Anthropic表示，對Claude所做的變更大幅減少了疑似模型蒸餾者能擷取的受保護推理內容。在一篇10月12日發布的防護措施說明中，該公司估計，導入新分類器後，蒸餾者在其自有平台取得的推理權杖減少了10至100倍。這項測量來自Anthropic自身的流量與攻擊識別；公司尚未發布整體降幅的獨立評估。

重大變化

  • 變更內容： Anthropic現在結合三類控制：限制Claude推理區塊的重複使用位置、以分類器阻擋揭露隱藏推理的嘗試，以及限制持續嘗試的帳戶。其內部估計顯示，透過該平台傳到已識別蒸餾者的推理內容大幅減少。
  • 重要性： 完整推理紀錄可作為模仿模型行為的訓練材料。限制這項來源會增加未經授權擷取所需的工作量，同時API開發者必須保留部分對話歷史，而且某些遭封鎖的請求仍可能收費。
  • 後續觀察： 降幅能否持續，取決於攻擊者接下來採用的方法，以及Anthropic直接平台以外的流量。Anthropic表示，尚未看到針對新防護措施的高度複雜、持續性攻擊，並預期會繼續調整措施。

三種控制瞄準不同的擷取途徑

模型蒸餾可以利用能力較強模型的回答訓練較小的系統。Anthropic在此關注的是Claude完整且隱藏的推理遭未經授權蒐集；該公司認為，與單獨的答案文字相比，這些內容對潛在模仿者更有用。Anthropic過去會先摘要推理，再顯示給使用者。在一項由公司進行的程式設計測試中，使用Claude Opus 4.8完整紀錄訓練的模型在SWE-bench Verified得分80.4%，使用摘要紀錄訓練則為71.8%。這項實驗支持完整軌跡在該設定中的價值；但沒有測量特定外部模型因此提升多少。

第一項新控制措施限制推理區塊的移動。Anthropic表示，攻擊者曾嘗試在對話、模型與帳戶間移動區塊，誘使Claude揭露受保護文字。對Claude Fable 5.1和Opus 5.5而言，「保留思考」會將區塊綁定至先前對話情境，適用於新的API帳戶。Anthropic也限制哪些模型可讀取其他模型的區塊，並將Sonnet 5.5的推理綁定至產生它的組織。

目前 Claude API目前文件具體說明整合上的影響：會傳回先前思考區塊的API請求，必須保留相關系統提示、工具與先前訊息。對於2026年8月31日當日或之後建立的帳戶，預設會強制執行前綴檢查。重寫先前情境或重建已儲存對話的應用程式可能必須改變重播方式。文件表示，一般只追加內容的歷史紀錄不需更動。

Anthropic的第二項控制措施是兩階段分類器，經過訓練和測試，用於應對擷取隱藏推理的嘗試。該公司表示，分類器會在其最強且普遍可用的模型上運作，包括Sonnet 5.5、Opus 5與5.5、Fable 5與5.1。Anthropic稱這些防護措施的誤判率低於0.1%。它表示已修補諸如要求以另一種語言或放進輸出標籤來取得先前推理等技巧。文章沒有提供此比率的獨立測試，也未證明所有未來的擷取方式都會遭到封鎖。

第三項控制措施在帳戶層級運作。Anthropic表示，重複的擷取嘗試可能觸發更嚴格的使用限制或封鎖。自9月24日起，對於包括蒸餾在內、誤判率低的特定類別，在Claude回覆前遭封鎖的請求也恢復收費。因此，正當使用者可能同時遇到誤擋與費用；Anthropic也承認，保留思考功能曾要求部分開發者更新整合方式。

報告中的降幅測量什麼

Anthropic估計蒸餾者擷取的Claude推理權杖數量，範圍是其自有平台。分類器推出後，該公司表示這項數量持續比以前低10至100倍，且分類器能抓到其9月報告中所述、針對其最強普遍可用模型的技巧。這項估計取決於Anthropic識別蒸餾流量的能力，無法單獨測量其他供應商的擷取，也無法測量尚未辨識的攻擊方法。

該公司表示，已封鎖數萬個與蒸餾有關的帳戶，通常在一項行動開始後兩小時內就處理完畢。它也表示蒸餾者會透過第三方雲端平台與其他推論供應商轉送流量。這些說法使平台邊界格外重要：Anthropic觀察到擷取權杖減少，是它能測量的流量發生變化的證據，不是全球從Claude蒐集到的全部未經授權訓練資料總量。

Anthropic表示，尚未觀察到高度複雜且持續試圖繞過目前防護措施的行動。比起聽來永久有效的成功宣稱，這項保留說明更重要。公司記錄了內部擷取量大幅下降，也說明了保護模型推理的作業方式；後續成效將取決於攻擊者如何調整，以及其他存取途徑是否也能偵測相同行為。

來源與延伸閱讀