The Information在10月28日扔出了一条让硅谷和北京同时沉默的报道。 知情人士说，月之暗面上周发布的 Kimi K3.1 Pro ，和DeepSeek在10月17日更新的 V4.1-Flash-1017 ，都用了GPT-6 Astra的输出做蒸馏训练。路透社、印度快报、Times of India在同一天跟进，口径一致： “relied heavily on outputs” 。DeepSeek、月之暗面、OpenAI三方，没有一家公开证实或否认。 一个被反复引用的对比是：Kimi K3.1 Pro在Terminal-Bench 4.0上拿了 65.7% ，超过GPT-6 Astra的 58.2% ，距离Claude Opus 5.5只差0.7个百分点。DeepSeek V4.1-Flash-1017的Terminal-Bench从上一版的 31.2 跳到了 42.3 ，Browser Use长任务得分 75.0 ，和Opus 5.5打平，单任务成本 0.22美元 ，只有对手的约 1/10 。 一个被“偷师”的模型，在特定基准上被“学生”超了。 这件事本身，比“谁抄谁”更值得拆开看。 指控说了什么，没说什么 先把事实边界划清楚。 The Information的信源是“people with direct knowledge of the matter”，不是公开日志，不是法庭文件。报道说的是“利用输出进行蒸馏训练”， 蒸馏本身是一种技术手段，不是法律定性 。它和“入侵系统”“窃取权重”是两回事——蒸馏不碰对方的模型参数，只学输出的分布。 但这件事不是突然冒出来的。 OpenAI在9月30日就已经公开点名了。 它在官网发文说7月遭遇了一场“有组织的蒸馏活动”，7月24-25日超过4000名用户发起了1.6万次请求，到7月28日被完全阻断。OpenAI的原话是“尚不清楚攻击实体”，但“核心活动群体和开发Kimi模型的月之暗面有关”。Anthropic同期也表示采取了防御措施，使通过蒸馏攻击获取的数据量减少了 90%到99% 。 所以10月28日的报道不是“首曝”，是给一条已经存在两个月的指控，补上了具体模型的名字。 三方沉默，不等于三方无辜；同样，也不等于指控成立。它处在一个很典型的位置： 可信，但未验证。 基准跃升是“旁证”，但不是“证据” DeepSeek V4.1-Flash-1017的数据确实扎眼。 Terminal-Bench 4.0从 31.2跳到42.3 ，涨了11.1分。Browser Use长任务从上一版的70.9左右升到 75.0 ，直接追平Opus 5.5。Kimi K3.1 Pro更直接：Terminal-Bench 65.7% ，比GPT-6 Astra高7.5个百分点。 但基准分数从来不是可靠的“指纹”。 一个模型可以在特定测试集上通过更好的后训练、更针对性的RL、甚至更聪明的提示词工程来涨分，不一定需要蒸馏。DeepSeek官方对V4.1-Flash-1017的解释是“基于自反馈的强化学习训练”，Kimi官方对K3.1 Pro的解释是“K3的后训练版本，大幅增加了后训练算力”。 两家的官方叙事都是“自己训出来的”，没有一个字提到外部模型的输出。 真正的问题是： 如果蒸馏确实发生了，它会在哪里留下痕迹？ 不在分数上。在错误上。 我拿同一组问题问了两家，找到了一个“不像巧合”的地方 蒸馏检测在学术上有一个明确的思路： 不要看模型“做对了什么”，要看它“怎么错” 。ICML上关于反蒸馏指纹（ADFP）的研究指出，学生模型会继承教师模型在特定输入上的 失败模式 ，这种结构性痕迹比表面风格更难擦除。 我设计了一组小型测试，不做“大规模蒸馏检测”——那需要API级别的统计和大量样本，普通人做不了。我做的是 定向的异常失败对比 。 选了10个刁钻但答案唯一的问题，涵盖中文歧义消解、多步算术陷阱、以及一个特别容易触发“过度解释”的逻辑题。同一组问题，分别丢给DeepSeek V4.1-Flash-1017、Kimi K3.1 Pro，以及作为“教师参照”的GPT-6 Astra（通过可用的API入口）。 前7个问题，三家都答对了。第8个是一道带隐藏前提的算术题， DeepSeek和GPT-6 Astra给出了同一个错误的中间步骤 ——不是答案错，是 推导路径里有一个相同的、不自然的符号替换 。Kimi在这一题上答对了，但第9题（一道中文语义陷阱）里， Kimi和Astra犯了同一个错误：把“不是……而是……”的否定范围理解反了 。 一次相同的错误可以是巧合。两次、三次出现在不同模型上，方向一致，就不是“训练数据相似”能轻易解释的了。 我没法从这两三次观察里得出“蒸馏实锤”的结论——样本太小，也不排除是