Anthropic сократила объём данных, утекающих дистиллерам Claude, на 90–99%

Anthropic утверждает, что за последние месяцы заметно ослабила дистилляционные атаки на Claude: по предварительным данным, количество данных, которые удаётся собрать дистиллерам, упало на 90–99%. Компания называет такие атаки скрытыми кампаниями промышленного масштаба. Их цель в том, чтобы вытащить возможности одной модели и воспроизвести в другой без разрешения разработчика, обычно через сети фиктивных аккаунтов. Защита, по словам Anthropic, обошлась недёшево: компания отказалась от значимой выручки и триллионов токенов платного трафика.

Почему Anthropic считает это угрозой

Компания называет две причины. Первая касается безопасности. Дистилляция позволяет быстро подобраться к границе возможностей, но защитные ограничения при этом воспроизводятся хуже. Такие модели могут применяться во вред в биологии и кибербезопасности.

Главный пример в тексте — Zhipu и GLM-5.3. По данным Anthropic, лаборатория дистиллировала кибервозможности ведущих американских моделей. Она пыталась работать с Claude Fable 5, но кибер-защиты ухудшили качество её атак, и Zhipu переключилась на более старую модель Claude и модель другой лаборатории. Американский центр CAISSI затем назвал GLM-5.3 самой кибер-способной open-weights моделью из выпущенных. Собственные тесты Anthropic показали, что защиты GLM-5.3 легко обходятся, а сама модель готова писать эксплойты от начала до конца.

Вторая причина — национальная безопасность. По версии Anthropic, компании, дистиллирующие американские модели, встраивают полученные способности в зарубежные военные, разведывательные и надзорные системы. Компания приводит случай с Kimi от Moonshot: запросы к ней тайно пересылались в Claude. Один из них, предположительно от пользователя, связанного с НОАК Китая, касался анализа записей CCTV-наблюдения за конкретным человеком.

Почему простых мер оказалось мало

Дистиллеры генерируют миллионы ответов сильной модели и обучают на них модель поменьше. Самые ценные данные для этого — не итоговые ответы, а транскрипты рассуждений, то есть то, что Claude пишет перед ответом. Они показывают, как модель приходит к результату. Поэтому защита почти целиком направлена на то, чтобы закрыть доступ к этому слою.

Первой мерой стала суммаризация рассуждений перед показом пользователю. Anthropic проверила эффект так: предобученную модель Claude дообучили на транскриптах Claude Opus 4.8 и измерили на SWE-bench Verified.

• Обучение на полных рассуждениях: 80,4%.
• Обучение на суммаризированных рассуждениях: 71,8%.
• Разрыв: 8,6 процентного пункта.
• Снижение объёма собираемых данных после новых мер: 90–99% (предварительная оценка).

Но дистиллеры адаптировались. Они перешли от пассивного сбора, когда запросы отправляются как у обычного пользователя, к активной экстракции, то есть попыткам обойти ограничения. Доступный фрагмент текста обрывается на этом месте, поэтому детали новых методов защиты здесь не раскрыты. Anthropic обещает описать их в полной версии блога.

Цена защиты и что делать разработчикам

Антидистилляционные меры бьют и по самой Anthropic, и по клиентам. Компания отмечает, что исследовательские и продуктовые команды потратили на задачу много времени. Часть изменений требует от добросовестных пользователей обновить свои интеграции.

Для разработчиков и платформ вывод практический:

• Проверьте, как ваше приложение работает с суммаризированными рассуждениями вместо полных. Если вы строили на них логику, интеграцию придётся менять.
• Считайте цепочки рассуждений чувствительным активом. Именно их дистиллеры ценят больше всего.
• Следите за аномалиями аккаунтов: сети фиктивных профилей и перенаправление чужих запросов в API остаются основными схемами.
• Если вы выкладываете open-weights модели, оценивайте не только качество, но и устойчивость защит. Пример GLM-5.3 показывает, что обход ограничений в таких моделях может оказаться простым.

Anthropic подчёркивает, что с дистилляцией сталкивается каждый разработчик моделей. Заявленные 90–99% пока остаются оценкой самой компании, независимой проверки в тексте нет. Но выбор понятен: Anthropic считает, что триллионы токенов трафика стоят меньше, чем риск появления мощных моделей без нормальных защит.