國安部通報！境外竊密轉向AI，百萬次提問即可復制核心能力？

國安部這份通報，真正重要的不是它說了什么，而是它沒說什么

先說結論。

國安部5月17日這份通報，講了境外竊密的新特點，也點名了稀土、光伏、半導體、高端芯片、人工智能等重點領域。這個判斷當然重要。因為這些領域，正是今天大國競爭最硬的地方。

但我認為，真正值得警惕的，是它沒有展開說的一件事。

2026年最有價值的技術竊取，可能不再是黑客入侵，不再是策反內鬼，也不再是拷貝U盤。

而是：向競爭對手的AI模型提問一百萬次。

每一次看起來都像正常訪問。每一次都可能是公開API調用。可這些問答積累起來，就可能變成訓練另一個模型的數據。

這在技術上叫：模型蒸餾攻擊。

信息安全里有個詞，叫“攻擊面”。

說白了，就是一個系統所有可能被人鉆空子的入口。

過去幾十年，攻擊面一直在變大。

互聯網時代，攻擊面變成了遠程訪問。釣魚郵件、木馬、遠程控制、網站漏洞，都可以成為入口。所以保密邏輯變成：防火墻、殺毒軟件、入侵檢測。

現在進入第四代：云計算、AI、智能設備疊加在一起。

攻擊面又變了。

很多入口看起來根本不像入口。

比如一個云盤鏈接。

比如一個錯誤的對象存儲權限。

比如一個沒有鑒權的Agent服務。

比如一個開放給用戶調用的AI API。

這才是國安部通報里“網數智”條件下新型泄密風險最值得展開的地方。通報提到，少數單位和人員對智能設備數據采集、云端同步、權限調用等流程缺乏基本了解，存在“看不清、想不到、弄不懂”的問題。

這句話很重。

它說的不是某個人粗心，而是整個技術環境變了。

傳統竊密有一個特點：它通常要“越界”。

黑客要突破系統。內鬼要違反規定。間諜要偽裝身份。至少從行為上看，邊界很清楚。

但AI時代的新問題是：有些行為單次看，可能是合法訪問。

例如，用戶向一個大模型提問：“請解釋某種芯片設計思路。”“請寫一段高性能推理代碼。”“請把這個復雜問題拆成推理步驟。”

一次看不出問題。

一萬次也可能只是重度用戶。

但如果二十四萬個問題圍繞同一個能力區域反復追問，再把回答收集起來訓練自己的模型，性質就變了。

Anthropic在2026年披露過一起典型案例：它稱三家中國AI公司通過約2.4萬個欺詐賬號，對Claude產生超過1600萬次交互，用于提取模型能力。Anthropic把這種行為稱為工業規模的蒸餾攻擊，并表示它已經用分類器、行為指紋、跨賬號協同檢測等方式應對。

這里要注意一個事實邊界：“蒸餾”本身不是壞技術。

模型蒸餾本來就是AI行業常用方法。OpenAI自己也在API里提供過模型蒸餾能力，用大模型輸出訓練更小、更便宜的模型。

真正有爭議的是：未經授權，繞過限制，大規模提取別人的模型輸出，再訓練自己的模型。

它更像是用公開窗口一點點搬走一個系統的能力。

通報里點名的幾個方向很關鍵：稀土、光伏、半導體、高端芯片、人工智能。

它們不是隨便列的。

這五個領域有一個共同點：都處在產業鏈的關鍵位置。

稀土是戰略資源。央視此前披露，國內某稀土公司副總經理成某，將我國稀土收儲品類、數量、價格等7項機密級國家秘密非法提供給境外，最終受到法律嚴懲。

注意，真正值錢的不只是“有多少礦”。

而是品類、數量、價格、儲備節奏、供應預期。

這些信息如果被對手提前掌握，就可能影響談判、定價、庫存和產業鏈布局。

半導體和高端芯片則不同。

這里的竊密不一定只是為了復制中國技術，也可能是為了判斷中國到底追到哪一步了。

你在哪個工藝節點卡住？你哪類設備最缺？你哪條路線最可能突破？你哪些企業承擔關鍵項目？

這些信息拼起來，就能反推出下一步該在哪里卡你。

人工智能更特殊。

一個模型會怎么推理，怎么寫代碼，怎么使用工具，怎么拒答，怎么繞開敏感問題，這些都能通過大量對話被觀察。

也就是說，AI把“能力本身”變成了可以被查詢、被記錄、被模仿的對象。

這就是第四代攻擊面。

通報提到幾類內部隱患：思想麻痹、觀念落后、心存僥幸、賣密變節。

我認為最嚴重的是“觀念落后”。

因為今天很多泄密，不是發生在“我知道這是機密但我故意賣掉”的場景里。

更常見的是：

我只是把工作筆記同步到個人云盤。我只是把項目材料發給AI總結一下。我只是把代碼傳到GitHub測試一下。我只是把接口臨時開到公網，方便同事調試。我只是把鏈接設成“知道鏈接的人可訪問”。

每一個“只是”，都可能是一個入口。

這類事件最嚇人的地方在于：它不一定需要高明黑客。

門可能本來就是開的。

只要有人掃到了，就能進去看。

通報提出要以制度織網、以思想鑄魂、以科技強盾。這個方向沒問題。

但落到企業和科研機構，最關鍵的其實是四件事。

第一，重新盤點公開暴露面。

第二，重新檢查云權限。

所有云盤、對象存儲、數據庫、測試環境，都要確認到底是默認私有，還是默認公開。很多事故不是被攻破，是權限模型沒弄懂。

第三，重新定義AI使用邊界。

什么材料可以發給外部AI？什么代碼不能貼進公開模型？什么內部數據必須走私有化模型？這些不能靠員工自覺，必須寫成流程。

第四，把AI API訪問控制納入安全體系。

過去我們保護的是數據庫。現在還要保護模型能力。

誰能調用API？每個賬號能調用多少？異常訪問模式有沒有報警？大量相似問題是不是在抽取能力？跨賬號協同行為能不能識別？

這些都應該成為2026年的新安全標準。

國安部這份通報的價值，不只是提醒大家“境外竊密更猖獗了”。

它真正的價值，是把一個變化擺到了臺面上：

過去，守密像守一間屋子。后來，守密像守一張內網。現在，守密像守一個不斷對外響應的智能系統。

最麻煩的是，第四代攻擊面里，很多入口都披著“正常使用”的外衣。

一次提問是使用。一萬次提問是重度使用。一百萬次結構化提問，可能就是能力抽取。

更要問一句：

有沒有人在用合法訪問，慢慢復制你的能力？

這才是新一輪技術競爭里，最容易被低估的風險。