2026 年 2 月，Google 披露了一件事：有人对它的旗舰模型 Gemini 提了十万多次问题——目的不是要答案，而是想逆向它的推理逻辑，拿回去训练一个竞品模型。谷歌称，这类攻击"单次超 10 万次提示词"，幕后多为希望获得竞争优势的 AI 企业或研究机构。

两个月后，为 OpenAI、Anthropic 等提供训练数据服务的数据公司 Mercor 被攻破，约 4TB 数据被拖走，包括平台源代码、用户数据库与大量承包商敏感材料。

同一年，前 Google 工程师 Linwei Ding 因窃取 TPU 相关商业机密，被美国法院判刑。

三件事指向同一个信号：企业的"脑子"，正在变成别人惦记的资产。

01 工厂也在攒自己的"模型资产"

别以为这种事只发生在大模型公司。现在制造企业越来越爱自建模型：排产模型、质检模型、工艺参数优化模型、智能报价模型。

这些模型，是老师傅几十年经验加上多年数据喂出来的，是实打实的 Know-how。

可问题来了——攻击者根本不用黑你系统。

他注册一个账号，天天调你的 AI 接口，把模型"回答问题的方式"一点点摸清楚，再拿这些问答对去训练一个便宜的小模型，把你的能力复刻走。

学术界管这叫"模型蒸馏"，我们管它叫"正门进出"。

传统边界防御在这一套面前基本全盲：没有失败登录、没有权限提升、没有异常外联——全是你签了约的合法客户，发来的合法请求。防火墙没意见，终端也不报警，因为从技术上看，"什么异常都没发生"。

你防的是小偷翻墙，人家是来旁听的学生，把老师的本事全记走了。

02 模型是新的"图纸"，保护逻辑得升级

十年前，核心资产是图纸和代码；现在，多了一层"模型里的判断力"。它看不见、摸不着，却最值钱，也最容易被"问"走。防"外人不破门"之外，还得防"别人把本事学走"，四道闸门缺一不可。

第一道闸门：接口限速、配额与异常检测

单账号请求量远超业务合理范围、对你所有能力做地毯式打探、开一堆账号轮换着问——这些聚合特征要能识别。单个请求看着都正常，合起来就是 harvesting。

第二道闸门：别让模型"回吐"内部资料

拿内部文档、工艺案例微调过的模型尤其危险——别人用定向提问，能把片段问出来。敏感模型接口原则上不暴露原始训练数据，prompt 不回显内部资料，必要时给模型加指纹水印，被谁扒过，能溯源。

第三道闸门：模型权重当核心 IP 管

自研模型的权重文件、训练数据、标注样本库，按源代码同等级别对待：最小权限、加密存储、下载留痕、离职即回收。很多人把它们随手丢在共享盘，等于把家底摊在桌上。

第四道闸门：透明加密兜底

本地模型文件、数据集继续用上邦透明加密——就算有人拷走，离开授信环境也解不开、用不了，把"带得走"变成"带走了也没用"。

03 资产形态变了，防护也得跟着变

以前我们防的是小偷翻墙，现在得防的是学生天天来旁听、把老师的本事全记走。企业的核心能力，越来越藏在这些模型里。

保护它，得换个思路——墙修得再高，也挡不住一个拿着合法门票、天天来听课的人。

上邦这几年陪制造企业做数据安全，越来越觉得：真正难的不是拦住外人，是看清"自己人"和"正常请求"里藏着的流失。模型是新的图纸，把图纸看好，本事才留得住。