早期證據表明，加強針對 AI 蒸餾攻擊的防禦措施，已使從 Claude 獲取的數據減少約 90% 至 99%。這些措施旨在打擊暗中複製模型能力的行爲，也讓其開發商損失了收入，並流失了價值數萬億令牌的付費流量。

要點

• 部署分類器後，Claude 的推理令牌提取量下降了十倍至百倍。

• 檢測系統報告的誤報率低於 0.1%。

• 反覆嘗試提取會觸發更嚴格的限制，並導致賬號被封禁。

• 該公司呼籲雲平臺和模型開發者攜手打擊濫用行爲。

Anthropic 在 2026 年 10 月 12 日的一篇博客文章中表示，其防護措施結合了對推理記錄的限制、提取行爲檢測和賬戶處置。其防護措施已封禁數萬個與蒸餾有關聯的賬戶，通常在活動開始後的兩小時內就會採取行動。

衡量針對 AI 蒸餾攻擊的防護效果

蒸餾攻擊是未經授權的祕密行動，目的是提取一個模型的能力，並在另一個模型中加以復現。公司稱，攻擊者往往通過欺詐賬戶生成數百萬條回覆，以遠低於開發先進模型所需成本和時間的方式模仿這些模型。

這些防護措施重點保護推理記錄：也就是 Claude 在回答前寫下的思考內容。公司稱，相比單獨使用最終答案，這些內容能讓小型模型學到更多。分類器部署後，其平臺上被提取的推理 token 數量一直比此前低 10 到 100 倍。

早期測試說明了保護這些推理記錄的重要性。使用完整 Claude Opus 4.8 推理記錄訓練的預訓練 Claude 模型，在 SWE-bench Verified 上得分爲 80.4%；使用摘要版推理記錄訓練的模型得分爲 71.8%。

隨後，攻擊者從收集普通回覆轉向主動提取隱藏推理內容。一家實驗室測試了 12,000 種不同的請求。代理網絡控制着數十萬個欺詐賬戶，使用虛假身份和盜取的支付信息，並在 Claude 不可用的地區轉售訪問權限。公司 2 月報告中提到的一個網絡曾同時管理超過 20,000 個賬戶。

反蒸餾防護措施如何運作

該公司針對 AI 蒸餾攻擊的防護措施如今限制推理內容的流轉範圍、攔截提取請求，並對持續嘗試的行爲進行處罰。這些措施針對的是將受保護推理內容在對話、模型和賬戶之間轉移的技術。

Claude Fable 5.1 和 Claude Opus 5.5 引入的“保留思考”功能，可阻止在 2026 年 8 月 31 日或之後創建的 API 賬戶編輯 Claude 的先前上下文。這些模型的推理內容也無法被防護較弱的舊模型讀取。Claude Sonnet 5.5 則將推理記錄的訪問權限限制在生成該記錄的組織內。

一個兩階段分類器經過內部和外部紅隊測試，可檢測提取請求，據報告其誤報率低於 0.1%。該系統運行於 Claude Sonnet 5.5、Claude Opus 5 和 5.5，以及 Claude Fable 5 和 5.1。公司稱，該系統能攔截其 9 月報告中描述的所有蒸餾技術。

更新已封堵涉及翻譯先前推理內容或在標籤內復現推理內容的手法。持續提取會招致更嚴格的使用限制和賬戶封禁。自 2026 年 9 月 24 日起，公司還開始對 Claude 回覆前攔截的請求收費，涵蓋蒸餾等類別；這些類別的誤報率低於 0.1%。

安全隱患不止涉及 Claude

該公司認爲，當通過非法蒸餾複製的能力被用於外國的軍事、情報和監控系統時，就會帶來國家安全隱患。公司還表示，以這種方式開發的模型，其安全防護措施可能與自身能力不相稱。

該公司以智譜開發 GLM-5.3 爲例。根據這篇博客，智譜曾試圖從 Claude Fable 5 中提取網絡攻防能力；在防護措施阻礙其嘗試後，又轉而使用較舊的 Claude 模型和另一家實驗室的模型。

據 Anthropic 稱，美國超級智能創新與標準推進中心（CAISSI）——NIST 將其稱爲 CAISI——認定 GLM-5.3 是迄今發佈的網絡攻防能力最強的開放權重模型。該公司自己的研究發現，其防護措施很容易被繞過，而且開發完整安全漏洞利用程序的意願很強。

博客還描述了蒸餾過程中將發給月之暗面 Kimi 模型的請求祕密轉發給 Claude 的情況，其中包括一項分析某個人的閉路電視錄像片段的請求。

該公司呼籲前沿模型開發者、雲平臺和推理服務提供商加強合作，因爲蒸餾者會通過這些渠道分發流量。公司表示，平臺可以通過檢測濫用行爲並移除欺詐賬戶來減緩提取活動。一些防護措施也要求合法用戶更新其集成方案。

本文由人工智能協助撰寫，並經編輯團隊審覈。