Markdown-Ausgabe

AI-translated from English; not yet reviewed by a fluent editor.

# Anthropic zufolge senken neue Claude-Abwehrmaßnahmen den Abruf von Reasoning um 90 bis 99 Prozent

> Anthropic berichtet, dass mutmaßliche Destillierer auf der eigenen Plattform 90 bis 99 Prozent weniger Claude-Reasoning extrahieren. Die Abwehrmaßnahmen verändern auch die API-Integration und die Abrechnung blockierter Anfragen.

By BIG CHANGE Editorial

Published: 2026-10-13T08:42:18.603Z
Updated: 2026-10-13T08:42:18.603Z
Canonical: https://bigchange.ai/blog/anthropic-claude-distillation-defenses-reasoning

![Conceptual charcoal illustration of an unbranded desktop monitor seen from the side with a dark privacy filter attached over its blank screen.](https://bigchange.ai/api/media/file/anthropic-preserved-reasoning-hero-v1.png)
AI-generated conceptual illustration by BIG CHANGE. No Anthropic device, software interface, attack or test result is depicted.

Anthropic zufolge haben Änderungen an Claude die Menge geschützten Reasonings, die mutmaßliche Modelldestillierer extrahieren können, stark verringert. In einem [Bericht vom 12. Oktober über die Abwehrmaßnahmen](https://www.anthropic.com/research/distillation-defenses)schätzt das Unternehmen, dass die von Destillierern auf der eigenen Plattform gewonnenen Reasoning-Tokens nach Einführung eines neuen Klassifikators um den Faktor 10 bis 100 zurückgingen. Die Messung beruht auf Anthropics eigenem Datenverkehr und der Identifizierung von Angriffen; eine unabhängige Bewertung des Gesamtrückgangs hat das Unternehmen nicht veröffentlicht.

## Die große Veränderung

- **Was sich geändert hat:** Anthropic kombiniert jetzt Kontrollen dafür, wo ein Claude-Reasoning-Block wiederverwendet werden kann, einen Klassifikator gegen Versuche, verborgenes Reasoning offenzulegen, und Beschränkungen für Konten, die es wiederholt versuchen. Die interne Schätzung zeigt, dass über die Plattform deutlich weniger Reasoning zu identifizierten Destillierern gelangt.
- **Warum das wichtig ist:** Vollständige Reasoning-Transkripte können als Trainingsmaterial dienen, um das Verhalten eines Modells nachzuahmen. Wird diese Quelle eingeschränkt, steigt der Aufwand für unbefugtes Extrahieren. API-Entwickler müssen zugleich bestimmte Gesprächsverläufe beibehalten und müssen möglicherweise für manche blockierten Anfragen zahlen.
- **Worauf zu achten ist:** Wie dauerhaft der Rückgang ist, hängt von den nächsten Methoden der Angreifer und vom Datenverkehr außerhalb von Anthropics direkter Plattform ab. Anthropic hat nach eigenen Angaben noch keinen hochentwickelten, anhaltenden Versuch gegen die neuen Abwehrmaßnahmen beobachtet und will sie weiter verändern.

## Drei Kontrollen gegen unterschiedliche Extraktionswege

Bei der Modelldestillation kann ein kleineres System mit Antworten eines leistungsfähigeren Modells trainiert werden. Anthropic sorgt sich hier um die unbefugte Sammlung von Claudes vollständigem, verborgenem Reasoning, das nach Einschätzung des Unternehmens für mögliche Nachahmer nützlicher ist als der Antworttext allein. Anthropic fasste Reasoning früher zusammen, bevor es Nutzern angezeigt wurde. In einem unternehmenseigenen Codiertest erreichte ein mit vollständigen Claude-Opus-4.8-Transkripten trainiertes Modell 80,4 Prozent bei SWE-bench Verified; mit zusammengefassten Transkripten waren es 71,8 Prozent. Das Experiment stützt den Wert ausführlicherer Spuren in diesem Versuchsaufbau, misst aber nicht, wie stark sich ein bestimmtes externes Modell verbessert hat.

Die erste neue Kontrolle schränkt die Verschiebung von Reasoning-Blöcken ein. Anthropic zufolge versuchten Angreifer, Blöcke zwischen Gesprächen, Modellen und Konten zu verschieben, um Claude zur Offenlegung geschützter Texte zu bewegen. Bei Claude Fable 5.1 und Opus 5.5 bindet „preserved thinking“ einen Block für neue API-Konten an den Kontext des vorherigen Gesprächs. Anthropic beschränkt außerdem, welche Modelle Blöcke anderer Modelle lesen können, und bindet das Reasoning von Sonnet 5.5 an die Organisation, die es erzeugt hat.

Die [aktuelle Claude-API-Dokumentation](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking) macht die Folgen für Integrationen konkret: Eine API-Anfrage, die einen früheren Thinking-Block zurückgibt, muss den betreffenden System-Prompt, die Tools und die vorherigen Nachrichten beibehalten. Für Konten, die am oder nach dem 31. August 2026 erstellt wurden, wird die Präfixprüfung standardmäßig durchgesetzt. Anwendungen, die früheren Kontext umschreiben oder ein gespeichertes Gespräch neu aufbauen, müssen möglicherweise ändern, wie sie es erneut abspielen. Bei gewöhnlichen, nur angehängten Verlaufsdaten ist laut Dokumentation keine Änderung nötig.

Anthropics zweite Kontrolle ist ein zweistufiger Klassifikator, der mit Versuchen zum Extrahieren verborgenen Reasonings trainiert und getestet wurde. Er läuft dem Unternehmen zufolge auf den leistungsfähigsten allgemein verfügbaren Modellen, darunter Sonnet 5.5, Opus 5 und 5.5 sowie Fable 5 und 5.1. Anthropic gibt für diese Schutzmaßnahmen eine Falsch-Positiv-Rate von unter 0,1 Prozent an. Das Unternehmen sagt, es habe Techniken wie die Anforderung früheren Reasonings in einer anderen Sprache oder innerhalb von Ausgabe-Tags behoben. Der Beitrag bietet keine unabhängige Prüfung dieser Rate und belegt nicht, dass jede künftige Extraktionsmethode blockiert wird.

Die dritte Kontrolle greift auf Kontoebene. Wiederholte Extraktionsversuche können Anthropic zufolge zu strengeren Nutzungslimits oder Sperren führen. Seit dem 24. September berechnet das Unternehmen außerdem wieder Gebühren für Anfragen, die vor einer Claude-Antwort in bestimmten Kategorien mit niedriger Falsch-Positiv-Rate blockiert wurden, darunter Destillation. Rechtmäßige Nutzer können somit sowohl eine irrtümliche Sperre als auch eine Gebühr erleben. Anthropic räumt zudem ein, dass „preserved thinking“ einige Entwickler zu Änderungen an ihren Integrationen zwang.

## Was der berichtete Rückgang misst

Anthropic schätzt die Zahl der Claude-Reasoning-Tokens, die Destillierer extrahieren, **auf der eigenen Plattform**. Nach Einführung des Klassifikators sei diese Zahl durchgehend 10- bis 100-mal niedriger gewesen als zuvor; zudem erkenne der Klassifikator die im Septemberbericht beschriebenen Techniken gegen die stärksten allgemein verfügbaren Modelle. Die Schätzung hängt davon ab, ob Anthropic Destillationsverkehr identifizieren kann. Sie misst für sich genommen weder Extraktionen über andere Anbieter noch eine nicht erkannte Angriffsmethode.

Das Unternehmen gibt an, Zehntausende mit Destillation verbundene Konten gesperrt zu haben, oft binnen zwei Stunden nach Beginn einer Kampagne. Destillierer leiteten Datenverkehr außerdem über externe Cloudplattformen und andere Inferenzanbieter, so Anthropic. Dadurch wird die Plattformgrenze relevant: Der von Anthropic beobachtete Rückgang extrahierter Tokens belegt eine Änderung des messbaren Datenverkehrs, nicht die Gesamtmenge aller weltweit unbefugt aus Claude gesammelten Trainingsdaten.

Anthropic hat nach eigenen Angaben bisher keinen hochentwickelten, anhaltenden Versuch beobachtet, die aktuellen Abwehrmaßnahmen zu umgehen. Dieser Vorbehalt ist wichtiger als eine Erfolgsmeldung, die dauerhaft klingt. Das Unternehmen dokumentiert einen deutlichen internen Rückgang und einen operativen Ansatz zum Schutz des Modell-Reasonings. Die weitere Entwicklung hängt davon ab, wie Angreifer sich anpassen und ob andere Zugangswege dasselbe Verhalten erkennen.

## Quellen und weiterführende Informationen

- [Anthropic, „Wir verstärken unsere Abwehr gegen Destillationsangriffe“](https://www.anthropic.com/research/distillation-defenses), 12. Oktober 2026. Der zentrale Unternehmensbericht beschreibt Kontrollen, interne Schätzung der Extraktion, die Angabe zur Falsch-Positiv-Rate und Zielkonflikte für Nutzer. Die Plattformmessung wurde für diesen Artikel nicht unabhängig reproduziert.
- [Claude Platform, „Preserved thinking“](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking), abgerufen am 13. Oktober 2026. Die aktuelle API-Dokumentation legt Block- und Präfixregeln, betroffene Kontodaten und möglicherweise anzupassende Integrationsmuster fest. Wir haben die Dokumentation geprüft; BIG CHANGE hat keine API-Anfragen ausgeführt.
- [Anthropic, Bericht zur Bedrohungsanalyse, September 2026](https://www.anthropic.com/threat-intelligence-report-september-2026), September 2026. Der frühere Unternehmensbericht liefert Hintergrund zu den Extraktionsmethoden, auf die Anthropic nach eigenen Angaben reagierte; er ist die eigene Darstellung des Unternehmens zu diesen Kampagnen.

## Sources

- [Anthropic, Wir verstärken unsere Abwehr gegen Destillationsangriffe](https://www.anthropic.com/research/distillation-defenses) — Zentrale Unternehmensdarstellung der Kontrollen, internen Messungen und eingeräumten Zielkonflikte; Schätzungen sind zugeordnet und nicht unabhängig bestätigt.
- [Claude Platform, Preserved thinking](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking) — Aktuelle API-Dokumentation aus erster Hand zu Blockbindung, Präfixprüfungen und Integrationsänderungen; BIG CHANGE hat keine API-Anfrage ausgeführt.
- [Anthropic, Bericht zur Bedrohungsanalyse, September 2026](https://www.anthropic.com/threat-intelligence-report-september-2026) — Frühere Darstellung aus erster Hand zu den Methoden; Hintergrund, keine unabhängige Bestätigung der Oktoberergebnisse.