Markdown 버전

AI-translated from English; not yet reviewed by a fluent editor.

# Anthropic, 새로운 Claude 방어 기능으로 추론 추출 90~99% 감소했다고 밝혀

> Anthropic은 자사 플랫폼에서 추출 시도가 의심되는 증류자들이 가져가는 Claude 추론이 90~99% 줄었다고 보고했다. 방어 기능은 API 통합 방식과 차단된 요청의 청구 방식도 바꾼다.

By BIG CHANGE Editorial

Published: 2026-10-13T08:42:18.603Z
Updated: 2026-10-13T08:42:18.603Z
Canonical: https://bigchange.ai/blog/anthropic-claude-distillation-defenses-reasoning

![Conceptual charcoal illustration of an unbranded desktop monitor seen from the side with a dark privacy filter attached over its blank screen.](https://bigchange.ai/api/media/file/anthropic-preserved-reasoning-hero-v1.png)
AI-generated conceptual illustration by BIG CHANGE. No Anthropic device, software interface, attack or test result is depicted.

Anthropic은 Claude를 변경해 의심되는 모델 증류자가 추출할 수 있는 보호된 추론의 양을 크게 줄였다고 말한다. 10월 12일 공개한 [방어 기능에 관한 설명](https://www.anthropic.com/research/distillation-defenses)에서 회사는 새 분류기를 도입한 뒤 자체 플랫폼에서 증류자가 얻은 추론 토큰이 10분의 1에서 100분의 1 수준으로 감소했다고 추정했다. 이 측정은 Anthropic 자체 트래픽과 공격 식별에 근거한다. 회사는 전체 감소 폭에 대한 독립 평가를 발표하지 않았다.

## 큰 변화

- **무엇이 바뀌었나:** Anthropic은 이제 Claude 추론 블록의 재사용 위치를 제한하고, 숨겨진 추론을 노출하려는 시도를 차단하는 분류기를 적용하며, 반복 시도 계정을 제한한다. 내부 추정에 따르면 자사 플랫폼을 통해 식별된 증류자에게 전달되는 추론이 크게 줄었다.
- **왜 중요한가:** 완전한 추론 기록은 모델의 동작을 모방하기 위한 유용한 훈련 자료가 될 수 있다. 그 출처를 제한하면 무단 추출에 필요한 작업량이 늘어난다. 한편 API 개발자는 일부 대화 기록을 그대로 유지해야 하며, 특정 차단 요청에 요금이 부과될 수도 있다.
- **앞으로 볼 점:** 감소가 지속될지는 공격자의 다음 수법과 Anthropic의 직접 플랫폼 밖 트래픽에 달려 있다. Anthropic은 새 방어 기능을 겨냥한 매우 정교하고 지속적인 시도는 아직 보지 못했으며, 방어 기능을 계속 바꿀 예정이라고 밝혔다.

## 서로 다른 추출 경로를 겨냥하는 세 가지 제어

모델 증류는 더 뛰어난 모델의 답변으로 작은 시스템을 훈련하는 방식이다. Anthropic이 우려하는 것은 Claude의 완전하고 숨겨진 추론이 무단 수집되는 일이다. 회사는 답변 텍스트만보다 이 정보가 모방하려는 이에게 더 유용하다고 본다. Anthropic은 이전에는 사용자에게 보여주기 전에 추론을 요약했다. 회사가 실시한 코딩 테스트에서 Claude Opus 4.8의 전체 기록으로 훈련한 모델은 SWE-bench Verified에서 80.4%를 얻었고, 요약 기록으로 훈련했을 때는 71.8%였다. 이 실험은 해당 설정에서 더 완전한 추적 기록의 가치를 뒷받침하지만, 특정 외부 모델이 얼마나 개선됐는지는 측정하지 않는다.

첫 번째 새 제어는 추론 블록의 이동을 제한한다. Anthropic에 따르면 공격자들은 Claude가 보호된 텍스트를 드러내도록 대화, 모델, 계정 사이에서 블록을 옮기려 했다. Claude Fable 5.1과 Opus 5.5의 ‘preserved thinking’은 새 API 계정에서 블록을 직전 대화 맥락에 연결한다. Anthropic은 다른 모델의 블록을 읽을 수 있는 모델도 제한하며 Sonnet 5.5 추론을 이를 생성한 조직에 연결한다.

현재 [Claude API 문서](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking)는 통합에 미치는 결과를 구체적으로 설명한다. 이전 thinking 블록을 반환하는 API 요청은 관련 시스템 프롬프트, 도구, 앞선 메시지를 보존해야 한다. 2026년 8월 31일 이후 만든 계정에는 접두부 검사가 기본적으로 적용된다. 이전 맥락을 다시 쓰거나 저장된 대화를 재구성하는 애플리케이션은 재생 방식의 변경이 필요할 수 있다. 일반적인 추가 전용 대화 기록은 바꿀 필요가 없다고 문서는 설명한다.

Anthropic의 두 번째 제어는 숨겨진 추론을 추출하려는 시도에 맞춰 훈련하고 시험한 2단계 분류기다. 회사는 Sonnet 5.5, Opus 5와 5.5, Fable 5와 5.1을 포함해 가장 성능이 높은 일반 제공 모델에서 분류기가 작동한다고 말한다. 이 보호 기능의 오탐률은 0.1% 미만이라고 보고했다. 이전 추론을 다른 언어로 요청하거나 출력 태그 안에 넣도록 하는 기법도 수정했다고 밝혔다. 게시물은 해당 비율을 독립적으로 시험하지 않았으며, 앞으로 등장할 모든 추출 방식이 차단된다는 점도 입증하지 않는다.

세 번째 제어는 계정 수준에서 작동한다. Anthropic은 반복적인 추출 시도가 더 엄격한 사용 제한이나 계정 정지로 이어질 수 있다고 말한다. 9월 24일부터 증류를 포함해 오탐률이 낮다고 지정한 일부 범주에서는 Claude가 답하기 전에 차단된 요청에도 다시 요금을 부과하기 시작했다. 따라서 정당한 사용자는 잘못된 차단과 청구를 모두 겪을 수 있다. Anthropic은 보존된 사고 기능 때문에 일부 개발자가 통합을 업데이트해야 했다는 점도 인정한다.

## 보고된 감소 폭이 측정하는 것

Anthropic은 증류자가 추출한 Claude 추론 토큰 수를 **자체 플랫폼에서**추정한다. 분류기 도입 후 이 수치는 이전보다 지속적으로 10\~100배 낮아졌으며, 분류기는 9월 보고서에서 설명한 자사 최강 일반 제공 모델 대상 기법을 포착한다고 회사는 말한다. 이 추정은 Anthropic이 증류 트래픽을 식별하는 능력에 달려 있다. 다른 제공업체를 통한 추출이나 아직 알아내지 못한 공격 기법은 이 수치만으로 측정할 수 없다.

회사는 증류와 연관된 수만 개 계정을 정지했으며, 캠페인 시작 후 두 시간 안에 조치하는 경우가 많았다고 말한다. 증류자들은 제3자 클라우드 플랫폼과 다른 추론 제공업체를 통해 트래픽을 전달한다고도 밝혔다. 이러한 주장은 플랫폼의 경계를 중요하게 만든다. Anthropic이 관찰한 추출 토큰 감소는 측정 가능한 트래픽이 바뀌었다는 증거이지, 전 세계에서 Claude로부터 수집된 모든 무단 훈련 데이터의 수량은 아니다.

Anthropic은 현재 방어 기능을 우회하려는 매우 정교하고 지속적인 시도는 아직 관찰하지 못했다고 말한다. 영구적인 성공을 암시하는 주장보다 이 단서가 중요하다. 회사는 상당한 내부 감소와 모델 추론을 방어하는 운영 방식을 문서화했다. 이후 결과는 공격자의 적응과 다른 접근 경로가 같은 행동을 탐지하는지에 달려 있다.

## 출처 및 추가 자료

- [Anthropic, ‘증류 공격에 대한 방어 강화’](https://www.anthropic.com/research/distillation-defenses), 2026년 10월 12일. 통제 기능, 내부 추출 추정치, 오탐률 주장, 사용자에게 생기는 상충관계를 설명하는 회사의 주요 자료다. 이 기사에서는 플랫폼 측정을 독립적으로 재현하지 않았다.
- [Claude Platform, ‘Preserved thinking’](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking), 2026년 10월 13일 확인. 현재 API 문서는 블록과 접두부 규칙, 영향을 받는 계정 날짜, 변경이 필요할 수 있는 통합 패턴을 명시한다. 문서를 검토했으며 BIG CHANGE는 API 요청을 보내지 않았다.
- [Anthropic, 2026년 9월 위협 인텔리전스 보고서](https://www.anthropic.com/threat-intelligence-report-september-2026), 2026년 9월. 앞선 회사 보고서는 Anthropic이 대응했다고 밝힌 추출 기법의 배경을 제공한다. 해당 캠페인에 관한 회사 자체 설명이다.

## Sources

- [Anthropic, 증류 공격에 대한 방어 강화](https://www.anthropic.com/research/distillation-defenses) — 제어 기능과 내부 측정, 인정된 상충관계에 관한 회사의 주요 설명이다. 추정치는 회사에 귀속되며 독립적으로 검증되지 않았다.
- [Claude Platform, Preserved thinking](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking) — 블록 연결, 접두부 검사, 통합 변경에 관한 현재 1차 API 문서다. BIG CHANGE는 API 요청을 수행하지 않았다.
- [Anthropic, 2026년 9월 위협 인텔리전스 보고서](https://www.anthropic.com/threat-intelligence-report-september-2026) — 기법에 관한 과거 1차 자료다. 배경 정보이며 10월 결과에 대한 독립적 확인은 아니다.