AI-translated from English; not yet reviewed by a fluent editor.

# Anthropic称Claude新防护措施将推理内容提取量削减90%至99%

> Anthropic称，在其平台上，疑似蒸馏者提取的Claude推理内容减少了90%至99%。这些防护措施也改变了API集成方式和被拦截请求的计费规则。

By BIG CHANGE Editorial

Published: 2026-10-13T08:42:18.603Z
Updated: 2026-10-13T08:42:18.603Z
Canonical: https://bigchange.ai/blog/anthropic-claude-distillation-defenses-reasoning

![Conceptual charcoal illustration of an unbranded desktop monitor seen from the side with a dark privacy filter attached over its blank screen.](https://bigchange.ai/api/media/file/anthropic-preserved-reasoning-hero-v1.png)
AI-generated conceptual illustration by BIG CHANGE. No Anthropic device, software interface, attack or test result is depicted.

Anthropic表示，对Claude所做的调整大幅减少了疑似模型蒸馏者能够提取的受保护推理内容。在一篇[10月12日发布的防护措施说明](https://www.anthropic.com/research/distillation-defenses)中，该公司估计，引入新分类器后，蒸馏者在其自有平台获得的推理令牌减少了10至100倍。该测量依据Anthropic自身的流量和攻击识别；公司尚未发布对总体降幅的独立评估。

## 重大变化

- **变化内容：** Anthropic现在结合了三类控制：限制Claude推理区块的复用位置、用分类器阻止暴露隐藏推理的尝试，以及限制持续尝试的账户。其内部估算显示，经由该平台到达已识别蒸馏者的推理内容大幅减少。
- **重要性：** 完整推理记录可能成为复制模型行为的训练材料。限制这一来源会增加未经授权提取所需的工作量，同时API开发者必须保留部分对话历史，并且某些被拦截请求可能仍需付费。
- **后续观察：** 降幅能否持续取决于攻击者接下来的方法，以及Anthropic直接平台以外的流量。Anthropic称，尚未看到针对新防护措施的高度复杂、持续性攻击，并预计会继续调整这些措施。

## 三种控制针对不同的提取途径

模型蒸馏可以利用能力更强的模型所给出的答案训练较小系统。Anthropic在此担忧的是，Claude完整且隐藏的推理内容遭到未经授权的收集；该公司认为，与单独的答案文本相比，这些内容对潜在模仿者更有用。Anthropic过去会先总结推理，再向用户展示。在一项由公司开展的编程测试中，使用Claude Opus 4.8完整记录训练的模型在SWE-bench Verified上得分80.4%，而使用总结记录训练时为71.8%。这项实验支持在该设置中完整轨迹的价值，但不能衡量某个特定外部模型提升了多少。

第一项新控制措施限制推理区块的移动。Anthropic称，攻击者曾试图在对话、模型和账户之间搬移区块，以诱使Claude泄露受保护文本。对于Claude Fable 5.1和Opus 5.5，“保留思考”会将区块绑定到先前对话上下文，以保护新建API账户。Anthropic还限制哪些模型能够读取其他模型的区块，并将Sonnet 5.5的推理内容绑定到生成它的组织。

当前 [Claude API当前文档](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking)具体说明了集成方面的影响：返回先前思考区块的API请求必须保留相关系统提示、工具和前序消息。对于2026年8月31日及之后创建的账户，默认强制执行前缀检查。重写早期上下文或重建已保存对话的应用可能需要改变回放方式。文档称，普通的只追加历史记录无需更改。

Anthropic的第二项控制措施是一个两阶段分类器，经过训练和测试，用于应对提取隐藏推理的尝试。该公司称，分类器在其最强的普遍可用模型上运行，包括Sonnet 5.5、Opus 5和5.5、Fable 5和5.1。Anthropic报告称，这些防护措施的误报率低于0.1%。它表示，已修补诸如要求用另一种语言或放在输出标签中返回早先推理等技巧。该文章没有提供对这一比率的独立测试，也没有证明所有未来的提取方法都会被拦截。

第三项控制在账户层面发挥作用。Anthropic称，反复尝试提取可能导致更严格的使用限制或封禁。自9月24日起，对于包括蒸馏在内的特定低误报类别，公司也恢复对Claude回复前已被拦截的请求收费。因此，合法用户可能同时遇到误拦截和收费；Anthropic还承认，保留思考功能也使一些开发者不得不更新集成。

## 报告的降幅测量什么

Anthropic估算蒸馏者提取的Claude推理令牌数量，范围是**其自有平台**。公司称，分类器推出后，这一数量持续比之前低10至100倍，且分类器能识别其9月报告中描述的、针对其最强普遍可用模型的技巧。该估算取决于Anthropic识别蒸馏流量的能力，单凭它无法衡量其他提供商处的提取，也无法衡量尚未识别的攻击方法。

该公司称，已封禁数万个与蒸馏相关的账户，通常在一项行动开始后两小时内完成。它还表示，蒸馏者会通过第三方云平台和其他推理服务商转发流量。这些说法凸显了平台边界的重要性：Anthropic观察到的提取令牌减少，是其可测量流量发生变化的证据，并不代表全球范围内从Claude收集的全部未经授权训练数据的数量。

Anthropic称，尚未观察到高度复杂且持续的行动试图绕过当前防护措施。与听起来永久有效的成功宣称相比，这一限定更值得注意。公司记录了内部提取量显著下降，也介绍了保护模型推理内容的操作方案；后续效果将取决于攻击者如何适应，以及其他访问途径能否识别相同行为。

## 来源与延伸阅读

- [Anthropic，《加强我们对蒸馏攻击的防护》](https://www.anthropic.com/research/distillation-defenses)，2026年10月12日。公司的主要说明介绍了控制措施、内部提取量估算、误报率主张和用户面临的取舍。本文尚未对其平台测量进行独立复现。
- [Claude Platform，《保留思考》](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking)，2026年10月13日查阅。当前API文档列明区块和前缀规则、受影响账户的创建日期，以及可能需要更改的集成模式。我们审阅了文档；BIG CHANGE未发送API请求。
- [Anthropic，2026年9月威胁情报报告](https://www.anthropic.com/threat-intelligence-report-september-2026)，2026年9月。此前的公司报告为Anthropic所称其正在应对的提取方法提供背景；这是公司对相关行动的自述。

## Sources

- [Anthropic，《加强我们对蒸馏攻击的防护》](https://www.anthropic.com/research/distillation-defenses) — 公司对控制措施、内部测量和已承认取舍的主要说明；估算注明归属，未经独立验证。
- [Claude Platform，《保留思考》](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking) — 关于区块绑定、前缀检查和集成变更的当前第一方API文档；BIG CHANGE未执行API请求。
- [Anthropic，2026年9月威胁情报报告](https://www.anthropic.com/threat-intelligence-report-september-2026) — 此前的第一方方法说明，提供背景信息，并非对10月结果的独立佐证。