Anthropic 蒸馏防御更新

Anthropic 部署了一套新的技术防御措施，以打击“蒸馏攻击”——即工业规模的尝试，旨在提取前沿模型的能力，并在更小、未经授权的模型中进行复制。这些措施已使 Anthropic 平台上蒸馏器提取的推理 token 数量减少了 10 到 100 倍以上。

非法蒸馏的风险

非法蒸馏允许第三方以极低的原始开发成本和时间成本模仿前沿 AI 能力。Anthropic 指出了与此做法相关的两个主要风险：

安全护栏侵蚀： 蒸馏模型通常缺乏原始模型稳健的安全护栏。Anthropic 以 Zhipu 的 GLM-5.3 为例；虽然它从领先的美国模型中蒸馏了网络能力，但研究发现其安全护栏很容易被绕过，从而允许模型端到端地开发安全漏洞。
国家安全风险： 通过蒸馏获得的能力正被整合到外国军事、情报和监视系统中。Anthropic 报告了一个案例，其中对 Moonshot 的 Kimi 模型的请求被秘密转发给 Claude，以分析特定个人的闭路电视监控，而该用户被认为与中国人民解放军有关联。

针对提取的技术防御

蒸馏器主要针对“推理记录”（即模型在得出最终答案之前生成的内部思维过程），因为对于训练较小的模型而言，这些数据比单纯的最终输出更有价值。

推理控制与保留思维

为了防止攻击者操纵上下文来诱骗模型泄露隐藏的推理过程，Anthropic 在 Claude Fable 5.1 和 Claude Opus 5.5 中引入了保留思维功能。此功能禁止 2026 年 8 月 31 日或之后创建的 API 账户编辑 Claude 的先前上下文。此外，Claude Sonnet 5.5 限制了推理记录，使其仅对生成请求的组织可见。

两阶段分类器系统

基于其宪法分类器研究，Anthropic 实施了一个两阶段分类器系统，用于检测和阻止提取尝试。该系统已部署在 Claude Sonnet 5.5、Claude Opus 5 和 5.5 以及 Claude Fable 5 和 5.1 上。

分类器的关键规格包括：

稳健性： 这些安全护栏被描述为与防止制造生物武器的安全措施大致相当。
准确性： 该系统的误报率保持在 0.1% 以下。
迭代修补： 系统会进行更新以阻止新的规避技术，例如请求翻译推理过程或要求将推理过程包装在特定标签中。

经济与账户威慑

为了增加攻击成本，Anthropic 实施了以下措施：

使用限制与封禁： 表现出持续蒸馏尝试的账户将面临更严格的限制或永久封禁。
被拦截请求的货币化： 自 9 月 24 日起，Anthropic 开始对误报率低于 0.1% 的领域（包括蒸馏）中被安全护栏拦截的请求收费。

有效性与权衡

早期证据表明，新的防御措施已将数据采集量减少了 90% 至 99%。两阶段分类器现在可以捕获 Anthropic 9 月份威胁情报报告中描述的所有蒸馏技术。

然而，这些安全收益涉及特定的权衡：

集成更新： “保留思维”功能要求一些合法的开发者更新其 API 集成。
误报： 在不到 0.1% 的情况下，良性请求会被错误识别并拦截。
成本： 用户现在需要为被这些安全护栏拦截的请求付费。

行业影响

Anthropic 认为，蒸馏是一个需要全行业合作解决的系统性问题。由于蒸馏器将流量分散到各种 API 和云提供商中，如果其他前沿模型在没有类似反蒸馏安全护栏的情况下仍然容易被访问，那么个人的努力就会被削弱。Anthropic 呼吁其他开发者和平台优先考虑检测和破坏欺诈账户，并停止为非法蒸馏器提供服务，尽管这可能会损失潜在收入。