Distillation attack คืออะไร: ถอดบทเรียนจากกรณี Anthropic กล่าวหา Alibaba ดึงความสามารถ Claude

Anthropic กล่าวหาว่าทีมพัฒนาโมเดล Qwen ของ Alibaba แอบ “ดูด” ความสามารถของ Claude ด้วยเทคนิคที่เรียกว่า distillation — โดยอ้างว่ามีการใช้บัญชีปลอมราว 25,000 บัญชี ยิงคำถามเข้า Claude เกือบ 28.8 ล้านครั้งในช่วงเดือนเมษายนถึงมิถุนายน 2026 เพื่อเก็บคำตอบไปฝึกโมเดลคู่แข่ง ประเด็นนี้สำคัญไม่ใช่เพราะเป็นดราม่าระหว่างสองบริษัท แต่เพราะมันเปิดคำถามที่คนทำงานสาย AI ทุกคนควรเข้าใจ: distillation คืออะไร ทำไมมันเป็นทั้งเทคนิคที่ทำให้โมเดลเล็กเก่งขึ้น และเป็นชนวนข้อพิพาทเรื่องการขโมยทรัพย์สินทางปัญญาพร้อมกัน

สรุปสั้น ๆ: Anthropic ส่งจดหมายถึงวุฒิสภาสหรัฐ กล่าวหาทีม Qwen ของ Alibaba ว่าทำ “distillation attack” ที่ใหญ่สุดเท่าที่เคยเจอ — 25,000 บัญชีปลอม, ~28.8 ล้านบทสนทนา, ช่วง 22 เม.ย.–5 มิ.ย. 2026 เล็งความสามารถระดับสูงของ Claude (การเขียนโค้ด + การวางแผนทำงานหลายขั้นแบบ agent) นี่เป็นข้อกล่าวหา ยังไม่มีการพิสูจน์อิสระ และ Alibaba ยังไม่ออกมาตอบ — บทความนี้ใช้เคสนี้เป็นประตูอธิบายว่า distillation ทำงานยังไง และกระทบคนที่ใช้โมเดล open อย่างไร

Distillation ด้านสว่าง: ทำไมโมเดลเล็กถึงเก่งขึ้นเรื่อย ๆ

ก่อนจะพูดถึง “attack” ต้องเข้าใจก่อนว่า distillation ปกติแล้ว เป็นเทคนิคที่ถูกกฎหมายและมีประโยชน์มาก แนวคิดคือให้โมเดลใหญ่ที่เก่งแล้ว (เรียกว่า “teacher”) สอนโมเดลเล็กกว่า (“student”) โดยให้ student เรียนเลียนแบบคำตอบของ teacher แทนที่จะเรียนจากข้อมูลดิบล้วน ๆ ผลคือได้โมเดลเล็กที่ฉลาดใกล้เคียงตัวใหญ่ แต่รันเร็วกว่าและกินทรัพยากรน้อยกว่ามาก

นี่คือเหตุผลหนึ่งที่ทำให้ยุคนี้เรารัน AI เก่ง ๆ บนเครื่องตัวเองได้ — โมเดลตระกูลเล็กหลายตัวที่คนโหลดมารันในเครื่อง ผ่านกระบวนการ distill มาจากโมเดลที่ใหญ่กว่าทั้งนั้น ถ้าอยากเห็นภาพว่าทำไมการรันโมเดลในเครื่องถึงมาแรง ลองอ่าน ทำความรู้จัก Local AI ประกอบ

distillation แบบปกติ = “ครูสอนศิษย์” อย่างเปิดเผย บนโมเดลที่ตัวเองมีสิทธิ์ใช้ — ไม่ใช่เรื่องผิด และเป็นเสาหลักที่ทำให้ AI ถูกลงและเข้าถึงง่ายขึ้น

จุดที่กลายเป็นปัญหาไม่ใช่ตัวเทคนิค แต่คือ “ครู” คนนั้นเป็นโมเดลปิดของบริษัทอื่น ที่คุณไม่มีสิทธิ์เอาไปฝึกคู่แข่ง

แล้ว “distillation attack” คืออะไร

distillation attack คือการเอาเทคนิคเดียวกันไปใช้กับโมเดลปิดของคนอื่นผ่านช่องทาง API โดยไม่ได้รับอนุญาต — พูดง่าย ๆ คือ ยิงคำถามที่ออกแบบมาอย่างดีเข้าไปในโมเดลเป้าหมาย เก็บคำตอบทั้งหมด แล้วเอาคู่คำถาม-คำตอบนั้นไปฝึกโมเดลของตัวเองให้เลียนแบบความสามารถ ทั้งที่ไม่เคยเห็น weights หรือข้อมูลฝึกของต้นฉบับเลย

เปรียบเหมือนการส่งคนไปนั่งจดคำตอบของติวเตอร์เก่ง ๆ เป็นล้าน ๆ ข้อ แล้วเอาไปเปิดโรงเรียนแข่ง — ความรู้ที่ได้ไม่ได้มาจากการคิดเอง แต่มาจากการก๊อปวิธีตอบของคนอื่นแบบเป็นระบบ สิ่งที่ทำให้มันเป็น “attack” คือมันมักละเมิดเงื่อนไขการใช้งาน (Terms of Service) ของเจ้าของโมเดล ที่ห้ามเอา output ไปฝึกโมเดลแข่ง และมักต้องปกปิดตัวตนเพื่อเลี่ยงการตรวจจับ

เรื่องนี้ไม่ใช่ครั้งแรก — ปลายปี 2024 ถึงต้นปี 2025 ก็เคยมีกรณีที่ OpenAI สงสัยว่า DeepSeek ใช้วิธีคล้ายกันกับโมเดลของตน distillation attack จึงกลายเป็นหนึ่งในความกังวลด้านความปลอดภัยและทรัพย์สินทางปัญญาที่ใหญ่ที่สุดของบริษัทที่สร้างโมเดลระดับ frontier

เกิดอะไรขึ้นในกรณี Anthropic–Alibaba

ตามที่ Anthropic ระบุในจดหมายถึงคณะกรรมาธิการวุฒิสภาสหรัฐ (ส่งเมื่อ 10 มิถุนายน และเป็นข่าวราวสองสัปดาห์ต่อมา) กลุ่มผู้ไม่ประสงค์ดีที่เชื่อมโยงกับ Alibaba และห้องแล็บ Qwen ได้ดำเนินการดังนี้:

• ใช้บัญชีฉ้อฉลราว 25,000 บัญชี เพื่อหลบการตรวจจับและกระจายการใช้งาน
• ยิงบทสนทนาเข้า Claude รวม ~28.8 ล้านครั้ง ระหว่างวันที่ 22 เมษายน ถึง 5 มิถุนายน 2026
• เล็งไปที่ ความสามารถระดับสูงสุดของ Claude โดยเฉพาะการเขียนซอฟต์แวร์ขั้นสูง และ agentic reasoning — ความสามารถในการวางแผนและลงมือทำงานหลายขั้นตอนต่อเนื่องด้วยตัวเอง

Anthropic เรียกปฏิบัติการนี้ว่าเป็น “distillation attack ที่ใหญ่ที่สุดเท่าที่บริษัทเคยเผชิญ” โดยระบุว่าปริมาณของแคมเปญนี้เพียงแคมเปญเดียว มากกว่าความพยายามก่อนหน้าสามครั้งรวมกัน และได้ยกเรื่องนี้ขึ้นสู่ระดับนโยบาย โดยฝ่ายนิติบัญญัติสหรัฐบางส่วนเริ่มหารือถึงมาตรการต่อบริษัท AI จากจีน

สิ่งที่ต้องย้ำเพื่อความเป็นธรรม: ทั้งหมดนี้เป็น ข้อกล่าวหาจากฝั่ง Anthropic ที่ปรากฏในจดหมาย ยังไม่มีหน่วยงานอิสระตรวจสอบยืนยัน และ ณ เวลาที่เป็นข่าว Alibaba ยังไม่ได้ออกมาชี้แจงรายละเอียดหรือยอมรับข้อกล่าวหา เรื่องนี้ยังอยู่ท่ามกลางบรรยากาศตึงเครียดด้านเทคโนโลยีระหว่างสหรัฐกับจีน ซึ่งเป็นบริบทที่ควรรับรู้ไว้ แต่ไม่ควรใช้ตัดสินว่าใครถูกใครผิดก่อนมีข้อสรุป

วิเคราะห์: เรื่องนี้กระทบใครบ้าง

ข้ามความเป็นดราม่าไป สิ่งที่น่าคิดกว่าคือมันสะท้อนอะไรเกี่ยวกับวงการ AI ปี 2026 และกระทบคุณยังไง

กระทบนักพัฒนาและคนที่ใช้โมเดล open

ถ้าคุณใช้ Qwen หรือโมเดล open อื่น ๆ อยู่ ข่าวนี้ ไม่ได้แปลว่าคุณต้องเลิกใช้ทันที — โมเดลที่โหลดมารันแล้วก็ยังทำงานเหมือนเดิม และข้อกล่าวหายังไม่ได้ข้อสรุป แต่สิ่งที่ควรตระหนักคือ “ที่มา” ของโมเดลเริ่มเป็นเรื่องที่มีน้ำหนักขึ้นเรื่อย ๆ ทั้งในแง่กฎหมายและความเสี่ยงระยะยาว การเลือกโมเดลจึงไม่ใช่แค่ดูว่าตัวไหนเก่งหรือรันไหว แต่รวมถึงใบอนุญาต (license) และความโปร่งใสของที่มาด้วย — ประเด็นที่เราเคยพูดถึงใน คู่มือเลือก Ollama / LM Studio / llama.cpp

กระทบองค์กรไทยและสถาปนิกระบบ AI

สำหรับองค์กรไทยที่กำลังวางระบบ AI ระยะยาว เคสนี้เป็นสัญญาณให้คิดถึง “ความเสี่ยงด้านที่มาของโมเดล” (model provenance risk) ตั้งแต่ออกแบบ ถ้าระบบสำคัญของคุณผูกกับโมเดล open ตัวใดตัวหนึ่ง แล้ววันหนึ่งโมเดลนั้นมีปมกฎหมายหรือถูกถอดออกจากแพลตฟอร์ม คุณมีแผนสำรองไหม นี่คือประเภทของ trade-off ที่คนออกแบบระบบต้องชั่งน้ำหนัก — เราเขียนเรื่องบทบาทนี้ไว้ใน AI Architect: ออกแบบระบบ AI ด้วย LLM การออกแบบให้ระบบ สลับโมเดลได้ง่าย (ไม่ล็อกกับตัวเดียว) จึงไม่ใช่แค่เรื่องเทคนิค แต่เป็นการบริหารความเสี่ยงด้วย

ควรเตรียมและจับตาอะไร

• API จะถูกล็อกแน่นขึ้น — คาดว่าบริษัทโมเดลปิดจะเข้มงวดเรื่อง rate limit, การยืนยันตัวตน, และการตรวจจับพฤติกรรม distillation มากขึ้น ผู้ใช้ทั่วไปอาจเจอขั้นตอนยืนยันตัวตนที่มากขึ้นตามไปด้วย
• เส้นแบ่ง “เรียนรู้จาก” กับ “ขโมย” จะถูกนิยามใหม่ — การเอา output ของโมเดลหนึ่งไปฝึกอีกโมเดลเป็นเรื่องที่เกิดขึ้นทั่ววงการ คำถามคือระดับไหนถึงเรียกว่าละเมิด ปี 2026 น่าจะเป็นปีที่เรื่องนี้เริ่มมีคำตอบทั้งทางกฎหมายและมาตรฐานอุตสาหกรรม
• ให้ความสำคัญกับ license มากขึ้น — เวลาเลือกโมเดล open มาใช้ในงานจริง อ่านเงื่อนไขการใช้งานให้ชัด โดยเฉพาะงานเชิงพาณิชย์

ปิดท้าย: คำถามที่วงการต้องตอบ ไม่ใช่คำตอบว่าใครผิด

distillation เป็นตัวอย่างที่ดีของเทคโนโลยีที่ “เป็นกลาง” — มันคือเครื่องมือที่ทำให้ AI ถูกลงและเข้าถึงง่ายขึ้น แต่พอเอาไปใช้กับโมเดลปิดของคนอื่นโดยไม่ได้รับอนุญาต มันก็กลายเป็นชนวนข้อพิพาทได้ กรณี Anthropic–Alibaba ไม่ว่าบทสรุปจะเป็นอย่างไร กำลังบังคับให้ทั้งวงการตอบคำถามที่เลี่ยงไม่ได้: เมื่อความสามารถของโมเดลกลายเป็นทรัพย์สินที่มีมูลค่ามหาศาล เส้นแบ่งระหว่างการเรียนรู้จากกันกับการขโมยอยู่ตรงไหน — และใครจะเป็นคนขีดเส้นนั้น

สำหรับคนทำงานสาย AI บทเรียนที่เอาไปใช้ได้ทันทีไม่ใช่การเลือกข้าง แต่คือการเข้าใจว่า distillation ทำงานยังไง เพื่อจะประเมินได้เองว่าโมเดลที่เราใช้มีที่มาแบบไหน และระบบที่เราสร้างพึ่งพาอะไรอยู่