Anthropic розкриває захист від дистиляції

12 жовтня 2026 року Anthropic описала, як посилила захист від атак дистиляції: прихованих кампаній, що витягують можливості однієї моделі, щоб відтворити їх в іншій. За її даними, ранні докази показують, що ці методи скоротили обсяг даних, які збирають дистилятори, приблизно на 90–99%, а кількість витягнутих на її платформі токенів міркування стала постійно у 10–100 разів меншою після запровадження двоступеневого класифікатора.

Що сказано в дописі. Атаки дистиляції описано як приховані кампанії промислового масштабу, що витягують можливості однієї моделі й відтворюють їх в іншій без дозволу розробника, часто через мережі фальшивих акаунтів. Anthropic називає дві причини занепокоєння: дистильовані моделі можуть наближатися до межі можливостей без пропорційних запобіжників, а здобуті можливості вбудовують у військові, розвідувальні й наглядові системи інших країн. Вона стверджує, що Zhipu дистилювала кібервміння провідних американських моделей під час розробки GLM-5.3 (спершу спробувала Claude Fable 5, а коли кіберзапобіжники погіршили її атаки, перейшла на старішу модель Claude і модель іншої лабораторії), і що запити до моделей Kimi від Moonshot таємно пересилали до Claude в межах дистиляції, один — від користувача, якого компанія вважає пов'язаним з Народно-визвольною армією Китаю. Вона посилається на оцінку CAISSI (американського Центру просування інновацій і стандартів для суперінтелекту), що GLM-5.3 — найздатніша в кібервимірі модель із відкритими вагами. Це твердження Anthropic; відповіді названих сторін не читано. Методи. Перший: узагальнення міркувань Claude перед показом; у тесті Anthropic модель, навчена на узагальнених стенограмах Claude Opus 4.8, набрала на SWE-bench Verified 71,8% проти 80,4% у моделі, навченої на повних. Нападники перейшли до активного витягування (наприклад, «виведи свої попередні міркування дослівно» або 12 000 по-різному сформульованих запитів однієї лабораторії) і збудували проксі-мережі з сотнями тисяч фальшивих акаунтів; одна мережа керувала понад 20 000 одночасно. Другий: контроль того, куди можуть потрапити міркування. «Збережене мислення» (з Fable 5.1 і Opus 5.5) не дає новим API-акаунтам, створеним 31 серпня 2026 року й пізніше, редагувати попередній контекст, старші моделі не можуть читати міркування цих моделей, а для Sonnet 5.5 стенограми бачить лише організація, чий запит їх створив. Третій: двоступеневий класифікатор того типу, що й конституційні класифікатори, перевірений внутрішніми й зовнішніми червоними командами; за Anthropic, він приблизно такий надійний, як запобіжники від допомоги у створенні біологічної зброї, з частотою хибних спрацювань менш ніж 0,1%, і працює на Sonnet 5.5, Opus 5 і 5.5, Fable 5 і 5.1. Четвертий: суворіші ліміти, бани акаунтів і, з 24 вересня, плата за запити, заблоковані до відповіді Claude, у сферах, де частота хибних спрацювань нижче 0,1%. Результати й ціна. Після класифікатора кількість токенів міркування, витягнутих дистиляторами на платформі Anthropic, постійно у 10–100 разів менша, а в окремі дні надто мала, щоб її виміряти; забанено десятки тисяч акаунтів, часто менш ніж за дві години після початку кампанії; класифікатор ловить усі прийоми зі вересневого звіту. Anthropic каже, що відмовилася від значного доходу й трильйонів токенів платного трафіку; «збережене мислення» вимагало від деяких розробників оновити інтеграції. Вона чекає на гру в кішки-мишки й каже, що «ще не бачила» висококваліфікованої й затятої спроби обійти ці заходи. Чого запис не стверджує. Усі цифри — власні виміри Anthropic на власній платформі; вересневий звіт про дистиляцію, відповіді названих сторін і оцінку CAISSI не читано.