Китайские разработчики DeepSeek и Moonshot AI использовали ответы GPT-6 Astra от OpenAI при обучении собственных моделей. Об этом сообщает The Information со ссылкой на источники, непосредственно знакомые с ситуацией. Ранее главным источником таких данных служили модели Claude, однако после усиления защиты Anthropic китайские лаборатории переключили внимание на OpenAI. Moonshot не прокомментировала публикацию, DeepSeek не ответила на запрос журналистов.
По данным журналистов, Moonshot AI использовала результаты Astra при разработке Kimi K3.1 Pro, выпущенной 23 октября. Об этом рассказали три источника. Ещё два источника сообщили об использовании Astra при создании DeepSeek V4.1-Flash 1017, обновление от 17 октября.
Речь идёт о дистилляции — методе, при котором ответы одной модели используются как обучающие данные для другой. Особенно ценны не просто готовые ответы, а подробные рассуждения, показывающие процесс решения задачи. Обучение передовой языковой модели требует огромных вычислительных ресурсов. Дистилляция позволяет переложить часть этой работы на чужую систему: более мощная модель генерирует решения задач, объяснения и примеры, на которых затем обучают собственную. Сама по себе дистилляция — обычный и вполне законный метод обучения, но конкуренты в лице американских фронтир-компаний, почему-то, не рады, когда для этого используют их сильнейшие модели, нарушая условия доступа и обходя технические ограничения.
Для китайских лабораторий она оказалась способом сократить расходы и сроки разработки, особенно в условиях ограниченного доступа к современным американским ускорителям. При этом полученная модель может работать на собственной инфраструктуре и не зависеть от доступности исходного API. Для OpenAI и Anthropic ситуация куда менее благоприятная: они несут основные расходы на создание передовых моделей, а конкуренты получают возможность использовать результаты этих инвестиций для выпуска более дешёвых альтернатив.
Ещё 23 февраля Anthropic обвинила DeepSeek, Moonshot и MiniMax в организации массовой дистилляции Claude. По данным компании, эти три лаборатории провели более 16 миллионов чатов с моделями через примерно 24 тысячи поддельных аккаунтов. В сентябре Anthropic подробно описала, как работают подобные схемы. Посредники предоставляют доступ к Claude через сети аккаунтов, распределяют запросы и пытаются извлечь не только ответы, но и скрытые рассуждения модели.
12 октября компания сообщила о результатах усиления защиты. При этом «закручивании гаек» наблюдались массовые баны и других, совсем даже не используемых для дистилляции, аккаунтов, но Antropic выбрала такой вариант решения. По её оценке, количество извлекаемых злоумышленниками токенов скрытых рассуждений сократилось на 90–99%. Именно эти меры, по сведениям The Information, стали одной из основных причин переключения китайских лабораторий на Astra.
Однако OpenAI столкнулась с аналогичной проблемой ещё раньше. 30 сентября компания рассказала о выявленной кампании, начавшейся в июле. Часть обнаруженной активности она связала с людьми, имеющими отношение к Moonshot AI. В ходе одного из эпизодов, 24–25 июля, OpenAI зафиксировала 16 тысяч подозрительных запросов более чем от четырёх тысяч пользователей. Дальнейшее расследование выявило связанные шаблоны запросов у более чем 15 тысяч пользователей. К 28 июля компания, по её заявлению, пресекла эту кампанию. Участники пытались заставить модели раскрыть защищённые рассуждения. В частности, переносили зашифрованные блоки между диалогами и просили модель восстановить их содержимое (на самом деле, та, июльская кампания ещё не могла быть направлена на Astra, поскольку модель появилась только в сентябре. Но она показывает, что подобные попытки предпринимались задолго до нынешней публикации).
Как именно были получены ответы Astra и на каких этапах обучения их использовали DeepSeek и Moonshot, остаётся неизвестным. The Information не приводит описания обучающего процесса или состава полученных датасетов.
Одними запретами в пользовательском соглашении дело не ограничивается. Ещё 12 февраля OpenAI направила в специальный комитет Палаты представителей США девятистраничный документ, в котором подробно описала борьбу с несанкционированной дистилляцией.
Компания использует несколько уровней защиты:
-
Анализирует масштаб и разнообразие запросов, чтобы выявлять массовую генерацию обучающих данных.
-
Применяет классификаторы, распознающие характерные шаблоны оценки, ранжирования и проверки ответов, используемые при обучении с подкреплением.
-
Отслеживает попытки извлечения скрытых рассуждений, используя проверки входящих запросов и генерируемых ответов.
-
Выявляет взаимосвязанные аккаунты, ограничивает доступ и блокирует пользователей, нарушающих правила.
В сентябрьском отчёте OpenAI сообщила о дополнительных мерах: усилении контроля при регистрации, защите зашифрованных рассуждений от переноса между аккаунтами и организациями, а также проверке потокового вывода, способного раскрыть внутренние данные модели.
Юридические ограничения тоже совершенствуются. В новой редакции правил, вступающей в силу 20 ноября, OpenAI уточнила уже действовавший запрет на использование своих моделей для обучения конкурирующих систем. Теперь в нём отдельно упоминаются генерация обучающих данных, оценка ответов, ранжирование, фильтрация и подготовка данных для обучения с подкреплением. Такой запрет, хоть и выглядит всёго лишь фразой в тексте юридического документа, даёт компании законные основания пресекать нарушения и предъявлять претензии. Но сам по себе он, конечно, не мешает собирать ответы через тысячи аккаунтов.
Зато перед нами с вами другая проблема. Чтобы обнаруживать массовую дистилляцию, разработчикам приходится анализировать не только содержание запросов, но и поведение пользователей: частоту обращений, повторяющиеся шаблоны, связи между аккаунтами и способы использования ответов — и, порой, делать из этого выводы не в пользу того или иного пользователя.
Причём последствия уже проявились у конкурента OpenAI. Anthropic прямо признаёт, что новые механизмы защиты Claude затронули добросовестных клиентов. Некоторым разработчикам пришлось менять API-интеграции после ограничения возможностей редактирования контекста с сохранёнными рассуждениями. Она также сообщает, что её классификатор ошибочно блокирует менее 0,1% добросовестных запросов, при этом с 24 сентября в отдельных категориях, включая попытки извлечения рассуждений, Anthropic взимает плату даже за запросы, которые защита отклонила до генерации ответа.
Это не означает, что OpenAI уже применяет или применит те же ограничения или покажет сопоставимую частоту ошибочных блокировок — этого они, конечно, не раскрывают — но сам конфликт интересов очевиден: чем строже автоматическая защита, тем важнее отличать промышленный сбор данных от нормальной работы разработчиков, исследователей и пользователей API.
OpenAI намерена распространить единые требования безопасности на сторонние площадки, предоставляющие доступ к её моделям. Согласно публикации от 21 октября, маршрутизаторам моделей и API-шлюзам потребуется согласование с OpenAI, а партнёры должны будут участвовать в выявлении и пресечении нарушений.
Компания также работает над механизмом SafetyIDs, позволяющим различать конечных пользователей внутри клиентских приложений без раскрытия их личности OpenAI. Это должно помочь точнее блокировать нарушителей, не отключая целые организации.
Что касается Anthropic, она сама признаёт, что борьба с дистилляцией Claude ещё далека от завершения. По мере появления новых ограничений разработчики подобных схем ищут способы их обхода.
И эта проблема не исчезнет, даже если доступ к скрытым рассуждениям удастся полностью закрыть, ведь даже обычные ответы передовых моделей тоже остаются ценным обучающим материалом.
В результате крупнейшие лаборатории оказываются в противоречивой ситуации: им выгодно продавать доступ к своим самым мощным моделям, но каждый такой ответ потенциально помогает обучать будущего конкурента. А технические ограничения, призванные этому помешать, неизбежно приходится применять и к добросовестным клиентам. То есть — в т.ч. и к нам с вами.
Источник: habr.com