上期本栏的判断是"合理使用保护使用、不保护取得"，讨论的是训练数据入口的风险。本周CISA的警报把问题推到了另一端：模型输出口。9月8日，美国网络安全与基础设施安全局发布警报AA26-251A，称包括DeepSeek、月之暗面与阿里巴巴在内的中国AI企业自2024年末以来，持续向美国前沿模型路由数十亿token，开展"积极的、工业级规模的蒸馏"，复制美国境内开发系统的核心功能，从而大幅压缩研发周期与成本；CISA同时承认蒸馏本身可以是正当的研究技术，但认定上述行为很可能得到政府协助与鼓励。无论对该定性持何种立场，其制度含义是清楚的：模型蒸馏正在被从技术议题重新定义为安全议题。

为什么这件事必须用版权之外的工具处理？因为蒸馏在版权法下几乎无处着力。蒸馏的操作是以大量提示词调用教师模型、收集其输出，再用这些输出训练学生模型。被复制的是能力与行为分布，而不是任何一段受保护的表达；模型权重本身是否构成作品在各法域仍无定论；即使认为输出可能构成作品，其著作权归属在多数法域也存疑（美国版权局坚持人类作者要件）。因此当权利人试图阻止蒸馏时，版权是最弱的一条腿。

实际起作用的是另外三条路径。第一条是合同：几乎所有前沿模型的API服务条款都明确禁止"使用输出训练竞争性模型"。违约之诉不需要证明作品性，只需证明账号归属与使用行为，且可通过速率异常、提示词模式、token聚簇等日志证据举证——这正是CISA所描述的检测方法。第二条是技术秘密：训练配方、数据配比、RLHF偏好数据、系统提示词与安全对齐策略，都可以作为商业秘密保护；而蒸馏若被证明伴随规避访问控制、多账号掩盖身份或代理转发，则可能同时触发《保护商业秘密法》（DTSA）与《计算机欺诈与滥用法》（CFAA）。值得对照的是本周的Versata v. Ford（D栏）——它确认了商业秘密下的不当得利救济不受既有许可关系阻断，且救济宽度远超专利，这恰恰是模型能力被"搭便车"场景下最有力的赔偿理论。第三条是出口管制与采购限制：CISA警报是一份政府文件，其直接后果往往不是诉讼，而是联邦采购清单、供应链尽调问卷与投资审查中的负面标记。

对中国企业而言，这条迁移路线是双向的。向外看，被点名企业的模型与相关产品在美欧的政府采购、金融与关键基础设施客户准入可能遭遇额外质询，跨国客户的供应商问卷中很可能新增"模型训练数据与蒸馏来源"条目；向内看，中国企业同样是被蒸馏的一方——国内头部模型的API同样面临被竞争者批量调用复制的问题，而中国法下可用的工具组合与美国高度相似：合同（服务协议＋反竞争性训练条款）＋《反不正当竞争法》商业秘密条款＋《数据安全法》与《个人信息保护法》项下的访问控制义务。2025年修订的《反不正当竞争法》对商业秘密与数据权益的规定，为此类争议提供了本土请求权基础。

需要留出的不确定性有三：其一，CISA警报是行政机关的风险评估而非司法认定，被点名企业未经任何司法程序，警报内容不应被视为侵权事实的确认；其二，"以输出训练竞争模型"的合同条款在多个法域的可执行性尚未经充分司法检验，尤其涉及格式条款效力与竞争法上的限制竞争审查；其三，模型权重、训练配方与提示词的商业秘密地位在中美欧均缺乏成熟判例，企业不宜假定其必然受保护，而应通过实际采取保密措施（访问分层、加密存储、离职审计、供应商保密义务）来满足秘密性要件——这恰恰是各法域都会审查的硬条件。