Anthropic почти перекрыла выкачивание рассуждений Claude

Anthropic 12 октября рассказала, как защищает модели Claude от дистилляции. Так называют приём, когда чужую модель обучают на ответах более сильной, без разрешения её разработчика. По первым данным компании, новые меры сократили объём данных, которые собирают такие злоумышленники, на 90–99%.

Anthropic описывает дистилляцию как скрытые кампании промышленного масштаба. Их обычно ведут через сети поддельных аккаунтов. Одна такая сеть одновременно управляла более чем 20 тыс. учётных записей. Самое ценное для дистилляторов — ход рассуждений Claude, то есть то, как модель приходит к ответу. Обученная на нём модель быстро догоняет передовые системы, но тратит на это лишь малую часть времени и денег.

Кого назвала Anthropic

Компания прямо указала на китайскую Zhipu. По данным Anthropic, та выкачивала у ведущих американских моделей навыки в кибербезопасности, пока создавала GLM-5.3. Когда защита Claude Fable 5 испортила результат, Zhipu переключилась на более старую модель Claude и модель другой лаборатории. Американский центр CAISSI назвал GLM-5.3 самой сильной в киберзадачах моделью с открытыми весами, а Anthropic выяснила, что её защитные ограничения легко обойти.

Второй пример — Moonshot. По словам Anthropic, запросы к её моделям Kimi тайно перенаправляли в Claude. Один такой запрос, по оценке компании, пришёл от пользователя, связанного с Народно-освободительной армией Китая. Он просил проанализировать записи камер наблюдения за конкретным человеком.

Как работает защита

• Claude показывает пользователю не полный ход рассуждений, а пересказ. Модель, обученная на пересказах, набрала 71,8% в тесте SWE-bench Verified против 80,4% у модели, обученной на полных записях.
• Новые API-аккаунты, созданные с 31 августа 2026 года, не могут редактировать прежний контекст в Claude Fable 5.1 и Claude Opus 5.5. Рассуждения Claude Sonnet 5.5 видит только организация, которая отправила запрос.
• Двухступенчатый классификатор ловит попытки вытащить рассуждения, например просьбы перевести их или переписать в тегах. Ложные срабатывания, по данным компании, случаются меньше чем в 0,1% случаев.
• Упорных нарушителей ограничивают и блокируют. С 24 сентября Anthropic берёт плату и за запросы, которые отсекла защита.

После полного запуска мер объём рассуждений, которые удаётся вытащить с платформы, упал в 10–100 с лишним раз. В отдельные дни его не получалось даже измерить. Компания заблокировала десятки тысяч связанных с дистилляцией аккаунтов, часто менее чем через два часа после начала кампании. Ради этого Anthropic отказалась от заметной выручки и триллионов токенов платного трафика.

У защиты есть цена для обычных клиентов. Части разработчиков придётся переделать интеграции. Сама Anthropic называет борьбу с дистилляцией игрой в кошки-мышки и признаёт, что по-настоящему изощрённых и настойчивых попыток обойти защиту пока не видела. Подробнее о компании — в нашем досье об Anthropic.

Источники: Anthropic — защита от дистилляции