「蒸餾」模型、知名度高的公司提起訴訟。

結論：AI 安全的新時代

克隆 Gemini 的企圖並非孤立事件，而是 AI 領域新常態的一個信號。隨著模型變得更加強大且價值更高，它們將不可避免地成為企業間諜活動的首要目標。

對於 Creati.ai 的讀者和 AI 開發者來說，教訓是明確的：安全不再僅僅是保護用戶數據；而是保護 AI 本身的「思想」。隨著我們步入 2026 年，我們預計「抗蒸餾（Anti-Distillation）」將成為每個主要基礎模型發佈說明的標配功能。