Když útok na API nazveme destilací, pravidla minou cíl

Nathan Lambert kritizuje široké používání pojmu model distillation pro činnosti, které zahrnují i krádeže API klíčů, falešné účty, jailbreaky a obcházení regionálních omezení. Samotná destilace je běžný způsob, jak učit menší model z výstupů silnějšího modelu.

Jedna nálepka zakryla několik odlišných útoků

Lambert reagoval na americkou debatu o čínských AI firmách. Společné doporučení NSA, CISA a FBI ze září 2026 tvrdí, že šest firem z Číny od konce roku 2024 získalo miliardy tokenů během milionů požadavků na modely Claude, GPT, Gemini a Grok. Dokument jmenuje DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun a Z.AI.

Úřady popisují nativní API, cloudy, agregátory a šedý trh proxy služeb zvaných transfer stations. Zmiňují také falešné účty, prompt injection, jailbreaky a pokusy získat skryté chain-of-thought výstupy. Lambertova námitka míří na taxonomii: krádež přístupových údajů a obcházení ochrany jsou útoky na přístup, zatímco distillation označuje způsob využití získaných výstupů při tréninku.

Přesný název rozhoduje, kdo ponese náklady obrany

Model distillation používají velké laboratoře, startupy i výzkumníci. Silnější model vytváří data nebo přenáší konkrétní dovednost do menšího modelu. Stejná technika může sloužit internímu produktu, veřejnému výzkumu i konkurentovi, který poruší podmínky API. Riziko proto neurčuje samotný postup, ale původ dat, oprávnění a způsob přístupu.

Široká nálepka může posunout pravidla od chování k technologii. To by zvýhodnilo firmy s vlastními modely a právními týmy. Menší výzkumné skupiny by nesly náklady na dokazování, že běžnou metodu použily legitimně. Pro poskytovatele API je přitom praktičtější sledovat koordinované účty, provoz běžící 24 hodin denně a náhlé využití maximálních kvót.

Kritika názvu nemaže rozsah popsaného zneužití

CISA výslovně uznává, že distillation je legitimní a užitečný postup. Její dokument používá užší spojení industrial-scale distillation campaigns a popisuje konkrétní chování. Lambert tedy nevyvrací existenci rozsáhlých kampaní. Varuje před tím, aby se technický termín stal zkratkou pro kybernetický útok, porušení smlouvy i průmyslovou politiku současně.

Veřejné doporučení navíc obsahuje podrobná tvrzení o konkrétních firmách a modelech, ale samo o sobě nedává nezávislému čtenáři přístup k podkladovým logům. Miliardy tokenů a miliony požadavků pocházejí z vládního hodnocení. Přesné rozdělení mezi legitimní provoz, porušení podmínek a trestnou činnost bude vyžadovat více zveřejněných důkazů.

Pravidla musí mířit na přístup, identitu a objem provozu

Další americké kroky ukážou, zda se terčem stanou konkrétní praktiky. Patří mezi ně kradené klíče, falešné účty, obcházení regionálních blokací a koordinované vytěžování API. Důležitým signálem bude i to, zda poskytovatelé zveřejní měřitelné indikátory a nabídnou výjimky pro bezpečnostní výzkum.

Pokud zákony nebo smlouvy začnou trestat distillation bez ohledu na souhlas a původ dat, Lambertova obava se naplní. Pokud obrana rozliší způsob tréninku od způsobu získání dat, může chránit modely a současně neuzavřít cestu menším týmům.

Lilithin verdikt

Když celník označí stejným razítkem ukradený pas, učebnici a kamion, fronta roste a pašerák má náskok. Obrana modelů potřebuje popsat čin, ne zakázat celou kategorii.