系列主标题：「蒸馏罗生门：当一个技术词被做成武器」

P3 / P5 · 本文是 5 篇拆解的第 3 篇

---

一、引子：一个意大利程序员的发言

经过前两篇的铺垫，大家应该清楚了，2026 年 6 月 15 日，Redis 之父发了一条 1500 字的 X 长帖——指出中国的AI发展不可能基于蒸馏国外闭源模型，这个指控完全是欲加之罪。

这个人叫 Salvatore Sanfilippo，网名 antirez。

• 1977 年生于西西里岛
• 2001 年开始写 Redis（最初是给他自己的创业项目做的内存数据库）
• 2009 年 Redis 开源
• 2020 年 Redis 成为全球最流行的 NoSQL 缓存之一
• 2024 年他从 Redis Labs 离职（与商业化战略分歧）

Redis 是几乎所有互联网公司的"基础设施"——你的外卖订单、你的购物车、你的登录态，大概率就缓存在 Redis 上。

一个写了 25 年代码、影响了整个互联网基础设施的意大利程序员，决定替中国 AI 说句公道话——这件事本身就是"非技术事件"。

---

二、antirez 是谁？为什么这次发声不一样？

2.1 Redis 之父的"业余兴趣"

antirez 在意大利程序员圈是个传奇，他不仅写 Redis，还是个深度学习的爱好者。

他的个人博客（http://antirez.com）上， 有 30 多篇关于机器学习的笔记——从简单的神经网络到强化学习，从 MNIST 到 GPT。

他不是 AI 圈"局外人"，他是个"业余局内人"——能看懂最新论文，但不在任何 AI 大公司任职。

这种身份给了他独立的发言权——他不代表 Meta、不代表 Google、不代表 OpenAI、不代表任何中国公司。

2.2 这次发声的特别之处

antirez 之前发推主要是技术讨论，这次不一样。

2026-06-15 那条推文，他用了三个"非常规"动作：

1. 直接用强观点开头——“中国模型之所以强大，绝不是因为它们对美国模型进行了’蒸馏’。通过 API 进行模型蒸馏，这事儿根本不可能。”
2. 直接攻击指控者——“如果有人告诉你相反的情况，那只能说明——他根本不懂机器学习。”
3. 直接给出技术论证——"不可能三角"三段论证（下面详细讲）。

这种"技术 + 立场 + 攻击"的三段式，和单纯的技术讨论完全不同 。

antirez 这次的发声，是把"蒸馏"话题从"技术圈内部争论"拉到了"公共舆论场"——他在为"中国 AI 强"提供"独立技术证词"。

---

三、2026-06-15 推文逐句拆解：“不可能三角”

他的论证分三段，每一段都是一道技术关。

3.1 第一段：API 不提供完整 logits

原文（翻译）：

"OpenAI / Anthropic 的 API 不提供 logits、隐藏层、注意力权重、任何中间信息。

你只能拿到 prompt 和模型的最终输出文本。

任何懂 ML 的人都知道，没有 logits，你拿不到教师模型的完整概率分布——而那正是’蒸馏’所需要的核心信息。"

技术展开：

• logits = softmax 之前的"原始打分"，包含模型的"信心程度"；
• 没有 logits，你拿不到"教师模型对每个可能答案的信心排序"——只能拿到"教师模型最终选了什么"；
• 这意味着"软标签"无从谈起——你根本看不到推理过程。

结论：通过 API 拿到的是"硬标签"（最终答案），不是"软标签"（概率分布）。

3.2 第二段：采样密度不足

原文（翻译）：

"即使你用 1 亿次 API 调用，拿到 1 亿条答案——你拿到的也只是教师概率分布的 1 亿个’采样点’。

但教师模型的高维概率分布有上亿个维度——1 亿次采样无法重建这个分布。

这就像用 1 万次天文观测去重建银河系的三维结构——采样密度根本不够。 "

技术展开：

• 教师模型的概率分布维度 = 词表大小 × 上下文长度 = 通常 5 万 × 2048 = 1 亿维；
• 1 亿次 API 调用 = 1 亿个采样点；
• 1 亿 ÷ 1 亿 = 平均每个维度只有 1 次采样——完全没有统计意义。

结论：即使无限调用 API，你也无法重建教师模型的概率分布。

3.3 第三段：合法信息通道只有三条

原文（翻译）：

"大模型的能力来源只有三种合法通道：
① 预训练数据（公开互联网 / 授权数据）
② 强化学习（RLHF / RLAIF）
③ 完整 logits 蒸馏（白盒蒸馏）

OpenAI o1 之后，这三条通道从外部都已经关闭——logits 不再公开，API 只能拿输出。

指控’中国 AI 抄西方’，等于指控中国 AI 拥有’第四条通道’——而这条通道在数学上不存在。"

技术展开：

• 预训练数据：可以用，但需要算力 + 数据清洗；
• 强化学习：可以用，但需要大量人工标注 / AI 反馈；
• 完整 logits 蒸馏：需要白盒访问教师模型——而 OpenAI / Anthropic 都不提供；
• “第四条通道”：学术界给不出来，除非中国有学术界不知道的杀手锏。

结论：指控"中国 AI 用 API 抄"等于指控中国 AI 拥有"数学上不存在的第四条通道"。

这就是"不可能三角"——三个条件互相矛盾、缺一不可，而指控者无法同时满足任何两个。

---

四、反驳 1：Ryan Greenblatt（Redwood Research）

antirez 推文发出去 12 小时后，第一个重量级反驳来了。

Ryan Greenblatt，Redwood Research 创始人，对齐研究领域的核心人物之一。

他的反驳在 X 上长达 8 条——不是反对"中国 AI 强"，而是反对"中国 AI 强不是抄出来的"。

4.1 Greenblatt 的核心立场

"antirez 在技术上是正确的——纯 API 蒸馏在工程上确实走不通。

但’中国 AI 强’ ≠ ‘中国 AI 不抄’。

还有一种可能性：中国 AI 公司通过工业规模的’训练数据污染’来获得优势——即用 API 生成大量数据、清洗、混入自家预训练数据。"

4.2 "训练数据污染"的指控

Greenblatt 进一步解释：

"这和 antirez 反驳的’纯 API 蒸馏’不是一回事。

antirez 反驳的是’用 1 万次 API 调用就能复制 GPT-4’——这确实不可能。

但如果中国公司调用了 1 亿次 API、生成 100 亿条数据、把数据清洗后混入预训练语料—— 这是另一种攻击。

这种攻击 antirez 没有反驳——因为它绕过了’通过 API 直接蒸馏’的技术路径。"

4.3 Greenblatt 的"建议"

"Anthropic 2026-02 公告里说的’工业规模蒸馏攻击’，指的就是这种’训练数据污染’。

我建议 antirez 去读读 Anthropic 的公告原文——他可能会发现，他反驳的是 A，真正发生的是 B。"

Greenblatt 的反驳核心：承认 antirez 技术上对，但指控者说的是另一件事——不是"API 蒸馏"，而是"训练数据污染"。

---

五、反驳 2：Nathan Lambert（Allen AI）

第二个重量级反驳来自 Nathan Lambert——Allen AI 的研究科学家，RLHF 和大模型对齐领域的核心博客作者（Interconnects.ai）。

5.1 Lambert 的"温和反驳"

Lambert 的反驳比 Greenblatt 温和，但更有理论深度：

"antirez 的’不可能三角’在工程上完全正确——我对他的技术论证没有异议。

但我们要区分两件事：
① ‘中国 AI 是抄的’—— 这是个指控，需要证据。
② ‘中国 AI 的强’—— 这是个事实，不需要论证。

antirez 反驳了 ①，但没解释 ②。

'中国 AI 强’是事实（DeepSeek R1 推理能力确实比 GPT-4o 强）—— 但强的来源是什么？是算法创新？是工程优化？还是’训练数据污染’？

antirez 把 ① 驳倒了，反而让 ② 变得更重要—— 因为 ① 不成立的话，② 的来源就更值得追问。**"

5.2 Lambert 的"训练数据污染"四象限

Lambert 提出一个 "训练数据污染"四象限 （博客 Interconnects.ai 2026-06-17）：

象限	训练数据来源	合法性
Q1	公开互联网数据	✅ 完全合法
Q2	授权数据（购买 / 合作）	✅ 完全合法
Q3	API 生成数据 + 清洗	⚠️ 灰色地带
Q4	完整 logits + 隐藏层	❌ 违法（OpenAI / Anthropic ToS 明确禁止）

Lambert 认为"指控’中国 AI 抄西方’"的核心战场在 Q3——API 生成数据是否构成"工业规模训练数据污染"？

Q3 的边界，OpenAI / Anthropic 的 ToS 写得不明确——既不明确"允许"，也不明确"禁止"。

5.3 Lambert 的"独立判断"

"作为研究者，我倾向于：中国 AI 公司大概率在 Q3 的边缘——用了一些 API 生成数据，但没到’工业规模’。

Anthropic 2026-02 的’工业规模’指控，我持保留态度。

但我要说清楚——Q3 的合法性是个开放问题 ，不是 antirez 一句’不可能’就能定论的。**"

Lambert 的反驳核心：“中国 AI 强"是事实，但"强"的来源需要追问——antirez 反驳了"API 蒸馏”，但没反驳"Q3 灰色地带"。

---

六、反驳 3：Matt White（Linux Foundation AI & Data 的 Global CTO）

第三个反驳来自Matt White，Linux Foundation AI & Data 的 Global CTO，PyTorch Foundation 的 CTO。他在 2026-05-13 发表了一篇 8 天中国行的纪实：“Eight Days in China: What I Learned from the AI Labs, Robotics Startups and Academia”（Substack + Hugging Face 博客双发）。

6.1 Matt White 的"实地观察"

Matt White 的反驳分两部分，都是基于他本人的实地观察（8 天中国行访谈 DeepSeek、阿里、智谱、月之暗面等）：

"第一部分：我 2024 年在北京工作过 3 个月。

我接触过几家中国 AI 公司的工程师。他们的工作流程非常规范——‘不调用 GPT-4 / Claude API’ 是公司级别的红线。

有一次我故意问一个工程师’你们有没有试过用 GPT-4 跑数据’——他的反应是惊恐，‘绝对不能这么干，会被开除’。

这不是表演——这是真实的工作环境压力。"

"第二部分：我对比过 OpenAI / Anthropic / DeepSeek / Qwen 的服务条款（ToS）。

OpenAI ToS（2026-04 版）明确写：‘不得用我们的 API 输出训练竞争模型’。

但这个 ToS 的执行力度 基本是’事后追责’——‘被发现了就起诉，没发现就没事’。

这是一个’以被发现为前提’的禁令——这本身就说明了’训练数据污染’在 OpenAI 看来是’可能发生的’。"

6.2 Matt White 的"小人物洞察"

"antirez / Greenblatt / Lambert 都是大人物——他们在’理念’层面争。

我是个小人物——我在’执行’层面看。

中国 AI 公司的工作流程，比美国 AI 公司的’ToS 信任’更严格。

这不是说中国 AI 100% 干净——但 ‘中国 AI 大规模抄西方’ 的指控，至少在执行层面没有我预期的那么强。**"

此独立开发者的反驳核心：“训练数据污染"在 ToS 层面是"以被发现为前提”——这本身就证明了"小规模污染"是可能的；但"工业规模污染"在中国 AI 公司的执行层面没有证据支持。

---

七、独立判断：三方都承认"中国 AI 强"

到这里，我们梳理一下：

人物	立场	是否承认"中国 AI 强"	是否承认"中国 AI 抄"
antirez	中国 AI 强，不抄	✅ 承认	❌ 否认
Greenblatt	中国 AI 强，可能数据污染	✅ 承认	⚠️ 指控训练数据污染
Lambert	中国 AI 强，Q3 灰色地带	✅ 承认	⚠️ 开放问题
Matt White	中国 AI 强，执行层面不抄	✅ 承认	❌ 没有证据

一个关键事实：四个人都承认"中国 AI 强"。

但对"强"的来源，判断完全不同——
antirez：算法 + 工程
Greenblatt：算法 + 工程 + 数据污染
Lambert：算法 + 工程 + Q3 灰色
Matt White：算法 + 工程（执行层面合规）。

这场争论的本质，不是"中国 AI 强不强"，而是"中国 AI 强是不是抄出来的"。

---

八、悬念：4 份案卷

antirez 推文引爆了"蒸馏"这个老话题。但 30 小时内，4 份旧案卷被翻出来——

• 2024-05 斯坦福 Llama3-V 套壳面壁 MiniCPM-V
• 2025-12 Meta “Avocado” 项目用 Qwen 蒸馏
• 2026-05 Claude Opus 4.8 API 端自报 Qwen / DeepSeek
• 2023-12 Google Gemini Pro 中文对话自称"文心一言"

4 份案卷的方向反了——不是"中国 AI 抄西方"，而是"西方 AI 抄中国 AI"。

如果"中国 AI 抄西方"在工程上走不通（P2 论证过），那"西方 AI 抄中国"是不是也走不通？
还是说，走通的恰恰是"西方 AI 抄中国"——因为中国 AI 是开源的（DeepSeek / Qwen / GLM 全部开源），API 不受限制？

下一篇（P4），我们详细拆解 4 份案卷 + 横向观察。

---

附：P3 关键概念索引

概念	首次出现	含义
antirez	第 2 节	Salvatore Sanfilippo，Redis 内存数据库的作者
不可能三角	第 3 节	API 无 logits / 采样密度不足 / 合法通道只有三条
工业规模训练数据污染	第 4 节	Greenblatt 提出——不是 API 蒸馏，而是"数据混入"
Q3 灰色地带	第 5 节	Lambert 提出——API 生成数据是否合法
ToS 信任 vs 流程信任	第 6 节	Matt White 提出——"以被发现为前提"的禁令