Anthropic kaže da su izmene Claude-a naglo smanjile količinu zaštićenog rezonovanja koju navodni distilatori modela mogu da izvuku. U izveštaju od 12. oktobra o svojim odbranama, kompanija procenjuje da je broj tokena rezonovanja koje su distilatori dobijali na njenoj platformi opao 10 do 100 puta nakon uvođenja novog klasifikatora. Merenje se zasniva na Anthropic-ovom sopstvenom saobraćaju i identifikovanju napada; kompanija nije objavila nezavisnu procenu ukupnog smanjenja.

Velika promena

  • Šta se promenilo: Anthropic sada kombinuje kontrole koje određuju gde Claude blok rezonovanja može ponovo da se koristi, klasifikator koji blokira pokušaje otkrivanja skrivenog rezonovanja i ograničenja za naloge koji uporno pokušavaju. Njegova interna procena pokazuje da preko platforme do identifikovanih distilatora stiže mnogo manje rezonovanja.
  • Zašto je važno: Potpuni transkripti rezonovanja mogu biti koristan materijal za obuku kojom se kopira ponašanje modela. Ograničenje tog izvora povećava napor potreban za neovlašćeno izvlačenje, dok programeri API-ja moraju da čuvaju deo istorije razgovora i za neke blokirane zahteve mogu da plate.
  • Šta pratiti: Trajnost smanjenja zavisi od narednih metoda napadača i saobraćaja izvan Anthropic-ove direktne platforme. Anthropic kaže da još nije uočio veoma sofisticiran i uporan pokušaj protiv novih odbrana i očekuje da će nastaviti da ih menja.

Tri kontrole ciljaju različite puteve izvlačenja

Distilacija modela može da obučava manji sistem odgovorima sposobnijeg modela. Anthropic ovde brine zbog neovlašćenog prikupljanja potpunog, skrivenog Claude rezonovanja, za koje kaže da je potencijalnom imitatoru korisnije od samog teksta odgovora. Anthropic je ranije sažimao rezonovanje pre prikazivanja korisnicima. U jednom testu programiranja koji je sprovela kompanija, model obučen na potpunim transkriptima Claude Opus 4.8 postigao je 80,4% na SWE-bench Verified, u poređenju sa 71,8% kada je obučen na sažetim transkriptima. Eksperiment podržava vrednost potpunijih tragova u tom testu; ne meri koliko je poboljšan neki konkretan spoljni model.

Prva nova kontrola ograničava premeštanje blokova rezonovanja. Anthropic kaže da su napadači pokušavali da premeštaju blokove između razgovora, modela i naloga kako bi naveli Claude da otkrije zaštićeni tekst. Kod Claude Fable 5.1 i Opus 5.5, „preserved thinking“ vezuje blok za kontekst prethodnog razgovora na novim API nalozima. Anthropic takođe ograničava koji modeli mogu da čitaju blokove drugih modela i vezuje Sonnet 5.5 rezonovanje za organizaciju koja ga je proizvela.

Trenutna Claude API dokumentacija konkretizuje posledice po integraciju: API zahtev koji vraća raniji blok razmišljanja mora da sačuva odgovarajući sistemski upit, alate i prethodne poruke. Za naloge otvorene 31. avgusta 2026. ili kasnije, provera prefiksa je podrazumevano obavezna. Aplikacije koje prepravljaju raniji kontekst ili ponovo sastavljaju sačuvani razgovor možda će morati da promene način njegovog reprodukovanja. Dokumentacija kaže da obične istorije kojima se samo dodaju poruke ne zahtevaju izmenu.

Druga Anthropic-ova kontrola je dvostepeni klasifikator obučen i testiran protiv pokušaja izvlačenja skrivenog rezonovanja. Kompanija kaže da radi na njenim najsposobnijim modelima koji su opšte dostupni, uključujući Sonnet 5.5, Opus 5 i 5.5, kao i Fable 5 i 5.1. Kompanija navodi da je stopa lažno pozitivnih rezultata za ove zaštite ispod 0,1%. Kaže da je zakrpila tehnike poput traženja ranijeg rezonovanja na drugom jeziku ili u izlaznim oznakama. Objava ne daje nezavisni test te stope niti dokazuje da će svaki budući metod izvlačenja biti blokiran.

Treća kontrola deluje na nivou naloga. Anthropic kaže da ponovljeni pokušaji izvlačenja mogu dovesti do strožih ograničenja korišćenja ili zabrane naloga. Od 24. septembra ponovo naplaćuje i zahteve blokirane pre nego što Claude odgovori u određenim kategorijama sa niskom stopom lažno pozitivnih rezultata, uključujući distilaciju. Zato legitimni korisnici mogu da naiđu i na pogrešnu blokadu i na naplatu; Anthropic priznaje i da je očuvano razmišljanje neke programere primoralo da ažuriraju integracije.

Šta meri prijavljeno smanjenje

Anthropic procenjuje broj Claude tokena rezonovanja koje distilatori izvlače na njegovoj sopstvenoj platformi. Nakon uvođenja klasifikatora, taj broj je, kako navodi, stalno bio 10 do 100 puta manji nego ranije, a klasifikator otkriva tehnike opisane u septembarskom izveštaju za njegove najjače opšte dostupne modele. Procena zavisi od sposobnosti Anthropic-a da identifikuje saobraćaj distilacije i sama po sebi ne može da izmeri izvlačenje preko drugih provajdera ili napad koji kompanija nije prepoznala.

Kompanija kaže da je zabranila desetine hiljada naloga povezanih sa distilacijom, često u roku od dva sata od početka kampanje. Takođe navodi da distilatori usmeravaju saobraćaj preko nezavisnih cloud platformi i drugih provajdera inferencije. Te tvrdnje čine granicu platforme važnom: pad broja izvučenih tokena koji je Anthropic uočio dokaz je promene u saobraćaju koji može da meri, a ne broja svih neovlašćenih podataka za obuku prikupljenih od Claude-a svuda.

Anthropic kaže da još nije uočio veoma sofisticiran i uporan pokušaj zaobilaženja trenutnih odbrana. Ta ograda je važnija od tvrdnje o uspehu koja zvuči trajno. Kompanija je dokumentovala značajno interno smanjenje i operativni pristup zaštiti rezonovanja modela; budući rezultati zavisiće od toga kako će se napadači prilagoditi i da li će drugi pristupni putevi otkrivati isto ponašanje.

Izvori i dodatno čitanje