AI-translated from English; not yet reviewed by a fluent editor.

# Anthropic、新たなClaude防御策で推論抽出を90～99％削減と説明

> Anthropicは、自社プラットフォーム上で蒸留を試みたとみられる利用者が抽出するClaudeの推論が90～99％減ったと報告した。防御策によりAPI連携やブロックされたリクエストの課金も変わる。

By BIG CHANGE Editorial

Published: 2026-10-13T08:42:18.603Z
Updated: 2026-10-13T08:42:18.603Z
Canonical: https://bigchange.ai/blog/anthropic-claude-distillation-defenses-reasoning

![Conceptual charcoal illustration of an unbranded desktop monitor seen from the side with a dark privacy filter attached over its blank screen.](https://bigchange.ai/api/media/file/anthropic-preserved-reasoning-hero-v1.png)
AI-generated conceptual illustration by BIG CHANGE. No Anthropic device, software interface, attack or test result is depicted.

Anthropicによると、Claudeへの変更により、蒸留を試みたとみられるモデル開発者が抽出できる保護対象の推論量は大幅に減った。同社が[10月12日に公開した防御策の説明](https://www.anthropic.com/research/distillation-defenses)では、新たな分類器の導入後、自社プラットフォーム上で蒸留者が得た推論トークンは10分の1から100分の1になったと推定している。この測定はAnthropic自身のトラフィックと攻撃の識別に基づく。同社は全体的な削減量について独立した評価を公表していない。

## 大きな変化

- **何が変わったか：** Anthropicは現在、Claudeの推論ブロックを再利用できる場所を制限し、隠された推論を露出させる試みを分類器でブロックし、試行を続けるアカウントに利用制限を設けている。社内推定では、同社のプラットフォームを通じて識別済みの蒸留者に届く推論が大幅に減った。
- **なぜ重要か：** 推論の全文記録は、モデルの振る舞いをまねるための訓練資料として有用になり得る。その入手元を制限すれば、不正な抽出に必要な作業が増える。一方、API開発者は一部の会話履歴を維持する必要があり、ブロックされた特定のリクエストにも料金が発生する場合がある。
- **今後の注目点：** 削減が続くかどうかは、攻撃者が次に使う手法とAnthropicの直接プラットフォーム外のトラフィックに左右される。同社は、新たな防御策に対する極めて巧妙で持続的な試みをまだ確認していないとし、防御策を今後も変更するとしている。

## 抽出経路ごとに異なる3つの制御策

モデル蒸留では、より高性能なモデルの回答を使って小型システムを訓練できる。Anthropicがここで懸念するのは、Claudeの完全な非公開推論が不正に収集されることだ。同社は、回答文だけよりも、模倣を試みる者にとって有用だとしている。Anthropicは以前、推論を要約してから利用者に表示していた。同社が実施したコーディング試験では、Claude Opus 4.8の完全な記録で訓練したモデルはSWE-bench Verifiedで80.4％を獲得し、要約記録で訓練した場合は71.8％だった。この実験はその設定における詳細な軌跡の価値を示すが、特定の外部モデルがどれだけ改善したかを測るものではない。

最初の新たな制御策は、推論ブロックの移動を制限する。Anthropicによると、攻撃者は会話、モデル、アカウントの間でブロックを移動し、Claudeに保護されたテキストを明かさせようとした。Claude Fable 5.1とOpus 5.5では、「preserved thinking」がブロックを直前の会話コンテキストに結び付け、新しいAPIアカウントを保護する。Anthropicは、他モデルのブロックを読めるモデルも制限し、Sonnet 5.5の推論を生成した組織にひも付ける.

現在の[Claude APIドキュメント](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking)は、連携への影響を具体的に示している。以前の思考ブロックを返すAPIリクエストでは、該当するシステムプロンプト、ツール、先行メッセージを維持しなければならない。2026年8月31日以降に作成されたアカウントでは、プレフィックス確認がデフォルトで適用される。以前のコンテキストを書き換えたり、保存済み会話を再構築したりするアプリケーションは、再送方法の変更が必要になる場合がある。通常の追記型履歴には変更不要だとドキュメントは説明している。

2つ目の制御策は、隠れた推論を抽出する試みに対して訓練・検証された二段階分類器だ。Anthropicによると、Sonnet 5.5、Opus 5および5.5、Fable 5および5.1を含む、一般提供中の最も高性能なモデルで動作する。同社はこの保護策の誤検知率を0.1％未満と報告している。また、以前の推論を別の言語で求めたり、出力タグ内に出させたりする手法にも対処したという。この記事は同率の独立試験を提示しておらず、将来の抽出手法をすべて阻止できるとも示していない。

3つ目の制御策はアカウント単位で機能する。Anthropicによると、抽出の試みを繰り返すと、より厳しい使用制限やアカウント停止につながる場合がある。9月24日以降、蒸留を含む誤検知率が低いとする特定のカテゴリでは、Claudeが応答する前にブロックされたリクエストへの課金も再開した。そのため、正当な利用者が誤ブロックと課金の両方に遭う可能性がある。同社は「preserved thinking」によって一部の開発者が連携方法の更新を迫られたことも認めている。

## 報告された削減量が測るもの

Anthropicは、蒸留者が抽出したClaudeの推論トークン数を、**自社プラットフォーム上で**推定している。分類器の導入後、この数は以前より継続して10～100分の1になったとし、9月の報告で説明した一般提供中の最強モデルを狙う手法を分類器が検出するとしている。この推定はAnthropicが蒸留トラフィックを識別できることに依存し、他社を通じた抽出や認識していない攻撃手法を単独で測ることはできない。

同社は蒸留に関係する数万のアカウントを停止し、多くの場合キャンペーン開始から2時間以内に措置したと述べる。また、蒸留者はサードパーティのクラウド基盤や他の推論プロバイダー経由でトラフィックを送るという。これらの主張は、プラットフォームの境界が重要であることを示す。Anthropicが観測した抽出トークンの減少は、同社が測定できるトラフィックの変化を示す証拠であり、世界中でClaudeから収集された不正な訓練データ全体の数ではない。

Anthropicは、現在の防御策を回避しようとする非常に巧妙で持続的な取り組みをまだ確認していないという。この留保は、恒久的な成功を思わせる主張より重要だ。同社は内部推定で大幅な削減を記録し、モデルの推論を守る運用方法を示した。今後の結果は、攻撃者がどう適応するか、また他のアクセス経路も同じ行動を検知するかに左右される。

## 出典・関連情報

- [Anthropic「蒸留攻撃に対する防御の強化」](https://www.anthropic.com/research/distillation-defenses)、2026年10月12日。制御策、社内の抽出量推定、誤検知率の主張、利用者とのトレードオフを説明する同社の主要資料。この記事では同社のプラットフォーム測定を独立再現していない。
- [Claude Platform「Preserved thinking」](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking)、2026年10月13日参照。現行API文書はブロックとプレフィックスの規則、対象アカウントの日付、変更が必要になる可能性のある連携方法を示す。文書は確認したが、BIG CHANGEはAPIリクエストを実行していない。
- [Anthropic、2026年9月の脅威インテリジェンス報告](https://www.anthropic.com/threat-intelligence-report-september-2026)、2026年9月。以前の同社報告は、Anthropicが対応していたという抽出手法の背景を示す。これらのキャンペーンについての同社自身の説明である。

## Sources

- [Anthropic「蒸留攻撃に対する防御の強化」](https://www.anthropic.com/research/distillation-defenses) — 制御策、社内測定、認められたトレードオフに関する同社の主要説明。推定は同社に帰属し、独立検証されていない。
- [Claude Platform「Preserved thinking」](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking) — ブロックの結び付け、プレフィックス確認、連携変更についての現行一次API文書。BIG CHANGEによるAPIリクエストは行っていない。
- [Anthropic、2026年9月の脅威インテリジェンス報告](https://www.anthropic.com/threat-intelligence-report-september-2026) — 手法に関する以前の一次資料。背景情報であり、10月の結果を独立に裏付けるものではない。