Gdy nadużycie API nazywa się destylacją, regulacje chybiają celu

Nathan Lambert krytykuje szerokie używanie terminu destylacja modeli wobec działań obejmujących także kradzież kluczy API, fałszywe konta, jailbreaki i obchodzenie ograniczeń regionalnych. Sama destylacja jest standardową metodą uczenia mniejszego modelu na wynikach silniejszego.

Jedna etykieta przykryła kilka różnych ataków

Lambert odniósł się do amerykańskiej debaty o chińskich firmach AI. Wspólny komunikat NSA, CISA i FBI z września 2026 roku głosi, że sześć firm z Chin od końca 2024 roku pozyskało miliardy tokenów w milionach zapytań do modeli Claude, GPT, Gemini i Grok. Dokument wymienia DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun oraz Z.AI.

Instytucje opisują natywne API, chmury, agregatory i szary rynek usług proxy nazywanych transfer stations. Wskazują również fałszywe konta, prompt injection, jailbreaki oraz próby wydobycia ukrytych wyników chain-of-thought. Zarzut Lamberta dotyczy klasyfikacji: kradzież danych dostępowych i omijanie zabezpieczeń to ataki na dostęp, natomiast destylacja opisuje późniejsze użycie pozyskanych odpowiedzi w treningu.

Precyzyjne pojęcia przesądzają, kto zapłaci za ochronę

Destylację modeli stosują duże laboratoria, startupy i zespoły badawcze. Silniejszy model tworzy dane albo przekazuje konkretną umiejętność mniejszemu. Ta sama metoda może służyć produktowi wewnętrznemu, badaniom publicznym lub konkurentowi łamiącemu warunki API. Ryzyko zależy więc od pochodzenia danych, zgody i sposobu uzyskania dostępu.

Szeroka etykieta może przenieść ciężar przepisów z zachowania na technologię. Skorzystają na tym firmy z własnymi modelami i dużymi działami prawnymi. Mniejsze zespoły poniosą koszt udowadniania, że legalnie zastosowały standardową metodę. Dostawcy API mogą skuteczniej wykrywać skoordynowane konta, ruch trwający całą dobę i nowe subskrypcje od razu zużywające maksymalne limity.

Błędna nazwa nie unieważnia opisanych nadużyć

CISA wyraźnie przyznaje, że destylacja jest legalną i użyteczną techniką. W komunikacie używa węższego określenia industrial-scale distillation campaigns i opisuje konkretne zachowania. Lambert nie podważa istnienia dużych kampanii. Ostrzega przed sprowadzeniem cyberataku, naruszenia umowy i polityki przemysłowej do jednego technicznego terminu.

Publiczny komunikat zawiera szczegółowe zarzuty wobec konkretnych firm i modeli, lecz nie udostępnia niezależnemu czytelnikowi logów źródłowych. Liczby mówiące o miliardach tokenów i milionach zapytań pochodzą z oceny rządowej. Rozdzielenie legalnego użycia, złamania warunków i przestępstwa wymaga większej ilości jawnych dowodów.

Przepisy muszą celować w dostęp, tożsamość i skalę ruchu

Kolejne działania USA pokażą, czy polityka skupi się na konkretnych praktykach: kradzionych kluczach, fałszywych kontach, omijaniu blokad regionalnych i skoordynowanym pozyskiwaniu odpowiedzi z API. Ważne będzie też publikowanie mierzalnych wskaźników przez dostawców oraz zachowanie wyjątków dla badań nad bezpieczeństwem.

Jeżeli prawo lub umowy zaczną karać destylację bez względu na zgodę i pochodzenie danych, obawa Lamberta okaże się zasadna. Obrona, która rozdzieli metodę treningu od sposobu zdobycia danych, może chronić modele bez zamykania drogi mniejszym zespołom.

Werdykt Lilith

Gdy celnik oznaczy tą samą pieczęcią skradziony paszport, podręcznik i ciężarówkę, kolejka rośnie, a przemytnik zyskuje przewagę. Ochrona modeli musi nazwać czyn, zamiast zakazywać całej kategorii.