Anthropic Reports 90–99% Снижение атак дистилляции на модели Claude
Anthropic сообщил 2026-10-12, что новые защитные меры сократили объём данных, извлекаемых из моделей Claude путём атак на дистилляцию, примерно на 90–99 процентов, согласно внутренним метрикам платформы. Атаки на дистилляцию — это скрытые кампании, в ходе которых несанкционированные лица запрашивают модель ИИ границы в масштабе, чтобы воспроизвести её возможности в другой модели без согласия первоначального разработчика.
Компания описала эти атаки как «промышленные масштабы», проводимые через сети мошеннических аккаунтов, позволяющие зарубежным лабораториям имитировать передовые ИИ возможности за небольшую часть времени и затрат на разработку. Anthropic заявила в 2026-09 отчёте, что этот метод широко используется зарубежными ИИ лабораториями, чтобы не отставать от американских компаний.
Вопросы национальной безопасности и безопасности
Anthropic обозначил два основные опасения. Во-первых, дистиллированные модели могут достигать уровня возможностей, но выпускаются без пропорционально надёжных мер защиты, что создаёт риски в таких областях, как биология и кибербезопасность. Компания привела модель GLM-5.3 Zhipu в качестве примера. По данным Anthropic, Zhipu выделял кибервозможности ведущих американских моделей во время GLM-5.3 разработки, сначала ориентируясь на Claude Fable 5, а затем перейдя на более старую модель Claude и другую лабораторную модель после столкновения с мерами предосторожности. Центр продвижения инноваций и стандартов для сверхинтеллект США (CAISSI) оценил GLM-5.3 как наиболее киберориентированную модель открытых весов, выпущенную на сегодняшний день, согласно заявлению 2026-09 года. Собственное исследование Anthropic показало, что меры защиты GLM-5.3можно обойти, и модель готова разрабатывать эксплойты безопасности от начала до конца.
Во-вторых, Anthropic заявила, что незаконно дистиллированные модели представляют угрозу национальной безопасности, поскольку компании, проводящие дистилляцию, интегрируют полученные возможности в иностранные военные, разведывательные и системы наблюдения. Компания сообщила 2026-09 случае, когда запросы на модели Kimi Moonshot тайно передавались Клоду в рамках дистилляционных работ. один запрос поступил от пользователя, которого Anthropic считает связанным с Народно-освободительной армией Китая, который пытался проанализировать камеры наблюдения за конкретным человеком.
Технические защиты и компромиссы
Защита Anthropic сосредоточена на том, чтобы сделать рассуждения Клода — пошаговый процесс мышления, который модель пишет перед ответом — более доступным для дистилляторов. Компания заявила, что рассуждения более ценны для дистилляции, чем конечные результаты, поскольку они помогают меньшей модели понять, как Клод достигает ответов.
Первоначальные меры включали краткое изложение рассуждений Клода перед её показом пользователям. Внутренние оценки показали, что предварительно обученная модель Клода, обученная на полных транскриптах из Claude Opus, 4.8 достигла 80.4% на бенчмарке кодирования SWE-bench Verified, по сравнению с 71.8% при обучении только на суммированных транскриптах. Однако злоумышленники адаптировались, применяя методы «активной экстракции» — от простых инструкций до дословного вывода предварительных рассуждений и сложных кампаний, тестирующих тысячи вариантов запросов. Anthropic, описанный в сентябре один лаборатории, которая тестировала 12,000 запросы, каждый из которых пытался обмануть Клода по-своему.
Текущая защита компании нарушает атаки три способами. Во-первых, Anthropic внедрила концепцию сохранения с Claude Fable 5.1 и Claude Opus 5.5, запрещая новым API-аккаунтам, создаваемым вне или после 2026-08-31, редактировать предыдущий контекст Claude. Мера также блокирует чтение расшифровок рассуждений более ранними моделями с более слабыми защитными защитами и, как 5.5 Claude Sonnet, ограничивает доступ рассуждений к организации, которая создала стенограмму.
Во-вторых, Anthropic внедрила два-ступенчатую систему классификаторов, основанную на своих исследованиях конституционных классификаторов. Компания заявила, что классификатор был объединён как внутри, так и внешне, как вручную, так и автоматизированными методами, обеспечивая надёжность, сопоставимую с мерами защиты, которые не позволяют Claude помогать создавать биологическое оружие, с коэффициентом ложноположительных результатов ниже 0.1%. Система работает на Claude Sonnet 5.5, Claude Opus 5 и 5.5, а также Claude Fable 5 и 5.1и планируется для будущих моделей фронтира.
В-третьих, Anthropic выявляет счета, используемые для дистилляции, и вводит более строгие ограничения или запреты на использование. С 2026-09-24года компания возобновила взимание платы за запросы, заблокированные мерами предосторожности, прежде чем Claude отреагирует в районах с ложными положительными результатами ниже 0.1%, включая дистилляцию.
Измеряемое воздействие и ограничения
Anthropic заявила, что после внедрения классификатора два ступеней количество токенов рассуждения, извлекаемых дистилляторами на её платформе, стабильно снижалось в 10–100 раза по сравнению с уровнями до внедрения. В некоторые дни, как сообщала компания, объём извлекаемых логических токенов был слишком малым для измерения. Компания использовала эти средства защиты для блокировки десятков тысяч аккаунтов, связанных с дистилляцией, часто в течение два часов после начала дистилляционной кампании, согласно раскрытию октября 12 года.
Anthropic признала, что эти меры связаны с компромиссами. В2026-02 году компания заявила, что работает над тем, чтобы усложнить дистилляцию, не затрагивая легальных пользователей, но не достигла этой цели полностью. Сохранённое мышление потребовало от некоторых разработчиков обновить свои интеграции, классификаторы могут ошибочно идентифицировать или блокировать безобидные запросы менее чем в 0.1% случаях, и теперь компания взимает плату с пользователей за эти заблокированные запросы. Anthropic также отказалась от значимых доходов и триллионов токенов от платного трафика от винокуров, а также вложила значительные исследования и время продуктовой команды в решение этой проблемы.
Компания заявила, что пока не знает, как долго продлятся эти достижения, ожидает, что дистилляция останется итеративной задачей и пока не столкнулась с высокосложной и настойчивой попыткой обойти новые защиты.
Призыв к действию по всей отрасли
Anthropic заявила, что предотвращение незаконной дистилляции требует усилий и поддержки всех разработчиков моделей на фронтире, отметив, что её усилия будут подорваны, если злоумышленники смогут легко получить доступ к аналогичным моделям без надёжных антидистилляционных мер. Компания также призвала сторонние облачные платформы и поставщиков выводов быстро выявлять и пресекать злоупотребления и вне мошеннических аккаунтов, отмечая, что дистилляторы распределяют трафик через API Anthropic, сторонние платформы и других провайдеров. Anthropic признала, что отраслевые стимулы часто способствуют бездействию, поскольку защита дорогая, а винокуры — платные клиенты, и заявила, что опубликовала свои методы, чтобы продемонстрировать работоспособную альтернативу.
Источник: www.anthropic.com.