Anthropic 蒸留防御のアップデート

Anthropic は、「蒸留攻撃」—フロンティアモデルの能力を抽出し、より小型の無許可モデルに複製するための産業規模の取り組み—に対抗するため、一連の新しい技術的防御策を展開しました。これらの対策により、Anthropic のプラットフォーム上で蒸留業者によって抽出される推論トークンの量は、10分の1から100分の1以上に削減されました。

不正蒸留のリスク

不正蒸留により、第三者はフロンティアAIの能力を、元の開発コストと時間のほんの一部で模倣することができます。Anthropic は、この慣行に関連する2つの主要なリスクを特定しています。

安全対策の侵食: 蒸留されたモデルには、元のモデルの堅牢な安全ガードレールが欠けていることがよくあります。Anthropic は、Zhipu の GLM-5.3 を例に挙げています。これは、米国の主要モデルからサイバー能力を蒸留しましたが、研究により、その安全対策は簡単に回避でき、モデルがエンドツーエンドでセキュリティエクスプロイトを開発できることが判明しました。
国家安全保障上のリスク: 蒸留を通じて得られた能力は、外国の軍事、諜報、監視システムに統合されています。Anthropic は、Moonshot の Kimi モデルへのリクエストが、中国の人民解放軍に所属していると思われるユーザーのために、特定の個人のCCTV監視映像を分析するために Claude に密かに転送されたケースを報告しています。

抽出に対する技術的防御

蒸留業者は主に「推論トランスクリプト」—モデルが最終回答の前に生成する内部思考プロセス—を標的にします。これは、このデータが最終出力だけよりも、小型モデルのトレーニングにとってはるかに価値があるためです。

推論制御と保存された思考

攻撃者がコンテキストを操作してモデルに隠れた推論を明らかにさせることを防ぐため、Anthropic は Claude Fable 5.1 と Claude Opus 5.5 に保存された思考を導入しました。この機能により、2026年8月31日以降に作成されたAPIアカウントが Claude の以前のコンテキストを編集することを防ぎます。さらに、Claude Sonnet 5.5 は推論トランスクリプトを制限し、リクエストを生成した組織のみがアクセスできるようにします。

2段階分類器システム

Anthropic は、憲法分類器の研究に基づく2段階分類器システムを実装し、抽出の試みを検出してブロックします。このシステムは、Claude Sonnet 5.5、Claude Opus 5 および 5.5、Claude Fable 5 および 5.1 に導入されています。

分類器の主な仕様は次のとおりです。

堅牢性: 安全対策は、生物兵器の作成を防ぐものとほぼ同等の堅牢性を持つと説明されています。
精度: このシステムは、誤検知率を0.1%未満に維持します。
反復パッチ適用: このシステムは、推論の翻訳を要求したり、推論を特定のタグでラップするよう要求したりするなど、新しい回避技術をブロックするために更新されます。

経済的およびアカウントの抑止力

攻撃のコストを増やすために、Anthropic は以下を実装しました。

使用制限と禁止: 継続的な蒸留の試みを示すアカウントは、より厳しい制限または永久禁止に直面します。
ブロックされたリクエストの収益化: 9月24日以降、Anthropic は、蒸留を含む誤検知率が0.1%未満の領域で、安全対策によってブロックされたリクエストに対して課金しています。

有効性とトレードオフ

初期の証拠は、新しい防御策によりデータ収集が90%から99%削減されたことを示しています。2段階分類器は現在、Anthropic の9月の脅威インテリジェンスレポートで説明されているすべての蒸留技術を捕捉しています。

ただし、これらのセキュリティ上の利点には特定のトレードオフが伴います。

統合の更新: 「保存された思考」機能により、一部の正規の開発者はAPI統合を更新する必要がありました。
誤検知: 0.1%未満のケースで、無害なリクエストが誤って識別され、ブロックされます。
コスト: ユーザーは現在、これらの安全対策によってブロックされたリクエストに対して課金されます。

業界への影響

Anthropic は、蒸留は業界全体の協力を必要とする体系的な問題であると主張しています。蒸留業者はさまざまなAPIやクラウドプロバイダーにトラフィックを分散させるため、他のフロンティアモデルが同様の蒸留防止策なしに簡単にアクセスできるままである場合、個々の取り組みは損なわれます。Anthropic は、他の開発者やプラットフォームに対し、潜在的な収益の損失にもかかわらず、不正アカウントの検出と混乱、および不正蒸留業者のオフボーディングを優先するよう呼びかけています。