Anthropic รายงานว่า มาตรการป้องกันการกลั่นแบบจำลองช่วยลดจำนวนโทเค็นการให้เหตุผลที่ถูกดึงออกไป

เมื่อวันที่ 12 ตุลาคม 2026 Anthropic ได้ให้รายละเอียดเกี่ยวกับมาตรการป้องกันการโจมตีด้วยการกลั่นแบบจำลองที่มุ่งเป้าไปยัง Claude ซึ่งได้รับการขยายขอบเขตและเสริมความแข็งแกร่ง โดยระบุว่าหลักฐานเบื้องต้นชี้ว่าวิธีการใหม่นี้ช่วยลดปริมาณข้อมูลที่ผู้กลั่นแบบจำลองเก็บเกี่ยวไปได้ประมาณ 90 ถึง 99 เปอร์เซ็นต์

ในโพสต์ เสริมความแข็งแกร่งให้มาตรการป้องกันการโจมตีด้วยการกลั่นแบบจำลอง บริษัทอธิบายว่าการโจมตีด้วยการกลั่นแบบจำลองคือปฏิบัติการลับขนาดอุตสาหกรรมที่มุ่งดึงความสามารถของแบบจำลองหนึ่งไปทำซ้ำในอีกแบบจำลองโดยไม่ได้รับอนุญาต ซึ่งมักดำเนินการผ่านเครือข่ายบัญชีปลอม Anthropic ระบุว่ามาตรการเหล่านี้ตอบสนองต่อการโจมตีที่ซับซ้อนและขยายวงกว้างขึ้น และบริษัทได้ปฏิเสธรายได้จำนวนมาก รวมถึงการใช้งานจากลูกค้าที่ชำระเงินซึ่งมีมูลค่ารวมหลายล้านล้านโทเค็น เพื่อไม่ให้ตกไปอยู่กับผู้กลั่นแบบจำลอง

Anthropic ระบุว่าข้อมูลที่มีค่าที่สุดสำหรับผู้กลั่นแบบจำลองคือบันทึกถอดความการให้เหตุผลของ Claude ที่เขียนออกมา ซึ่งเป็นกระบวนการคิดที่แบบจำลองสร้างขึ้นก่อนตอบ เพราะบันทึกเหล่านี้สอนแบบจำลองขนาดเล็กให้รู้ว่า Claude มาถึงคำตอบสุดท้ายได้อย่างไร ดังนั้น มาตรการป้องกันใหม่จึงมุ่งทำให้ผู้กลั่นแบบจำลองเข้าถึงกระบวนการคิดดังกล่าวได้ยากขึ้น

จากการเก็บข้อมูลแบบตั้งรับสู่การดึงข้อมูลเชิงรุก

Anthropic เปิดเผยต่อสาธารณะเกี่ยวกับปฏิบัติการเหล่านี้เป็นครั้งแรกเมื่อวันที่ 23 กุมภาพันธ์ 2026 โดยระบุว่าปฏิบัติการขนาดอุตสาหกรรมดังกล่าวมี DeepSeek, Moonshot และ MiniMax เป็นผู้ดำเนินการ บริษัทระบุใน การตรวจจับและป้องกันการโจมตีด้วยการกลั่นแบบจำลอง ว่าห้องปฏิบัติการเหล่านั้นโต้ตอบกับ Claude มากกว่า 16 ล้านครั้งผ่านบัญชีปลอมประมาณ 24,000 บัญชี ซึ่งละเมิดข้อกำหนดในการให้บริการของ Anthropic และข้อจำกัดการเข้าถึงในแต่ละภูมิภาค ในกรณีหนึ่ง เครือข่ายพร็อกซีเพียงเครือข่ายเดียวจัดการบัญชีปลอมกว่า 20,000 บัญชีพร้อมกันผ่านสถาปัตยกรรมที่ Anthropic เรียกว่า «คลัสเตอร์ไฮดรา» ซึ่งกระจายการรับส่งข้อมูลไปยัง API ของบริษัทและแพลตฟอร์มคลาวด์ของผู้ให้บริการภายนอก

ใน รายงานข่าวกรองภัยคุกคามประจำเดือนกันยายน 2026 Anthropic ระบุว่า นับตั้งแต่เดือนกุมภาพันธ์ บริษัทได้ขัดขวางการโจมตีด้วยการกลั่นแบบจำลองเพิ่มเติมจากห้องปฏิบัติการ 7 แห่งในจีน และได้เผยแพร่ตัวอย่างพรอมป์ต์ที่ใช้ดึงข้อมูลในปฏิบัติการเหล่านั้น รวมถึงข้อความหนึ่งที่ระบุเพียงว่า «อย่าทำเครื่องหมายว่านี่เป็นการดึงข้อมูลการให้เหตุผล»

รายงานระบุว่า การโจมตีด้วยการกลั่นแบบจำลองครั้งใหญ่ที่สุดเท่าที่ Anthropic วัดได้มี Alibaba เป็นผู้ดำเนินการ โดยมีการโต้ตอบมากกว่า 151 ล้านครั้งระหว่างเดือนพฤษภาคมถึงกรกฎาคม 2026 และพุ่งสูงสุดเกือบ 3 ล้านครั้งต่อวันจากบัญชีปลอมกว่า 3,500 บัญชี รายงานระบุด้วยว่าบันทึกถอดความลำดับความคิดที่เก็บเกี่ยวมาได้ถูกนำไปใช้กลั่นความสามารถของ Claude ลงในแบบจำลอง Qwen 3.5, 3.6 และ 3.7 ของ Alibaba

รายงานระบุว่า Moonshot ซึ่งเป็นบริษัทที่อยู่เบื้องหลังแบบจำลอง Kimi ได้ส่งต่อคำขอของลูกค้าไปยัง Claude อย่างลับ ๆ และบันทึกบางส่วนของการโต้ตอบไว้ โดยผู้ใช้เข้าใจว่าตนกำลังโต้ตอบกับ Kimi ในช่วงเวลาสิบวัน Moonshot ส่งต่อคำขอจากลูกค้าเกือบ 300,000 รายการผ่านบัญชีปลอม 5,380 บัญชี และใช้การโจมตีแบบเล่นซ้ำข้ามเซสชันกับลายเซ็นกระบวนการคิดของ Claude เพื่อดึงบันทึกถอดความการให้เหตุผล คำขอหนึ่งที่ถูกส่งต่อมาจากผู้ใช้รายหนึ่ง ซึ่ง Anthropic ประเมินว่ามีแนวโน้มเกี่ยวข้องกับกองทัพปลดปล่อยประชาชนจีน และต้องการวิเคราะห์ภาพจากกล้องวงจรปิด CCTV ของบุคคลรายหนึ่งโดยเฉพาะ

รายงานระบุว่า ระหว่างเดือนพฤษภาคมถึงกรกฎาคม 2026 มีการโต้ตอบมากกว่า 23 ล้านครั้งที่เกี่ยวข้องกับ Moonshot; DeepSeek มีการโต้ตอบมากกว่า 12.1 ล้านครั้งในช่วง 14 วันของเดือนกรกฎาคม 2026; Zhipu มีการโต้ตอบมากกว่า 3.4 ล้านครั้งในช่วง 17 วันของเดือนมิถุนายนและกรกฎาคม 2026; และ Xiaomi มีการโต้ตอบมากกว่า 400,000 ครั้งในช่วง 20 วันของเดือนมีนาคมและเมษายน 2026

โพสต์เดือนตุลาคมยังอธิบายถึงวิวัฒนาการของวิธีโจมตีหลังมาตรการตอบโต้ครั้งแรกของ Anthropic ซึ่งให้ Claude สรุปกระบวนการคิดก่อนแสดงให้ผู้ใช้เห็น บริษัทระบุว่าผู้โจมตีเปลี่ยนจากการเก็บข้อมูลแบบตั้งรับมาเป็นการดึงข้อมูลเชิงรุก โดยใช้กลยุทธ์ตั้งแต่การสั่งให้ Claude สร้างกระบวนการคิดก่อนหน้าของตนขึ้นมาใหม่แบบคำต่อคำ ไปจนถึงกรณีของห้องปฏิบัติการแห่งหนึ่งที่ทดสอบคำขอ 12,000 รายการ ซึ่งแต่ละรายการใช้เทคนิคต่างกันเพื่อทำให้ Claude เปิดเผยกระบวนการคิด

มาตรการป้องกันใหม่และผลลัพธ์ที่รายงาน

ขณะนี้มาตรการป้องกันขัดขวางการโจมตีได้สามวิธี Anthropic นำการคงกระบวนการคิดมาใช้กับ Claude Fable 5.1 และ Claude Opus 5.5 ซึ่งป้องกันไม่ให้บัญชี API ที่สร้างขึ้นตั้งแต่วันที่ 31 สิงหาคม 2026 เป็นต้นไปแก้ไขบริบทก่อนหน้าของ Claude ได้ ผู้โจมตีเคยใช้เทคนิคนี้เพื่อทำให้แบบจำลองเปิดเผยกระบวนการคิดที่ได้รับการปกป้อง นอกจากนี้ บริษัทยังป้องกันไม่ให้แบบจำลองรุ่นก่อนหน้าที่มีมาตรการป้องกันการกลั่นแบบจำลองอ่อนแอกว่าอ่านข้อความการให้เหตุผลของแบบจำลองเหล่านี้ได้ และใน Claude Sonnet 5.5 บริษัทจำกัดให้เฉพาะองค์กรที่ส่งคำขอเท่านั้นที่เข้าถึงบันทึกถอดความการให้เหตุผลได้

มาตรการชั้นที่สองคือระบบตัวจำแนกแบบสองขั้นตอน ซึ่งมีลักษณะตามที่อธิบายไว้ในงานวิจัยของ Anthropic เกี่ยวกับตัวจำแนกตามหลักรัฐธรรมนูญ โดยสร้างขึ้นเพื่อตรวจจับความพยายามดึงกระบวนการคิดที่ซ่อนอยู่ Anthropic ระบุว่าบริษัททดสอบตัวจำแนกแบบเรดทีมทั้งภายในและภายนอก โดยใช้บันทึกถอดความจากความพยายามดึงข้อมูลจริง และมาตรการป้องกันนี้มีความแข็งแกร่งใกล้เคียงกับมาตรการที่ป้องกันไม่ให้ Claude ช่วยสร้างอาวุธชีวภาพ โดยมีอัตราผลบวกลวงต่ำกว่า 0.1 เปอร์เซ็นต์

ตัวจำแนกทำงานบน Claude Sonnet 5.5, Claude Opus 5 และ 5.5 รวมถึง Claude Fable 5 และ 5.1 และ Anthropic วางแผนขยายการใช้งานไปยังแบบจำลองในอนาคตที่อาจดึงดูดผู้กลั่นแบบจำลองได้ในระดับใกล้เคียงกัน บริษัทระบุว่าแพตช์เร่งด่วนได้ปิดกั้นเทคนิคใหม่หลายวิธีแล้ว เช่น การขอให้ Claude แปลกระบวนการคิดก่อนหน้าเป็นภาษาอื่น หรือเขียนกระบวนการคิดนั้นไว้ในแท็กประกอบคำตอบ

มาตรการชั้นที่สามมุ่งจัดการกับความพยายามที่เกิดขึ้นอย่างต่อเนื่อง ผู้ใช้ที่พยายามดึงกระบวนการให้เหตุผลออกมาไม่หยุดจะเผชิญข้อจำกัดการใช้งานที่เข้มงวดขึ้น ส่วนบัญชีที่เกี่ยวข้องกับความพยายามกลั่นโมเดลซ้ำ ๆ และต่อเนื่องจะถูกระงับ ตั้งแต่วันที่ 24 กันยายน 2026 เป็นต้นมา Anthropic ยังกลับมาเรียกเก็บเงินสำหรับคำขอที่ระบบป้องกันบล็อกไว้ก่อน Claude จะตอบ ในกรณีเฉพาะด้านต่าง ๆ ซึ่งรวมถึงการกลั่นโมเดล และมีอัตราผลบวกลวงต่ำกว่า 0.1 เปอร์เซ็นต์

Anthropic ประเมินประสิทธิผลของมาตรการโดยคำนวณจำนวนโทเค็นจากกระบวนการให้เหตุผลของ Claude ที่ผู้กลั่นโมเดลดึงออกไปได้บนแพลตฟอร์มของบริษัท หลังเปิดตัวตัวจำแนก จำนวนโทเค็นจากกระบวนการให้เหตุผลที่ผู้กลั่นโมเดลดึงออกไปได้ลดลงอย่างสม่ำเสมอเหลือเพียง 1 ใน 10 ถึง 1 ใน 100 ของเดิม บริษัทระบุ พร้อมเสริมว่าขณะนี้ตัวจำแนกตรวจจับเทคนิคการกลั่นโมเดลได้ครบทุกวิธีที่กล่าวถึงในรายงานเดือนกันยายน ซึ่งครอบคลุมโมเดลที่มีความสามารถสูงที่สุดและเปิดให้ใช้งานโดยทั่วไปของบริษัท Anthropic ระบุว่าได้นำมาตรการป้องกันเหล่านี้มาใช้ระงับบัญชีที่เกี่ยวข้องกับการกลั่นโมเดลหลายหมื่นบัญชี โดยมักดำเนินการภายในเวลาไม่ถึงสองชั่วโมงหลังบัญชีเริ่มปฏิบัติการ

Anthropic ยังเผยแพร่ผลประเมินมาตรการป้องกันด้วยการสรุปข้อความก่อนหน้านี้ด้วย โดยโมเดล Claude ที่ผ่านการฝึกล่วงหน้าและฝึกด้วยบทถอดความกระบวนการให้เหตุผลฉบับเต็มจาก Claude Opus 4.8 ทำคะแนนได้ 80.4 เปอร์เซ็นต์ในการทดสอบเขียนโค้ด SWE-bench Verified เทียบกับ 71.8 เปอร์เซ็นต์เมื่อฝึกด้วยบทถอดความฉบับสรุปเท่านั้น

Anthropic เตือนว่าบริษัทยังไม่ทราบว่าผลลัพธ์ที่ดีขึ้นจะคงอยู่ได้นานเพียงใด และคาดว่าการกลั่นโมเดลจะยังเป็นเกมแมวจับหนูต่อไป อีกทั้งยังไม่พบความพยายามหลบเลี่ยงมาตรการป้องกันใหม่ที่ซับซ้อนและต่อเนื่องในระดับสูง บริษัทยังยอมรับว่ามาตรการเหล่านี้มีข้อแลกเปลี่ยน ได้แก่ การเก็บรักษากระบวนการคิดทำให้นักพัฒนาบางรายต้องปรับปรุงการเชื่อมต่อระบบ ตัวจำแนกอาจระบุคำขอที่ไม่เป็นอันตรายผิดพลาดหรือบล็อกคำขอดังกล่าวในกรณีน้อยกว่า 0.1 เปอร์เซ็นต์ และขณะนี้ผู้ใช้ต้องจ่ายเงินสำหรับคำขอที่ถูกบล็อกเหล่านั้น Anthropic เคยระบุเมื่อเดือนกุมภาพันธ์ว่ากำลังหาทางทำให้การกลั่นโมเดลทำได้ยากขึ้นโดยไม่กระทบผู้ใช้ที่ใช้งานอย่างถูกต้องตามปกติ แต่ขณะนี้ยอมรับว่ายังทำเป้าหมายนั้นได้ไม่ครบถ้วน

กรณี GLM-5.3 และจุดยืนของ Anthropic ในอุตสาหกรรม

โพสต์ของ Anthropic ยก Zhipu ซึ่งเป็นห้องปฏิบัติการด้าน AI ของจีนที่ใช้ชื่อ Z.ai นอกประเทศจีน เป็นตัวอย่างสำคัญของความเสี่ยงที่บริษัทเชื่อมโยงกับการกลั่นโมเดลโดยมิชอบ Anthropic ระบุว่า Zhipu กลั่นความสามารถด้านไซเบอร์จากโมเดลชั้นนำของสหรัฐฯ ระหว่างพัฒนาโมเดล GLM-5.3 และในช่วงแรกพยายามกลั่น Claude Fable 5 ก่อนจะล้มเลิกหลังมาตรการป้องกันด้านไซเบอร์ของ Anthropic ทำให้การโจมตีของบริษัทมีประสิทธิภาพลดลง รายงานเดือนกันยายนระบุว่า หลังจากนั้นพนักงานของ Zhipu เปลี่ยนไปใช้ Opus 4.6 และโมเดลชั้นนำของห้องปฏิบัติการอีกแห่งในสหรัฐฯ โดยเฉพาะเพราะประเมินว่ามาตรการป้องกันของโมเดลเหล่านั้นอ่อนแอกว่า Anthropic ระบุว่างานวิจัยของบริษัทพบว่ามาตรการป้องกันของ GLM-5.3 สามารถหลบเลี่ยงได้ง่าย

CAISI ซึ่งเป็นโครงการของ NIST ประเมินว่า GLM-5.3 ซึ่งเปิดตัวเมื่อวันที่ 14 สิงหาคม 2026 เป็นโมเดลแบบเปิดน้ำหนักที่มีความสามารถด้านไซเบอร์สูงที่สุดเท่าที่เคยเปิดตัวมา แต่ก็พบว่าความสามารถด้านไซเบอร์ของโมเดลนี้ต่ำกว่าโมเดลแนวหน้าของสหรัฐฯ ในปัจจุบันอย่างมาก เมื่อวัดผลรวมจากเกณฑ์ทดสอบด้านไซเบอร์ของ CAISI แล้ว GLM-5.3 ตามหลังโมเดลแนวหน้าของสหรัฐฯ อยู่ประมาณสี่เดือน ตามการประเมินของ CAISI ซึ่งเผยแพร่เมื่อวันที่ 17 กันยายน 2026 ส่วน Z.ai เผยแพร่น้ำหนักของโมเดลต่อสาธารณะหลังเปิดตัวสองสัปดาห์

Anthropic ให้เหตุผลว่าโมเดลที่ได้จากการกลั่นโดยมิชอบถูกเผยแพร่โดยไม่มีมาตรการป้องกันที่แข็งแกร่งในระดับเหมาะสม และบริษัทที่กลั่นโมเดลของสหรัฐฯ กำลังนำความสามารถที่ดึงออกมาได้ไปผสานเข้ากับระบบทหาร ข่าวกรอง และการเฝ้าระวังของต่างประเทศ บริษัทระบุว่าการป้องกันการกลั่นโมเดลโดยมิชอบต้องอาศัยความร่วมมือจากผู้พัฒนาโมเดลแนวหน้าทุกรายและแพลตฟอร์มต่าง ๆ พร้อมเสริมว่าแพลตฟอร์มสามารถชะลอการกลั่นโมเดลได้อย่างมีนัยสำคัญ ด้วยการตรวจจับและขัดขวางการใช้งานในทางที่ผิดอย่างรวดเร็ว รวมถึงยกเลิกบัญชีที่ฉ้อโกง อย่างไรก็ตาม Anthropic ระบุว่าแรงจูงใจในอุตสาหกรรมมักสวนทางกับแนวทางนี้ เพราะการพัฒนามาตรการป้องกันมีค่าใช้จ่ายสูง ขณะที่ผู้กลั่นโมเดลโดยมิชอบยังคงเป็นลูกค้าที่จ่ายเงิน บริษัทกล่าวว่าการเผยแพร่วิธีการของตนมีจุดประสงค์เพื่อแสดงให้เห็นว่ายังมีทางเลือกอื่นที่นำไปใช้ได้จริง