Anthropic сократила извлечение рассуждений Claude дистилляторами в 10–100 раз

Anthropic заявила, что новые меры против дистилляции сократили объём данных, которые собирают «дистилляторы», примерно на 90–99%. Число токенов рассуждений Claude, извлечённых на собственной платформе компании, после запуска классификатора стабильно в 10–100 раз ниже прежнего. В некоторые дни оно было настолько мало, что его не удавалось измерить. Десятки тысяч связанных с дистилляцией аккаунтов забанены, нередко меньше чем через два часа после старта кампании.

Дистилляция в понимании Anthropic — это скрытая промышленная кампания: через сети фиктивных аккаунтов у сильной модели собирают миллионы ответов и обучают на них модель поменьше. Больше всего ценятся не ответы, а цепочки рассуждений, которые Claude пишет перед ответом. По ним слабая модель учится понимать, как сильная приходит к результату. Поэтому защита почти целиком строится вокруг доступа к этим рассуждениям.

Почему простых мер оказалось мало

Первой мерой стало резюмирование рассуждений перед показом пользователю. Эффект Anthropic проверила на SWE-bench Verified: модель, обученная на полных транскриптах Claude Opus 4.8, показала 80,4%, а обученная на резюмированных, 71,8%. Тогда атакующие перешли от пассивного сбора к активному: просили Claude вывести прошлые рассуждения дословно, а одна лаборатория перебирала 12 000 разных формулировок-ловушек.

Первые версии защитных фильтров обошли. Атаки масштабировали через прокси-сети с сотнями тысяч фиктивных аккаунтов. Они перепродавали доступ в регионах, где Claude недоступен, и регистрировались с ложными данными и украденными платёжными реквизитами. Одна сеть, по данным февральского отчёта, управляла более чем 20 000 аккаунтов одновременно.

Три слоя защиты

Теперь атаки блокируются тремя способами:

• Контроль маршрута рассуждений. В Claude Fable 5.1 и Opus 5.5 появился preserved thinking: новые API-аккаунты (созданные с 31 августа 2026) не могут редактировать прошлый контекст. Это мешает переносить защищённые блоки рассуждений между диалогами, чтобы убедить модель, что они уже «известны» пользователю. Рассуждения новых моделей не читаются старыми моделями со слабой защитой. В Sonnet 5.5 транскрипты доступны только организации, чей запрос их породил.
• Двухступенчатый классификатор по схеме constitutional classifiers. Его прогнали через внутренний и внешний red-teaming на реальных попытках дистилляторов. По оценке Anthropic, он примерно так же устойчив, как защита от помощи в создании биооружия, а доля ложных срабатываний ниже 0,1%. Работает на Sonnet 5.5, Opus 5 и 5.5, Fable 5 и 5.1.
• Усложнение повторных попыток. Пользователи, которые настойчиво пытаются вытащить рассуждения, получают более жёсткие лимиты, а затем бан. С 24 сентября компания снова берёт плату за запросы, заблокированные до ответа, в областях с ложными срабатываниями ниже 0,1%, включая дистилляцию.

Быстрые заплатки уже закрыли несколько новых приёмов, например просьбу перевести прошлые рассуждения на другой язык или вывести их в тегах рядом с ответом.

Почему Anthropic говорит об этом публично

Компания приводит два довода. Первый: дистиллированные модели выходят без сопоставимых защит. Zhipu при создании GLM-5.3 дистиллировала кибервозможности ведущих американских моделей. Она пыталась работать с Claude Fable 5, но после того как защита ухудшила её атаки, переключилась на более старую модель Claude и модель другой лаборатории. По оценке американского CAISSI, GLM-5.3 стала самой сильной в кибербезопасности open-weights-моделью на сегодня, а Anthropic утверждает, что её защиту легко обойти и что модель готова писать эксплойты от начала до конца.

Второй довод касается нацбезопасности. Anthropic приводит случай, когда запросы к Kimi от Moonshot тайно пересылались в Claude. Один из них, по её оценке от пользователя, связанного с НОАК, касался анализа записей CCTV по конкретному человеку.

У подхода есть цена, и компания её не скрывает. Она отказалась от заметной выручки и триллионов токенов оплаченного трафика. Часть разработчиков вынуждена обновлять интеграции из-за preserved thinking. Меньше 0,1% легитимных запросов могут быть заблокированы, и за них теперь тоже придётся платить. Кроме того, Anthropic пока не видела по-настоящему сложной и упорной попытки обойти новую защиту и ждёт, что игра в кошки-мышки продолжится.

Что делать разработчикам и платформам

Для разработчиков на Claude главный практический пункт — проверить, не зависит ли ваш код от правки прошлого контекста или повторного использования блоков рассуждений. Для аккаунтов, созданных с 31 августа 2026, это уже не сработает. Закладывайте в обработку ошибок редкие ложные блокировки и учитывайте, что они оплачиваются.

Для облачных платформ и инференс-провайдеров вывод жёстче. Дистилляторы распределяют трафик между API Anthropic, сторонними облаками и другими провайдерами, поэтому защита одной лаборатории работает только пока соседи не оставляют лазейку. Anthropic прямо говорит, что стимулы в индустрии толкают в обратную сторону: защита стоит денег, а дистиллятор остаётся платящим клиентом. Публикация методов — приглашение скопировать подход: ловить запросы на скрытые рассуждения, быстро банить фиктивные аккаунты и не принимать подозрительные платёжные данные.