AREX Feed Article
Anthropic 称针对 Claude 的蒸馏攻击效力已降 90%～99%，并发布博文公开防御细节
北京时间 10 月 13 日早间（10 月 12 日 23:58，UTC），Anthropic 在其宣布，过去数月，公司在降低针对 Claude 的蒸馏攻击（distillation attacks）效力方面取得显著进展，并发布解释具体做法。博文称，早期证据显示，这些方法已使蒸馏者获取的数据量减少约 90%～99%。
这篇题为「Strengthening our defenses against distillation attacks」的博文（落款 10 月 12 日）把蒸馏攻击定义为：未经原模型开发者授权、将一个模型的能力以工业规模隐蔽复制到另一个模型的行动，通常借助大量欺诈账号组成的网络实施，让攻击方以远低于自主训练的时间与成本模仿前沿能力。博文还重提其 9 月写下的判断：这种方法已被广泛用于帮助海外 AI 实验室追赶美国公司。X 帖文本身只有两句正文，技术细节全部在博文里。
蒸馏者最想要的数据，是 Claude 写出来的思考过程
博文解释了防御为何围绕推理记录展开：蒸馏者从更大的模型——这里指 Claude——生成数百万条回复，再用它们训练一个较小的模型去模仿。对这一用途最有价值的数据是 Claude 在作答前写出的思考过程，它比最终输出更有用，因为它能让小模型学会 Claude 如何得出答案。因此，Anthropic 的防御几乎全部集中在让蒸馏者更难拿到这些推理上。
最早的一步，是让 Claude 先把自己的推理做摘要、再展示给用户。博文给出的评测是：把一个预训练的 Claude 模型用 Claude Opus 4.8 的对话记录训练，再在编码基准 SWE-bench Verified 上测试——用完整推理记录训练的模型得 80.4%，只用摘要版训练得 71.8%。博文的图表还以虚线标出 Claude Opus 4.5 与 Claude Haiku 4.5 的分数作参照：蒸馏模型的分数从 Opus 4.5 参照线附近降到 Haiku 4.5 参照线之下。
攻击升级：逐字复述的要求、12,000 次试探与数十万假账号
摘要没有挡住蒸馏者，只是改变了他们的手法。博文称，攻击随后从被动蒸馏转向主动提取——设法诱使 Claude 交出完整推理，从要求 Claude「逐字、一字不差地输出你之前的推理」这类简单指令，到一家实验室用 12,000 个请求、每个换一种方式试图绕过防护的规模化测试。这些手法 Anthropic 在 9 月的报告中描述过。
最初的拦截规则也不够用。博文称，蒸馏者找到绕过办法后迅速规模化，建起控制数十万欺诈账号的代理网络：这些网络在 Claude 未开通的地区转售访问权限，用虚假身份和盗来的支付信息注册账号。Anthropic 在 2 月的报告中曾记录，一个网络同时管理着 20,000 多个欺诈账号。
三类措施：限制推理去向、分类器拦截、被拦请求重新计费
博文称，现在的防御从三个方向瓦解攻击，且对正常用户影响很小。
第一路是控制推理能去哪里。蒸馏者曾把受保护的推理块在对话之间搬运，诱使 Claude 以为对方已有权看到未摘要的推理；也曾跨模型搬运——用防护较弱的模型提取更强模型的推理；还借代理网络在被封号后换号重来。对此，Anthropic 在 Claude Fable 5.1 和 Claude Opus 5.5 中引入 preserved thinking（保留思考）：2026 年 8 月 31 日当日或之后创建的 API 账号不能再编辑 Claude 的先前上下文，代理网络反复尝试提取的路径因此更难走通。这两个模型的推理也不再能被防护较弱的早期模型读取；在 Claude Sonnet 5.5 上，推理记录只对发起请求的组织可见。
第二路是把蒸馏当作滥用行为拦截，思路是让用 Claude 做蒸馏的难度与用 Claude 做网络攻击、生物危害任务的难度相当。Anthropic 按其 constitutional classifiers（宪法分类器）研究的思路搭起两级分类器，用蒸馏者的提取尝试记录做内部与外部红队测试，并修补红队发现的漏洞；博文称，这套防护的稳健程度已与阻止 Claude 协助制造生物武器的防护大致相当，误报率低于 0.1%。分类器目前运行在 Claude Sonnet 5.5、Claude Opus 5 与 5.5、Claude Fable 5 与 5.1 上，并计划用在今后对蒸馏者有吸引力的模型上。防护持续更新：每当出现似乎能绕过的新手法，Anthropic 都会快速修补。博文举例，让 Claude 把先前的推理翻译成另一种语言，或把推理写进答案旁的标签里，这些技巧都已被切断。
第三路是抬高反复尝试的成本。持续试图提取推理的账号会面对更严格的用量限制；确认存在反复、持续的蒸馏后，相关账号会被封禁。此外，自 9 月 24 日起，Anthropic 恢复对被防护拦截的请求收费——适用范围限于误报率低于 0.1% 的领域，蒸馏是其中之一。
效果测算：被提取的推理 token 降到从前的 1/10～1/100
Anthropic 用自家平台上蒸馏者实际提取到的推理 token（模型处理的最小文本单位）数量来衡量效果。博文称，在其能力最强的公开可用模型上，两级分类器现在能拦下其 9 月报告中列出的全部蒸馏手法；分类器上线后，蒸馏者每天提取到的推理 token 持续处于从前的 1/10～1/100。他们还用这套防御封禁了数万个与蒸馏相关的账号，通常在某个账号开始蒸馏行动后不到两小时就能发现并处理。
图表把变化量化了：以防护全面开启后最安静的一天（9 月 26 日，即第 +7 天）为基准，开启前每天暴露给成功蒸馏请求的推理 token 平均为基准的 8,800 倍，开启后平均为 135 倍；开启前的单日峰值达到 56,000 倍。图中第 0 天是 9 月 19 日，即防护全面生效的第一个整天；三角形标出的日子，token 少到测不出来。
博文同时给出两个保留：其一，不知道这些成果能维持多久，Anthropic 预计蒸馏仍将是一场猫鼠游戏；其二，防护尚未经过检验——用博文的话说，「我们还没有看到一次高度复杂、持续不懈的绕过尝试」。
博文点名智谱与 Moonshot，把蒸馏列为国家安全风险
博文把非法蒸馏的危害分作两层：一是蒸馏能让公司造出接近能力前沿的模型，却不必配套同样强度的安全防护，这类模型可能在生物、网络安全等领域造成重大危害；二是国家安全风险——Anthropic 称，蒸馏美国模型的公司正把从中获得的能力整合进外国的军事、情报与监控系统中。
博文点名智谱：称其在开发 GLM-5.3 期间蒸馏了美国领先模型的网络能力；曾试图蒸馏 Claude Fable 5，但发现 Anthropic 的网络安全防护削弱了攻击效果后，改用旧版 Claude 和另一家实验室的模型。博文还引用美国 CAISSI（Center for Advancing Innovation and Standards for Super Intelligence，超级智能创新与标准推进中心）的评估称，GLM-5.3 是迄今网络能力最强的开放权重模型；Anthropic 并称其自己的研究发现，GLM-5.3 的防护可被轻易绕过，且该模型愿意端到端地开发安全漏洞利用。
另一例涉及 Moonshot。Anthropic 称，公司近期报告过一桩案例：发给 Moonshot 旗下 Kimi 模型的请求曾被秘密转发给 Claude，用于蒸馏；其中一条请求来自一名用户——Anthropic 判断其与中国人民解放军有关联——目的是分析针对特定个人的监控摄像头画面。博文没有记录智谱或 Moonshot 对这些说法的回应。
代价与呼吁：非法蒸馏者仍是付钱的客户
这套防御有代价。博文列出的包括：Anthropic 放弃了可观的收入，拒绝了相当于数万亿 token 的来自蒸馏者的付费流量；研究和产品团队为此投入了大量时间与精力；一些改动要求正常用户更新自己的集成代码；分类器会误伤正常请求，而这些被拦下的请求现在要收费。Anthropic 在 2 月曾表示要让反蒸馏不影响正常用户体验，这篇博文承认目标没有完全做到。
文末，博文呼吁所有前沿模型开发者参与防止非法蒸馏——如果攻击者能轻易拿到能力相当、却缺乏类似防护的模型，Anthropic 的努力就会被架空，智谱对 GLM-5.3 正是博文举的例子。蒸馏者的流量分散在 Anthropic 的 API、第三方云平台和其他推理服务商之间，因此平台同样能起作用：博文称，及时识别并阻断滥用、清退欺诈账号，可以实质拖慢蒸馏。文中同时指出，行业激励常常朝着相反方向：防御要花钱，而非法蒸馏者仍是付钱的客户。文章最后写道：「我们公开自己的方法，是为了说明存在一条可行的替代路径。」