Дистилляция ИИ-моделей: когда Anthropic оказался между Пентагоном и Китаем

23 февраля 2026 г. компания Anthropic (разработчик передовой ИИ-модели Claude) опубликовала отчет, в котором обвинила три китайские компании: DeepSeek, Moonshot AI и MiniMax – в систематической «дистилляции» своей модели в промышленных масштабах. По данным Anthropic, эти компании создали более 24 тысяч фиктивных аккаунтов и осуществили свыше 16 млн обращений к Claude, целенаправленно извлекая его ключевые возможности: агентное мышление, работу с инструментами и генерацию кода.

Это заявление было сделано на фоне нарастающего геополитического напряжения вокруг ИИ-технологий. В тот же период появились сообщения о конфликте между Anthropic и Пентагоном относительно возобновления оборонного контракта, а также информация об использовании моделей Claude в военных операциях, связанных с Венесуэлой и Ираном. Эти события наглядно продемонстрировали, что передовые ИИ-модели становятся не просто технологическими продуктами, но элементами национальной безопасности и технологического суверенитета государств.

Anthropic был не единственным, кто забил тревогу. Ранее в начале февраля OpenAI направила письмо американским законодателям, указав на признаки систематических попыток DeepSeek дистиллировать передовые модели. Google Threat Intelligence Group также раскрыла попытки извлечения возможностей Gemini посредством более чем 100 тысяч промптов.

Таким образом, дистилляция ИИ-моделей оказалась в центре правового, технологического и геополитического конфликта. В этой статье мы разберемся, что представляет собой дистилляция моделей с технической точки зрения, как она квалифицируется с позиции действующего права, почему Anthropic выбрал публичное обвинение, а не судебный иск, и какие ограничения на дистилляцию содержатся в условиях пользования ведущих ИИ-платформ.

1. Что такое дистилляция ИИ-моделей

1.1. Принцип «учитель – ученик»

Дистилляция моделей (model distillation, также известная как knowledge distillation) – это метод машинного обучения, при котором меньшая и более эффективная модель («ученик», student model) обучается воспроизводить поведение более крупной и мощной модели («учителя», teacher model). Концепция была впервые формализована Джеффри Хинтоном и его коллегами в 2015 году в работе «Distilling the Knowledge in a Neural Network».

Принцип работы можно описать следующим образом. Модель-учитель – это, как правило, крупная языковая модель (LLM), обученная на огромных массивах данных с использованием значительных вычислительных ресурсов. Стоимость обучения таких моделей может достигать десятков миллионов долларов: по различным оценкам, обучение GPT-4 обошлось в сумму порядка 63 миллионов долларов. Модель-ученик – это более компактная модель, которая обучается не на исходных данных, а на выходных данных (outputs) модели-учителя.

В процессе дистилляции разработчики систематически направляют разнообразные запросы (промпты) модели-учителю через ее интерфейс или API и используют полученные ответы в качестве обучающих данных для модели-ученика. Принципиально важно, что при типичной дистилляции передается не сама архитектура и не параметры (веса) исходной модели, а ее «знания» – закономерности, стиль ответов, логика рассуждений.

1.2. «Жесткие» и «мягкие» метки

В процессе дистилляции используются два типа обучающих сигналов. «Жесткие метки» (hard labels) представляют собой конкретные окончательные ответы модели-учителя – например, определенный класс или категорию. «Мягкие метки» (soft targets) включают вероятностные распределения по всем возможным ответам, отражая степень уверенности модели-учителя в каждом из вариантов. Например, на вопрос «Какова столица Германии?» жесткая метка будет просто «Берлин», тогда как мягкая метка покажет: Берлин – 99%, Мюнхен – 0,5%, Франкфурт – 0,4% и т.д.

Использование мягких меток особенно ценно, поскольку позволяет модели-ученику усвоить не только правильные ответы, но и нюансы «мышления» учителя: в каких случаях модель менее уверена, какие альтернативные варианты она рассматривает. Это существенно повышает способность ученика к обобщению и работе с новыми данными.

1.3. «Черный ящик» и масштабная дистилляция

Важным вариантом является дистилляция по методу «черного ящика» (black-box distillation), при которой разработчик модели-ученика не имеет доступа к внутренней архитектуре и параметрам учителя, а работает исключительно с его наблюдаемым поведением на входе и выходе через API. Именно этот вариант описан в обвинениях Anthropic: китайские компании, по утверждению Anthropic, использовали прокси-сервисы для массового доступа к Claude, обходя географические ограничения, и собирали его ответы для обучения собственных моделей.

Масштабы операции, по данным Anthropic, были значительными: MiniMax осуществил более 13 млн обращений, направленных на извлечение возможностей агентного кодирования и оркестрации; Moonshot AI – свыше 3,4 млн обращений, нацеленных на агентное мышление, работу с инструментами и компьютерное зрение; DeepSeek – более 150 тысяч обращений, сфокусированных на базовой логике и создании цензурированных ответов.

1.4. Последствия циклической дистилляции: «коллапс модели»

Отдельного внимания заслуживает вопрос о том, что происходит при последовательной, циклической дистилляции, когда модель A дистиллируется в модель B, модель B – в модель C, и так далее. Исследования в этой области указывают на явление, получившее название «коллапс модели» (model collapse).

Суть явления состоит в следующем: при каждом цикле дистилляции неизбежно происходит потеря части информации. Модель-ученик не может идеально воспроизвести все нюансы поведения учителя, и эти ошибки накапливаются с каждым поколением. Исследователи из Оксфордского университета и других ведущих институтов показали, что модели, обученные на данных, сгенерированных другими моделями, постепенно теряют способность генерировать разнообразный и качественный контент (I. Shumailov et al., AI Models Collapse When Trained on Recursively Generated Data, Nature, Vol. 631, 2024, pp. 755–759).

При итеративной дистилляции происходит характерный переход «от обобщения к запоминанию»: модели все в большей степени воспроизводят обучающие данные вместо генерации нового содержания. Этот эффект аналогичен потере качества при многократном копировании копий документа: каждое следующее поколение чуть хуже предыдущего, а накопленная деградация в конечном счете делает модель неработоспособной.

С практической точки зрения это означает, что дистилляция – процесс с убывающей отдачей. Первая «копия» может быть почти столь же хороша, как оригинал, но с каждым последующим циклом потери нарастают стремительно. Это обстоятельство имеет значение и для правовой оценки: если каждое поколение дистилляции ухудшает модель, то ценность, «похищаемая» у первоначального разработчика, убывает с каждым циклом.

2. Правовая квалификация дистилляции моделей

Правовой статус дистилляции ИИ-моделей остается неопределенным и не урегулирован ни в одной юрисдикции мира напрямую. Существующие правовые инструменты применяются к этому явлению по аналогии, с различной степенью убедительности.

2.1. Авторское право

Квалификация дистилляции с точки зрения авторского права наталкивается на фундаментальную проблему: является ли «выход» (output) ИИ-модели объектом авторского права? Этот вопрос решается по-разному в различных юрисдикциях.

В США Бюро по авторским правам в январе 2025 года опубликовало доклад «Copyright and Artificial Intelligence, Part 2: Copyrightability», в котором подтвердило, что авторское право в США требует человеческого авторства. Простое введение промптов не делает выходные данные ИИ охраноспособными. Однако если человек вносит собственный охраноспособный вклад, который можно идентифицировать в выходных данных ИИ, или существенно модифицирует сгенерированный контент, такой вклад может быть защищен авторским правом.

В Китае суды заняли более либеральную позицию. Пекинский интернет-суд в ряде дел признал, что контент, сгенерированный ИИ, может получить авторско-правовую защиту при наличии достаточного творческого вклада человека.

Однако, даже если признать выходные данные ИИ объектами авторского права, возникает следующий вопрос: кому принадлежит это право? Условия пользования OpenAI прямо передают права на выходные данные пользователю: «We hereby assign to you all our right, title, and interest, if any, in and to Output». Аналогичные положения содержатся в условиях Anthropic. Это означает, что даже при наличии охраны в качестве объекта авторского права разработчик модели-учителя может не обладать правом предъявлять претензии о нарушении авторских прав в связи с дистилляцией.

Дополнительную сложность создает доктрина добросовестного использования (fair use) в праве США. Крупные ИИ-компании, включая OpenAI, последовательно утверждают, что использование охраняемых авторским правом материалов для обучения моделей является добросовестным использованием. Как отмечают исследователи, эта позиция создает определенное противоречие: «В суде многие создатели моделей утверждают, что данные, собранные с миллиардов веб-страниц, могут использоваться для обучения в рамках доктрины добросовестного использования. Однако конкуренты, которые пытаются учиться на их моделях для разработки собственных, также ссылаются на аналогичную защиту». Если компании будут оспаривать применимость доктрины добросовестного использования к дистилляции, они рискуют подорвать собственную позицию по fair use в спорах с правообладателями обучающих данных.

Научный анализ подтверждает эту неопределенность. В недавней статье Клаудии Филипп «From Prompt to Clone: Copyright Challenges in AI Model Distillation», опубликованной в UC Law Science and Technology Journal в 2026 году, делается вывод, что дистилляция моделей, вероятнее всего, не является нарушением авторского права в рамках действующего законодательства, поскольку справедливое использование (fair use), доктрина обратного инжениринга (reverse engineering) и слабая охраноспособность выходных данных моделей, как правило, работают против передовых ИИ-лабораторий, заявляющих о нарушении (C. Philipp, From Prompt to Clone: Copyright Challenges in AI Model Distillation, 17 UC Law SF Sci. & Tech. Just. L.J. 49, 2026).

2.2. Коммерческая тайна (Trade Secrets)

Некоторые эксперты полагают, что защита коммерческой тайны может оказаться более перспективным инструментом, чем авторское право. Однако и здесь существуют значительные трудности.

Для квалификации информации как коммерческой тайны необходимо, чтобы она: (а) не была общедоступной; (б) имела коммерческую ценность именно в силу своей секретности; (в) была предметом разумных мер по обеспечению конфиденциальности. Выходные данные ИИ-модели, доступной широкой публике через API или веб-интерфейс, с трудом отвечают этим критериям. «Знания», извлеченные в процессе дистилляции, представляют собой обобщенные паттерны поведения модели, а не конкретные конфиденциальные данные.

Кроме того, возникает вопрос: не является ли дистилляция разновидностью обратного инжиниринга (reverse engineering)? Во многих юрисдикциях обратный инжиниринг законно приобретенных продуктов, как правило, не нарушает права на коммерческую тайну. В знаковом деле Sega Enterprises Ltd. v. Accolade, Inc. (977 F.2d 1510, 9th Cir. 1992) суд признал обратный инжиниринг допустимым для достижения совместимости. Аналогия с дистилляцией не является прямой, но показывает общее направление правовой мысли.

2.3. Патентное право

Патентная защита могла бы теоретически охватить определенные аспекты архитектуры моделей или методы обучения. Однако на практике патентование выходных данных модели, то есть того, что извлекается при дистилляции, представляется маловероятным.

2.4. Недобросовестная конкуренция

В ряде юрисдикций дистилляция может рассматриваться через призму законодательства о недобросовестной конкуренции. Например, в Китае статья 2 Закона о противодействии недобросовестной конкуренции содержит общую оговорку, которая может быть применена к дистилляции как к практике, нарушающей рыночную конкуренцию и законные интересы бизнеса.

Среди аргументов в пользу квалификации дистилляции как недобросовестной конкуренции можно привести нарушение условий пользования платформой, «паразитирование» (free-riding), прямую конкуренцию между моделью-учителем и моделью-учеником, подрыв конкурентных преимуществ компаний, вложивших значительные средства в разработку оригинальных моделей.

2.5. Договорное право: нарушение условий пользования

Наиболее перспективным и наиболее очевидным правовым основанием для оспаривания дистилляции является нарушение условий пользования (Terms of Service / Terms of Use). Все ведущие разработчики ИИ-моделей включают в свои условия явные запреты на дистилляцию и извлечение данных.

Именно на это основание преимущественно опирается позиция Anthropic: компания утверждает, что действия DeepSeek, Moonshot AI и MiniMax представляли собой систематическое нарушение условий пользования Claude, включая создание фиктивных аккаунтов, обход географических ограничений через прокси-сервисы и автоматизированное извлечение данных.

Однако договорный подход имеет свои ограничения. Во-первых, он действует только между сторонами договора и не создает защиты в отношении всех. Это означает, что иски предъявить Anthropic может только против сторон его Terms of Use, а не от в отношении любых третьих лиц, как в случае с нарушениями исключительных прав. Во-вторых, при трансграничных нарушениях возникают сложности с юрисдикцией и принудительным исполнением. В-третьих, необходимо доказать, что конкретные условия были акцептованы нарушителем, что в случае фиктивных аккаунтов может быть не столь очевидно.

3. Почему Anthropic выбрал публичное обвинение, а не судебный иск

Решение Anthropic опубликовать детальный отчет о дистилляции вместо подачи судебного иска не было случайным. Эта стратегия объясняется несколькими факторами.

Во-первых, существуют серьезные практические препятствия для судебного преследования. Все три обвиняемые компании – китайские юридические лица. Подача иска в суд США потребовала бы установления юрисдикции над иностранными ответчиками, что представляет значительную процессуальную сложность. Исполнение решения американского суда на территории Китая практически невозможно без содействия китайских властей. Подача же иска в китайский суд вряд ли была бы привлекательной опцией для американской компании в текущем геополитическом контексте.

Во-вторых, правовая неопределенность, описанная в предыдущем разделе, делает исход судебного разбирательства крайне непредсказуемым. Ни авторское право, ни право на коммерческую тайну, ни патентное право не обеспечивают надежной защиты от дистилляции. Договорный иск более перспективен, но сталкивается с проблемами юрисдикции и доказывания. Показательно, что OpenAI, столкнувшись с аналогичной ситуацией ранее, также не стал подавать иск против DeepSeek, что косвенно подтверждает оценку правовых рисков индустрией.

В-третьих, публичное обвинение преследует стратегические цели, выходящие далеко за рамки конкретного спора. Отчет Anthropic был опубликован в период активных дискуссий в Конгрессе США об экспортном контроле на ИИ-чипы. Anthropic прямо указал в своем отчете, что «масштаб извлечения требует доступа к передовым чипам», тем самым «подкрепляя обоснование экспортного контроля». Таким образом, публикация одновременно служила аргументом в пользу ужесточения регуляторной среды для китайских ИИ-компаний.

В-четвертых, публичное раскрытие информации о методах дистилляции и мерах противодействия создает сдерживающий эффект (deterrent effect) для потенциальных нарушителей. Демонстрация того, что подобные операции обнаруживаются и документируются, повышает воспринимаемые риски для тех, кто рассматривает аналогичные практики.

Наконец, нельзя исключать и репутационный аспект. Позиционирование себя как жертвы «промышленного шпионажа» со стороны китайских компаний укрепляет позиции Anthropic как ответственного участника индустрии и союзника американского правительства в вопросах технологической безопасности, что особенно актуально на фоне продолжающегося конфликта компании с Пентагоном.

Заключение

Обвинения Anthropic в адрес DeepSeek, Moonshot AI и MiniMax знаменуют новый этап в развитии правового ландшафта искусственного интеллекта. До недавнего времени дистилляция моделей была технически легитимным и широко используемый методом машинного обучения. Теперь же дистилляций оказалась в центре конфликта, в котором переплетаются вопросы интеллектуальной собственности, договорного права, международной конкуренции и национальной безопасности.

Существующие правовые инструменты не обеспечивают однозначной и надежной защиты от несанкционированной дистилляции. Авторское право сталкивается с фундаментальной проблемой охраноспособности выходных данных ИИ и доктриной добросовестного использования (fair use). Защита коммерческой тайны ограничена публичным характером доступа к моделям. Патентное право практически неприменимо к выходным данным. Наиболее перспективным остается договорное право, но и оно упирается в проблемы юрисдикции и трансграничного исполнения.

Выбор Anthropic в пользу публичного обвинения, а не судебного иска, отражает как правовую неопределенность ситуации, так и стратегические интересы компании в более широком контексте регуляторной и геополитической борьбы за контроль над ИИ-технологиями. Этот прецедент, вероятно, станет поводом для появления в США более широких экспортных ограничений в отношении ИИ-моделей и извлечения знаний из них.