白宫 NSTM-4 备忘录全文翻译：美国 AI 模型的对抗性蒸馏

结论

这是美国白宫科技政策办公室（OSTP）2026 年 4 月 23 日发布的总统科技备忘录 NSTM-4《美国 AI 模型的对抗性蒸馏》（Adversarial Distillation of American AI Models）的全文中文翻译。签署人是总统科学技术助理兼 OSTP 主任 Michael J. Kratsios，发文对象为各行政部门与机构首长。这是美国政府第一份把「对外国前沿 AI 模型的产业级对抗性蒸馏」正式定性为需要跨部门应对的国家安全与经济威胁的政策文件。

原文的核心事实链：美国政府掌握情报，显示外国实体（主要位于中国境内）正在开展「蓄意的、产业级规模的」行动来蒸馏美国前沿 AI 系统——它们利用数万个代理账户规避检测，使用越狱技术暴露专有信息，系统性地从美国 AI 模型中抽取能力。备忘录给出三个关键判断：第一，这类偷偷进行的、未授权的蒸馏模型无法复制原模型的完整性能，但能让外国行为体发布「在部分基准上表现看似相当、而成本只是其中一小部分」的产品；第二，蒸馏行动还允许这些行为体「故意从所得模型中剥离安全协议，并拆除确保 AI 模型意识形态中立、追求真相的机制」；第三，备忘录明确划出边界——合法蒸馏（用于从更先进系统生产更小、更轻量模型）是生态的重要部分，只有旨在系统性破坏美国研发、获取专有信息的「产业级蒸馏」才不可接受。

针对威胁，特朗普政府列出四项行动：（1）与 AI 企业共享外国行为体尝试未授权产业级蒸馏的情报（含手法与行为体）；（2）让私营部门更好地协同应对此类攻击；（3）与私营产业共同制定识别、缓解、修复产业级蒸馏的最佳实践并构建强防御；（4）探索一系列措施，追究外国行为体产业级蒸馏行动的责任。

对企业的启示：如果你运营或采购前沿模型 API，「产业级蒸馏防护」（代理账户检测、越狱流量识别、输出保护）已从厂商自选动作升格为政策预期方向；如果你基于第三方模型做蒸馏或微调，「自有/授权 vs 恶意收割」的合规边界需要写进采购合同与开发规范；采购来路不明的「性能相当、价格极低」模型时，护栏是否被剥离应成为验收项。

本文为美国联邦政府作品，依美国法典第 17 卷第 105 条属公有领域，允许全文翻译与再发布。原件为 2 页扫描 PDF（无嵌入文本层），本文按原件经 OCR 逐段转录、并与多家媒体引用的原文短语交叉核对后翻译。以下为忠实全文翻译。

原文全文翻译

页眉与发文信息

美国总统行政办公室（EXECUTIVE OFFICE OF THE PRESIDENT） 科技政策办公室（OFFICE OF SCIENCE AND TECHNOLOGY POLICY） 华盛顿哥伦比亚特区 20502（WASHINGTON, D.C. 20502）

NSTM-4　　2026 年 4 月 23 日

致各行政部门与机构首长的备忘录 （MEMORANDUM FOR THE HEADS OF EXECUTIVE DEPARTMENTS AND AGENCIES）

发件人：MICHAEL J. KRATSIOS［手写签名］ 总统科学技术助理（ASSISTANT TO THE PRESIDENT FOR SCIENCE AND TECHNOLOGY） 科技政策办公室主任（DIRECTOR, OFFICE OF SCIENCE AND TECHNOLOGY POLICY）

主题：美国 AI 模型的对抗性蒸馏（Adversarial Distillation of American AI Models）

正文

美国在人工智能（AI）技术上引领世界。这一领先地位反映了数十年的基础性研究、大胆的企业家冒险精神，以及每年数千亿美元的私人投资。美国的 AI 领导力驱动经济增长、强化国家安全，并推进科学、医学与人类知识的前沿。从美国产业中涌现的突破提高了生活水平、扩大了机会，并改善了世界各地人们的生活。

然而，美国政府掌握的信息表明，外国实体——主要位于中国境内——正在开展蓄意的、产业级规模的行动，以蒸馏美国的前沿 AI 系统。这些协调一致的行动利用数万个代理账户来规避检测，并使用越狱技术来暴露专有信息，系统性地从美国 AI 模型中抽取能力，利用美国的专业知识与创新。

由这类偷偷进行的、未授权的蒸馏行动开发出的模型，无法复制原模型的完整性能。然而，它们确实使外国行为体能够发布这样的产品：在部分基准上表现看似相当，而成本只是原模型的一小部分。这些蒸馏行动还允许这些行为体故意从所得模型中剥离安全协议，并拆除那些确保 AI 模型意识形态中立、追求真相的机制。

美国致力于在竞争性的生态中自由、公平地发展 AI 技术——从领先的前沿模型到高度调优的应用系统，从开源框架到开放权重模型。AI 蒸馏，当被正当地用于从更先进的系统生产更小、更轻量的模型时，是该生态中至关重要的一部分。然而，旨在系统性破坏美国研发、获取专有信息的产业级蒸馏活动，是不可接受的。

为应对这一威胁，特朗普政府将：

1. 与 AI 企业共享有关外国行为体尝试开展未授权、产业级蒸馏的情报，包括所使用的手法与涉及的行为体。

2. 使私营部门能够更好地协同应对此类攻击。

3. 与私营产业共同制定最佳实践，以识别、缓解和修复产业级蒸馏活动，并针对此类活动构建强大的防御。

4. 探索一系列措施，追究外国行为体开展产业级蒸馏行动的责任。

系统性地抽取并复制美国产业的创新，毫无「创新」可言；而那些源自恶意 exploitation（掠夺性利用）行为、号称「开放」的模型，也毫无「开放」可言。

随着检测与缓解产业级蒸馏的方法日益成熟精密，那些把自身 AI 能力建立在这种脆弱地基之上的外国实体，理应对其所生产模型的完整性与可靠性没有多少信心。

与《美国 AI 行动计划》（America's AI Action Plan）一致，美国将继续培育一个建立在坚实地基之上的、充满活力的开源生态，支持美国产业让前沿 AI 被全球用户广泛获取，并捍卫使这些技术得以广泛、有益地扩散的自由、公平的市场竞争。

（原件第 2 页页脚标注页码「2」；正文之后无单独的结尾敬语或底部签名块，唯一的签名与姓名/职务出现在正文前的「发件人（FROM）」栏，如上。）

中文解读与企业落地方法

这份备忘录的三层信号

第一，「蒸馏」从技术话题升格为国家政策议题。备忘录首次以总统科技备忘录的形式，把对抗性蒸馏定性为「蓄意的、产业级规模的」协调行动，并直接点名「主要位于中国境内」的外国实体、「数万个代理账户」与「越狱技术」等具体手法。这意味着模型 API 的滥用检测（大批量代理账户、越狱流量、系统性规避行为）从厂商自选动作变成了政策明确指向的方向。

第二，「能力-成本不对称」被官方明确表述。「原模型需数十亿美元、数年；蒸馏模型只需一小部分成本就能在部分基准上表现看似相当」——这是政策层对 AI 竞争成本结构最直白的一次陈述。对企业的含义：模型「跑分能力」本身的护城河在变薄，数据、场景、分发与信任的护城河相对变厚；同时要警惕「性能相当、价格极低」的模型可能来路不正。

第三，安全护栏被剥离成为核心担忧。备忘录明确点出蒸馏模型可能「被故意剥离安全协议、拆除确保意识形态中立与追求真相的机制」。这与 OWASP、NIST 的代理安全议题形成呼应：一个无护栏的蒸馏模型一旦投入代理式部署，风险会沿工具链放大。采购第三方模型时，护栏完备性必须作为验收项，不能只看能力跑分。

落地步骤

1. 模型 API 防蒸馏基线（适用于运营 API 的企业）：部署账户级异常检测（注册模式、IP/代理聚集、请求节奏）、输出速率限制、批量请求配额、越狱流量识别——直接对应备忘录点名的「数万个代理账户规避检测」手法。
2. 蒸馏检测与追踪：对输出加水印（文本/图像）；建立「疑似蒸馏」信号监控看板（同构提示模式、系统性遍历式查询、低价值高频调用、跨账户协同特征）。
3. 合法蒸馏合规边界（适用于使用第三方模型训练/微调的企业）：书面确认蒸馏对象为「自有或授权模型」，把授权范围、输出使用权限写进合同；建立内部审查流程，防止工程师用未授权 API 输出做训练数据（备忘录把此类行为归为「不可接受的产业级蒸馏」）。
4. 采购护栏验收：采购任何第三方模型时，要求供应商说明安全护栏覆盖范围（生物、网络、化学等高危领域）与是否可能被剥离；对疑似「无护栏」模型禁止接入生产代理。
5. 跟踪政策落地：关注后续「公私协作最佳实践」（备忘录第 3 项）与「追责措施」（第 4 项）的具体化——它们会转化为采购条款与合规要求；留意美国商务部、FBI 及情报界可能的后续实施细则。

人工复核点与失败条件

• 失败条件：把「蒸馏」一律当违规——备忘录明确合法蒸馏（从先进系统生产更小更轻量模型、开源开发）是生态的重要部分，过度防御会伤害正常业务。
• 失败条件：只用服务条款对付产业级蒸馏——备忘录描述的是「蓄意、协调、数万个账户」级别的行动，单靠条款执法不足，技术手段（检测、限速、水印）必须并行。
• 失败条件：采购「性能相当、成本极低」的来路不明模型而不验证护栏是否被剥离。
• 人工复核点：疑似产业级蒸馏事件的升级处置（企业内部应有安全-法务-管理层的升级路径，对应备忘录的跨部门协同精神）；蒸馏授权合同的法务审查；模型采购的护栏完备性核验。

试点与验收

• 试点场景：选一个对外开放的模型 API 或 AI 服务，做防蒸馏控制试点。
• 试点周期：6 周。第 1—2 周：现状盘点（速率限制、账户体系、水印、监控覆盖）；第 3—4 周：部署异常检测与配额体系，上线越狱流量识别与代理账户检测；第 5—6 周：红队模拟产业级蒸馏攻击（多账户协同、系统性遍历、规避检测）验证控制有效性。
• 基线：试点前记录 API 的账户注册审核强度、单账户请求上限、输出水印覆盖率、异常检测能力（有/无）。
• 验收指标：
• 安全：红队模拟的「数万个代理账户式」蒸馏攻击能被检测或限速阻断；高价值输出 100% 加水印或可追踪；越狱流量识别有量化拦截率。
• 业务：合法用户（含合法蒸馏场景）的误伤率低于业务可接受阈值（备忘录明确区分合法蒸馏与产业级蒸馏，控制不应伤及前者）。
• 合规：蒸馏授权与合同条款经法务审查；疑似事件的内部升级路径文档化。
• 扩大条件：控制措施模板化，推广到其余对外 API；防御实践与后续公私协作最佳实践对齐。
• 停止条件：误伤率过高导致正常业务（尤其合法蒸馏）受损且无法调优——回退到「限速+监控告警」的最小方案，等待公私协作最佳实践成熟。

出处

• 机构：美国总统行政办公室 · 科技政策办公室（Executive Office of the President, Office of Science and Technology Policy）
• 作者/签署人：Michael J. Kratsios（总统科学技术助理兼 OSTP 主任）
• 日期：2026 年 4 月 23 日
• 文档编号：NSTM-4
• 原文标题：Adversarial Distillation of American AI Models（Memorandum for the Heads of Executive Departments and Agencies）
• URL：https://www.whitehouse.gov/wp-content/uploads/2026/04/nstm-4.pdf
• 版权：美国联邦政府作品，公有领域（17 U.S.C. §105），允许全文翻译与再发布
• 转录说明：原件为 2 页扫描 PDF，无嵌入文本层；本译文经 OCR 逐段转录，并与 The Legal Wire、NYU Shanghai RITS 等多家媒体引用的原文短语（如 "deliberate, industrial-scale campaigns"、"tens of thousands of proxy accounts"、"ideologically neutral and truth-seeking"）交叉核对一致后翻译。

PRIMARY_SOURCE: https://www.whitehouse.gov/wp-content/uploads/2026/04/nstm-4.pdf