Gemini 模型蒸餾攻擊在吵什麼？先把「蒸餾」與「偷模型」分清楚 所謂「模型蒸餾（model distillation）」本來是正當的機器學習技巧：用大型模型當「老師」，用它的輸出訓練較小的「學生模型」，讓學生在成本更低的情況下接近老師表現。 但當蒸餾是透過大量呼叫目標模型（例如 Gemini）的 API 或介面、刻意設計提示詞、系統性收集輸出，再拿去訓練一個替代模型時，就會被視為蒸餾攻擊：本質是「以查詢換取行為」，在不拿到權重的前提下，最大化複製目標模型的能力與風格。 這類研究常提到「十萬提示詞」等級的查詢量，目標是把一個昂貴、封閉的模型行為，壓縮成可在自家基礎設施上運行的替代品——對模型供應商與企業使用者都構成現實風險。 為什麼十萬提示詞會有威脅？關鍵在「可量產的行為拷貝」 傳統資安的「偷資料」通常是一次性外洩；蒸餾攻擊更像是把你的產品核心能力變成別人的可再製資產。 在可行的攻擊流程中，常見會包含： 提示詞設計：針對推理、工具使用、格式遵循、特定領域（法務、醫療、程式）建立題庫。 大量查詢與清洗：移除雜訊、去重、補齊缺漏，並建立訓練資料集。 再訓練／微調學生模型：讓學生模型在特定任務上「看起來」像 Gemini。 以任務指標驗收：例如同一組測試集上的通過率、風格一致性、遵循指令能力。 十萬級別的提示詞之所以常被提及，是因為它在成本與效果之間可能達到一個「可商用」的甜蜜點：如果攻擊者能用相對可控的成本，把你的差異化能力萃取出來，那你的護城河會被稀釋。 影響不只在 Google：三種角色會被直接波及 1) 模型供應商：營收、研發回收與濫用風險 付費 API...
