Anthropic تخفّض استخراج المقطِّرين لسلاسل استدلال Claude بمقدار 10–100 مرة

أعلنت Anthropic أن إجراءاتها الجديدة ضد التقطير خفّضت حجم البيانات التي يجمعها «المقطِّرون» بنحو 90–99%. ومنذ إطلاق المصنِّف، ظل عدد رموز استدلال Claude المستخرَجة على منصة الشركة نفسها أقل بمقدار 10–100 مرة من السابق. وفي بعض الأيام كان العدد من الضآلة بحيث تعذّر قياسه. وقد حُظرت عشرات الآلاف من الحسابات المرتبطة بالتقطير، وغالبًا في أقل من ساعتين من انطلاق الحملة.

تعرّف Anthropic التقطير بأنه حملة صناعية خفية: عبر شبكات من الحسابات الوهمية، تُجمع ملايين الإجابات من نموذج قوي، ثم يُدرَّب عليها نموذج أصغر. وأكثر ما يُطلب ليس الإجابات نفسها، بل سلاسل الاستدلال التي يكتبها Claude قبل الإجابة. فمنها يتعلم النموذج الأضعف كيف يصل النموذج القوي إلى النتيجة. لذلك تدور الحماية بأكملها تقريبًا حول الوصول إلى هذه الاستدلالات.

لماذا لم تكفِ الإجراءات البسيطة؟

كان الإجراء الأول تلخيص الاستدلالات قبل عرضها على المستخدم. واختبرت Anthropic الأثر على SWE-bench Verified: النموذج المدرَّب على النصوص الكاملة لـ Claude Opus 4.8 سجّل 80,4%، أما المدرَّب على النصوص الملخَّصة فسجّل 71,8%. عندها انتقل المهاجمون من الجمع السلبي إلى النشط: طلبوا من Claude إخراج استدلالاته السابقة حرفيًا، وجرّبت إحدى المختبرات 12 000 صيغة مختلفة من صيغ الفخاخ.

وتمكّن المهاجمون من تجاوز النسخ الأولى من مرشحات الحماية. ووسّعوا الهجمات عبر شبكات وكلاء (proxy) تضم مئات الآلاف من الحسابات الوهمية. وأعادوا بيع الوصول في مناطق لا يتوفر فيها Claude، وسجّلوا بيانات كاذبة وبيانات دفع مسروقة. وبحسب تقرير فبراير، كانت إحدى الشبكات تدير أكثر من 20 000 حساب في آنٍ واحد.

ثلاث طبقات للحماية

تُحجب الهجمات الآن بثلاث طرق:

• التحكم في مسار الاستدلال. أُضيفت ميزة preserved thinking إلى Claude Fable 5.1 وOpus 5.5: فحسابات API الجديدة (المنشأة منذ 31 أغسطس 2026) لا تستطيع تعديل السياق السابق. وهذا يمنع نقل كتل الاستدلال المحمية بين المحادثات لإقناع النموذج بأنها «معروفة» للمستخدم أصلًا. ولا تستطيع النماذج الأقدم ذات الحماية الضعيفة قراءة استدلالات النماذج الجديدة. أما في Sonnet 5.5 فالنصوص متاحة فقط للمؤسسة التي ولّد طلبها تلك النصوص.
• مصنِّف من مرحلتين وفق نهج constitutional classifiers. خضع لاختبارات red-teaming داخلية وخارجية على محاولات حقيقية للمقطِّرين. وبتقدير Anthropic، فإن متانته تقارب متانة الحماية من المساعدة في تصنيع الأسلحة البيولوجية، فيما تقل نسبة الإنذارات الخاطئة عن 0,1%. ويعمل على Sonnet 5.5 وOpus 5 و5.5 وFable 5 و5.1.
• تصعيب المحاولات المتكررة. يواجه المستخدمون الذين يحاولون بإصرار استخراج الاستدلالات حدودًا أشد، ثم الحظر. ومنذ 24 سبتمبر عادت الشركة إلى تحصيل رسوم على الطلبات المحجوبة قبل الإجابة، في المجالات التي تقل فيها الإنذارات الخاطئة عن 0,1%، ومنها التقطير.

وقد سدّت الترقيعات السريعة بالفعل عدة أساليب جديدة، مثل طلب ترجمة الاستدلالات السابقة إلى لغة أخرى أو إخراجها داخل وسوم بجانب الإجابة.

لماذا تتحدث Anthropic عن ذلك علنًا؟

تسوق الشركة حجتين. الأولى أن النماذج المقطَّرة تصدر دون حماية مماثلة. فقد قطّرت Zhipu، عند إنشاء GLM-5.3، القدرات السيبرانية لنماذج أمريكية رائدة. وحاولت العمل مع Claude Fable 5، لكن بعدما أضعفت الحماية هجماتها، تحولت إلى نموذج Claude أقدم ونموذج من مختبر آخر. وبحسب تقدير CAISSI الأمريكي، أصبح GLM-5.3 أقوى نموذج open-weights في الأمن السيبراني حاليًا، بينما تؤكد Anthropic أن حمايته سهلة التجاوز وأن النموذج مستعد لكتابة ثغرات استغلال (exploits) من البداية إلى النهاية.

أما الحجة الثانية فتتعلق بالأمن القومي. تورد Anthropic حالة كانت فيها طلبات إلى Kimi من Moonshot تُمرَّر سرًّا إلى Claude. وأحد تلك الطلبات، بحسب تقديرها، صدر عن مستخدم مرتبط بجيش التحرير الشعبي الصيني، وتعلّق بتحليل تسجيلات CCTV لشخص بعينه.

للنهج كلفة، والشركة لا تخفيها. فقد تخلّت عن إيرادات ملحوظة وعن تريليونات الرموز من حركة المرور المدفوعة. ويضطر بعض المطورين إلى تحديث تكاملاتهم بسبب preserved thinking. وقد يُحجب أقل من 0,1% من الطلبات المشروعة، وسيتعيّن الآن دفع رسوم عنها أيضًا. كما لم تر Anthropic حتى الآن محاولة معقدة ومثابرة حقًّا لتجاوز الحماية الجديدة، وتتوقع أن تتواصل لعبة القط والفأر.

ماذا على المطورين والمنصات أن يفعلوا؟

بالنسبة إلى المطورين على Claude، فالنقطة العملية الرئيسية هي التحقق مما إذا كان الكود يعتمد على تعديل السياق السابق أو إعادة استخدام كتل الاستدلال. فبالنسبة إلى الحسابات المنشأة منذ 31 أغسطس 2026، لن يعمل ذلك بعد الآن. ينبغي أن تتضمن معالجة الأخطاء حالات الحجب الخاطئ النادرة، مع مراعاة أنها مدفوعة الرسوم.

أما بالنسبة إلى المنصات السحابية ومزوِّدي الاستدلال (inference)، فالخلاصة أشد صرامة. فالمقطِّرون يوزعون حركتهم بين API الخاص بـ Anthropic والسحابات الخارجية ومزوِّدين آخرين، ولذلك لا تنجح حماية مختبر واحد إلا ما دام جيرانه لا يتركون ثغرة. وتقول Anthropic صراحةً إن الحوافز في الصناعة تدفع في الاتجاه المعاكس: فالحماية تكلّف مالًا، بينما يبقى المقطِّر عميلًا يدفع. ونشر هذه الأساليب دعوة إلى نسخ النهج: رصد الطلبات الساعية إلى الاستدلالات المخفية، وحظر الحسابات الوهمية بسرعة، وعدم قبول بيانات الدفع المشبوهة.