BRAIN / BRAIN × AI20 SEP 2026
脑科学与AI97｜抄得走答案，抄不走裁判：学生能不能超过老师，看谁来判卷
小明哥转来 Anthropic 10 月 12 日的一篇文章《Strengthening our defenses against distillation attacks》，讲它怎么防“蒸馏”：别家用大量账号向 Claude 提问，拿它的回答去训练自己的模型。读完他问了两件事：这东西是不是很难防？学生能不能超过老师？第 15 篇讲过，蒸馏学到的是答案的样子，不是产生答案的结构。这一篇往下走一步，回答“能不能超过”。
答案只要给人看，就防不住被抄；但抄，大体只能把学生带到老师身边。能不能超过老师，不看抄得多像，看有没有一个碰得到真实结果的裁判。有裁判、判得快的地方，学生抄完再自己练，有可能追上甚至超过；没有裁判的地方，学生最多抹平老师偶然犯的错，超不过老师的盲区，而且谁高谁低，短期根本量不出来，只能等时间和结果。
71.8% 01 只给摘要也能学到 |
1/10–1/100 02 自家平台被套走的推理 |
裁判 03 超过老师靠什么 |
BRAIN / 01
一、Anthropic 说了什么
先把事实摆出来。下面的数字都是 Anthropic 自己报的，没有外部核实。
—蒸馏最想要的，是推理过程。也就是模型给出答案之前打的草稿。Anthropic 做了一个对照：拿 Claude 的完整推理过程去训练一个学生模型，编程测试得 80.4%；只给压缩过的摘要，得 71.8%。—防线有三道。新账户不能改写此前的对话，旧模型不能读新模型的推理；用分类器识别“想套出推理过程”的请求；对反复尝试的账户限流、封号，被拦下的请求照样收费。—效果。在它自己的平台上，被套走的推理内容降到原来的十分之一到百分之一，封了数以万计的账户。—代价。它说自己拒掉了“数万亿 token”的付费流量，因为抄的人也是付费客户。—漏洞。Anthropic 称：智谱训练 GLM-5.3 时，试着蒸馏 Claude 最新的模型，发现网络攻击方面的防护削弱了效果，就转去用旧版 Claude 和另一家实验室的模型。它还引用美国一家评测机构的结论，说 GLM-5.3 是迄今网络攻防能力最强的开源模型。Anthropic 自己承认：防守花钱，抄的人又付钱，行业的动力是反的；它也还没遇到过真正高水平、持续的绕过。
BRAIN / 02
二、为什么防不住：看得见的答案，就抄得走
那组 80.4% 对 71.8% 的数字，反过来读更有意思：只给摘要，学生照样拿到七成多。大部分本事，光靠答案就学走了。
Anthropic 能藏的只是草稿，藏不住答案，因为答案本来就是卖给用户看的。而且它只能管住自己的门：旧版模型、别家的模型、托管模型的第三方平台，任何一处漏，能力就从那里流出去。
所以“防蒸馏”不是一家公司的技术问题，是整个行业的集体行动问题，看的是最弱的那一家。
一句话：答案层的蒸馏，防不住；能防的只是让它慢一点、贵一点。
BRAIN / 03
三、大脑从来不只靠模仿
那么，抄来的东西能不能超过原作？先看大脑是怎么学的。
—提前的信号，最后要被真实结果校准。第 29、55 篇讲过多巴胺：它报的不是快乐，是“比预想的好还是差”。下丘脑里管饥饿的神经元，看到、闻到食物还没吃，活动就会先降下来；可如果食物被拿走、没吃到，活动又会回升。最后定账的，是真吃进去的营养。提前的估计会被结果改正，这才是裁判。—每个学生配一个老师。第 56、57 篇讲过小脑：每个浦肯野细胞只接一根攀爬纤维，按主流理论，这根纤维专门在动作做歪时报错（这一说法有争议）。这个老师不告诉你“标准动作长什么样”，它告诉你“刚才那一下实际偏了多少”。纠错的信号来自真实的动作结果，不来自示范。—灵长类会模仿，但模仿自带纠错。黑猩猩母亲教孩子砸坚果，会把锤子转正、把砧石清干净。在各种传承方式里，师傅带徒弟保真度最高，就是因为传的过程中有一条纠错的通道。—一百多年前就有人撞上这件事。1898 年，桑代克本想证明动物会模仿，实验结果证明的却是试错：猫是自己碰对机关学会开门的，不是看别的猫学会的。
一句话：大脑里每一套能超过示范的学习，都配着一个碰得到真实结果的裁判。
BRAIN / 04
四、有裁判的地方：有先例超过老师
最干净的例子是下棋。
—泰索罗的双陆棋。1989 年，他的程序靠专家棋谱训练，赢了计算机奥赛，但水平只到中级。后来改成自己跟自己下，纯靠输赢学，到 1994 年达到大师级。—AlphaGo。它先学人类的棋谱，再大量自我对弈，2016 年 4 比 1 赢了李世石。学生超过了老师。—R1-Zero。它只拿“答案对不对、格式对不对”做奖励，就逼出了回头检查、换方法再试的习惯。（后来的研究发现，这种苗头有一部分在训练前的基础模型里就有。）
这三个例子的共同点：超过老师的那一步，靠的不是抄，是一个能判输赢的裁判。下棋有输赢，代码有测试，数学证明有机器检查。在这些地方，学生抄完再自己练，有可能追上前沿，甚至超过。
但要守住边界：下棋是窄领域。一个大模型抄另一个大模型，在宽领域里能不能超过老师，现在不知道。有先例，不等于会发生。
BRAIN / 05
五、没有裁判的地方：大概率超不过，而且量不出来
小明哥把这件事分得很清楚，我照他的话说：
—没有实践、感知不到世界，大模型超不过在现场、有结果反馈的那批人。大模型读的是人写下的文字，它白拿了写下来的那部分；没写下来的，比如身体的分量、输过才知道的痛、在现场才看得出的那一点不对，文字里没有，逼也逼不出来。—学生能小幅超过老师，但超不过老师的盲区。有实验显示，学生只学老师的输出，也能小幅超过老师，靠的是把老师偶然犯的错平均掉。但老师系统性的错，学生会原样继承。没有裁判，就没有信号告诉它“这里整体都错了”。—而且谁高谁低，短期量不出来。两边都是黑箱，打开看不懂；结果又要很久才出来，投资要几年，人生判断要更久。只能等时间和结果来检验。
第三条最容易被忽略。很多人争论“某某模型是不是已经超过某某模型”，在判不了卷的事情上，这个问题短期内没有答案。量不出来的地方，说“超过了”和说“没超过”，都不算证据。
BRAIN / 06
六、对 AI 生意意味着什么
—前沿的领先，本质上是一段时间差。在能自动判卷的领域，抄加自练会把这段时间差压短；GLM-5.3 强在网络攻防，正是一个能判对错的领域。—在判不了卷的领域，客户也分不出谁更强。分不出来，竞争就会从“比能力”转去比信任、渠道、价格和工作流。系列里早就说过，模型的护城河不长在模型上，长在分发、成本和工作流周围；蒸馏让这句话更硬了。—但能判卷领域的领先，商业上仍然值钱。客户分不出判断类的高低，就会拿代码、数学这些排得出名次的成绩当招牌，把那边的领先换成这边的信任。值钱的是信任，不是能力本身。—防蒸馏要看最弱的一家。一家防得再好，只要别处能抄，能力照样扩散。所以单靠技术保住前沿领先，难。
BRAIN / 07
七、对人：背结论到老师身后，超过老师靠判卷
把主语换成人，一样成立。
背熟一位大师的全部结论，最快也只能走到他身后。想超过他，得自己做题，而且得有东西判你的卷：师傅看着你做错再纠正你，或者现实给你结果。
最难的是那些判卷慢的事，比如投资和人生判断。结果要好几年才出来，中间分不清是本事还是运气。在这些事上，能做的只有一件：事前把预想写下来，写清楚“看到什么就算我错了”，等结果出来对账。这是给自己装一个裁判。没有这个裁判，你学到的只是越来越像自己崇拜的人，而不是越来越对。
BRAIN / 08
八、边界
—Anthropic 的数字都是自报的，发文时它正在上市路演，“我们守得住、对手靠抄”对它有利；它也说效果能维持多久还不知道。—AlphaGo、泰索罗都是窄领域，不能直接推到大模型对大模型。—“判不了卷的领域，学生超不过老师的盲区”是从机制推出来的，没有直接的实验数据；“谁更强量不出来”恰恰意味着它也很难被证实。
说明我错了：出现只靠蒸馏、没有自己做强化训练的模型，在专家盲评这类判不了对错的任务上，稳定超过它的老师；或者一年内，开源模型在代码、数学这类能判卷的领域，落后前沿的时间明显拉长，说明防御真的有效。
BRAIN / 09
九、三行，留着复习
```
答案抄得走 看得见的答案防不住被学；能防的只是草稿，而且看最弱的一家
超过靠裁判 大脑里能超过示范的学习都配着碰得到真实结果的裁判；下棋有先例，宽领域不知道
判不了卷的地方 没有实践和感知，超不过在现场的人；学生能抹平老师的偶然错，超不过老师的盲区；谁高谁低只能等时间和结果
```