Anthropic Reports 90–99% Verringerung der Destillationsangriffe bei Claude-Modellen

Anthropic berichtete auf 2026-10-12, dass neue Verteidigungsmaßnahmen das Datenvolumen aus seinen Claude-Modellen durch Destillationsangriffe gewonnene Daten laut internen Plattformmetriken um etwa 90 bis 99 Prozent reduziert haben. Destillationsangriffe sind verdeckte Kampagnen, bei denen unautorisierte Parteien ein Frontier-KI-Modell im großen Maßstab abfragen, um dessen Fähigkeiten in einem anderen Modell ohne Zustimmung des ursprünglichen Entwicklers zu replizieren.

Das Unternehmen beschrieb diese Angriffe als "industrielle" Maßnahmen, die über Netzwerke betrügerischer Konten durchgeführt wurden und es ausländischen Laboren ermöglichten, fortschrittliche KI-Fähigkeiten zu einem Bruchteil der Entwicklungszeit und -kosten nachzuahmen. Anthropic erklärte in einem 2026-09 Bericht, dass die Methode von ausländischen KI Laboren umfangreich eingesetzt wurde, um mit US-Unternehmen Schritt zu halten.

Nationale Sicherheits- und Sicherheitsbedenken

Anthropic hat zwei Hauptbedenken dargelegt. Erstens könnten destillierte Modelle nahe an Grenzkompetenzniveaus kommen, aber ohne proportional robuste Schutzmaßnahmen veröffentlicht werden, was Risiken in Bereichen wie Biologie und Cybersicherheit schafft. Das Unternehmen nannte Zhipus GLM-5.3-Modell als Beispiel. Laut Anthropic destillierte Zhipu während GLM-5.3 Entwicklung die Cyberfähigkeiten führender US-Modelle, zunächst als Ziel von Claude Fable 5 und wechselte dann nach Aufeinandertreffen auf ein älteres Claude-Modell und das Modell eines anderen Labors. Das US-amerikanische Center for Advancing Innovation and Standards for Superintelligenz (CAISSI) bewertete GLM-5.3 laut einer Ankündigung 2026-09 als das bisher cyberfähigste Open-Weights-Modell. Anthropics eigene Forschung ergab, dass GLM-5.3 Schutzmaßnahmen umgangen werden können und dass das Modell bereit ist, Sicherheitsausfälle von Anfang bis Ende zu entwickeln.

Zweitens stellte Anthropic fest, dass illegal destillierte Modelle ein nationales Sicherheitsrisiko darstellten, da die Destillationsunternehmen die daraus resultierenden Fähigkeiten in ausländische Militär-, Aufklärungs- und Überwachungssysteme integrieren. Das Unternehmen berichtete 2026-09 über einen Fall, in dem Anfragen an Moonshots Kimi-Modelle heimlich an Claude im Rahmen der Destillationsbemühungen weitergeleitet wurden. eins Anfrage kam von einem Nutzer, von dem Anthropic glaubt, dass er mit der Volksbefreiungsarmee Chinas verbunden war und die CCTV-Überwachung einer bestimmten Person analysieren wollte.

Technische Verteidigungen und Kompromisse

Die Verteidigungen von Anthropic konzentrieren sich darauf, Claudes Argumentationstranskripte – den Schritt-für-Schritt-Denkprozess, den das Modell vor der Antwort schreibt – für Destillateure schwerer zugänglich zu machen. Das Unternehmen erklärte, dass Argumentationstranskripte für die Destillation wertvoller sind als die Endergebnisse allein, da sie einem kleineren Modell helfen zu verstehen, wie Claude zu seinen Antworten kommt.

Erste Maßnahmen umfassten die Zusammenfassung von Claudes Argumentation, bevor sie den Nutzern angezeigt wurden. Interne Bewertungen zeigten, dass ein vortrainiertes Claude-Modell, das auf vollständigen Transkripten von Claude Opus trainiert 4.8 wurde, 80.4% im SWE-bench Verified Coding Benchmark erreichte, im Vergleich zu 71.8%, wenn es nur auf zusammengefassten Transkripten trainiert wurde. Angreifer passten sich jedoch an, indem sie "aktive Extraktion"-Techniken einsetzten, die von einfachen Anweisungen zur wortwörtlichen Ausgabe von Vorargumenten bis hin zu ausgefeilten Kampagnen reichten, die Tausende von prompten Varianten testeten. Anthropic beschrieb im September eins Labor, das 12,000 Anfragen testete, wobei jede darauf abzielte, Claude auf unterschiedliche Weise zu täuschen.

Die derzeitigen Abwehrmechanismen des Unternehmens unterbrechen Angriffe auf drei Weise. Zunächst führte Anthropic mit Claude Fable 5.1 und Claude Opus 5.5konserviertes Denken ein, wodurch neue API-Konten, die am oder nach dem 2026-08-31 erstellt wurden, den vorherigen Kontext von Claude bearbeiten konnten. Die Maßnahme verhindert außerdem, dass Argumentationstranskripte von früheren Modellen mit schwächeren Schutzmaßnahmen gelesen werden können, und schränkt mit Claude Sonnet 5.5 den Denkzugang für die Organisation ein, die das Transkript erstellt hat.

Zweitens setzte Anthropic ein zwei-stufiges Klassifikatorsystem ein, das auf seiner Forschung zu Verfassungsklassifikatoren basierte. Das Unternehmen erklärte, der Klassifikator sei intern und extern mit manuellen und automatisierten Methoden rot gefiltert worden, wodurch eine Robustheit erreicht wurde, die mit Schutzmaßnahmen vergleichbar ist, die Claude daran hindern, beim Bau von Biowaffen zu helfen, mit einer Fehlalarmrate unter 0.1%. Das System läuft auf Claude Sonnet 5.5, Claude Opus 5 und 5.5 sowie Claude Fable 5 und 5.1, und ist für zukünftige Frontier-Modelle geplant.

Drittens erkennt Anthropic Konten, die für die Destillation verwendet werden, und verhängt strengere Nutzungsbeschränkungen oder -verbote. Seit 2026-09-24 verlangt das Unternehmen wieder Gebühren für Anfragen, die durch Sicherheitsvorkehrungen blockiert werden, bevor Claude in Gebieten mit falsch-positiven Raten unter 0.1% reagiert, einschließlich der Destillation.

Gemessener Einfluss und Einschränkungen

Anthropic erklärte, dass nach Einführung des zwei-Stufen-Klassifikators die Anzahl der von Destillatoren auf seiner Plattform extrahierten Reasoning-Tokens im Vergleich zu den Vorimplementierungsniveaus konstant um einen Faktor von 10 bis 100 sank. An manchen Tagen, so berichtete das Unternehmen, sei das Volumen der extrahierten Reasoning-Tokens zu gering, um sie zu messen. Das Unternehmen hat diese Verteidigungen genutzt, um Zehntausende von Konten, die mit der Destillation in Verbindung stehen, oft innerhalb zwei Stunden nach Beginn einer Destillationskampagne, laut der Offenlegung vom Oktober 12.

Anthropic räumte ein, dass die Maßnahmen Abwägungen mit sich bringen. Das Unternehmen erklärte 2026-02, dass es daran arbeite, die Destillation zu erschweren, ohne legitime Nutzer zu beeinträchtigen, dieses Ziel jedoch nicht vollständig erreicht habe. Bewährtes Denken hat einige Entwickler dazu veranlasst, ihre Integrationen zu aktualisieren, die Klassifikatoren können harmlose Anfragen in weniger als 0.1% Fällen falsch identifizieren oder blockieren, und das Unternehmen berechnet nun Gebühren für diese blockierten Anfragen. Anthropic hat zudem bedeutende Einnahmen und Billionen Tokens an zahlendem Traffic von Destillatoren abgelehnt und umfangreiche Forschungs- und Produktzeit-Team-Investitionen in das Problem investiert.

Das Unternehmen erklärte, es wisse noch nicht, wie lange die Gewinne anhalten werden, erwarte, dass die Destillation eine iterative Herausforderung bleiben werde, und habe bisher keinen hochentwickelten und hartnäckigen Versuch unternommen, die neuen Verteidigungen zu umgehen.

Branchenweiter Aufruf zum Handeln

Anthropic erklärte, dass die Verhinderung illegaler Destillation Arbeit und Zustimmung aller Pioniermodellentwickler erfordert, und wies darauf hin, dass seine Bemühungen untergraben würden, wenn Angreifer leicht Zugang zu ähnlich leistungsfähigen Modellen ohne robuste Anti-Destillations-Schutzmaßnahmen hätten. Das Unternehmen forderte außerdem Drittanbieter-Cloud-Plattformen und Inferenzanbieter auf, Missbrauch schnell zu erkennen und zu stören sowie betrügerische Konten zu verbreiten, wobei Brenner den Datenverkehr über Anthropics API, Drittanbieterplattformen und andere Anbieter verteilen. Anthropic räumte ein, dass Industrieanreize oft Untätigkeit begünstigen, da Verteidigungen teuer sind und Destillateure zahlende Kunden sind, und erklärte, es habe seine Methoden veröffentlicht, um eine praktikable Alternative zu demonstrieren.

Quelle: www.anthropic.com.