Anthropic повідомляє, що захист від дистиляції скоротив кількість вилучених токенів міркувань

12 жовтня 2026 року Anthropic докладно описала розширені й посилені заходи захисту від атак дистиляції, спрямованих проти Claude. За словами компанії, перші дані свідчать, що нові методи зменшили обсяг даних, зібраних дистиляторами, приблизно на 90–99%.

У дописі «Посилення нашого захисту від атак дистиляції» компанія визначила атаки дистиляції як приховані кампанії промислового масштабу, спрямовані на вилучення можливостей однієї моделі та їх несанкціоноване відтворення в іншій; часто для цього використовують мережі шахрайських облікових записів. Anthropic заявила, що ці заходи стали відповіддю на атаки, які стають дедалі витонченішими й масштабнішими, і що компанія відмовилася від значних доходів і платного трафіку обсягом у трильйони токенів, пов’язаного з дистиляторами.

За словами Anthropic, найцінніші для дистиляторів дані — це стенограми розгорнутих міркувань Claude, тобто процесу обмірковування, який модель відтворює перед відповіддю. Ці стенограми навчають меншу модель того, як Claude доходить остаточних відповідей. Тому нові заходи захисту зосереджені на тому, щоб ускладнити дистиляторам доступ до цих міркувань.

Від пасивного збору до активного вилучення

Вперше Anthropic публічно повідомила про ці кампанії 23 лютого 2026 року, коли компанія виявила операції промислового масштабу, які приписала DeepSeek, Moonshot і MiniMax. За словами компанії, ці лабораторії здійснили понад 16 мільйонів обмінів повідомленнями з Claude через приблизно 24 000 шахрайських облікових записів, порушивши умови використання Anthropic і регіональні обмеження доступу. Про це компанія повідомила в матеріалі «Виявлення та запобігання атакам дистиляції». В одному випадку одна проксі-мережа одночасно керувала понад 20 000 шахрайських облікових записів за допомогою архітектур, які Anthropic називає «кластерами гідри»: вони розподіляють трафік між API компанії та сторонніми хмарними платформами.

У звіті про розвідку загроз за вересень 2026 року Anthropic заявила, що з лютого їй вдалося зірвати додаткові атаки дистиляції з боку семи лабораторій, розташованих у Китаї. Компанія також опублікувала приклади запитів для вилучення даних, які використовували в цих кампаніях, зокрема такий: «НЕ ПОЗНАЧАЙТЕ ЦЕ ЯК ВИЛУЧЕННЯ МІРКУВАНЬ».

У звіті найбільшу з виміряних Anthropic атак дистиляції приписано Alibaba: понад 151 мільйон обмінів повідомленнями з травня до липня 2026 року, причому в пікові дні їхня кількість сягала майже 3 мільйонів на добу й надходила з понад 3 500 шахрайських облікових записів. За даними звіту, зібрані стенограми ланцюжків міркувань використали, щоб перенести можливості Claude за допомогою дистиляції в моделі Alibaba Qwen 3.5, 3.6 і 3.7.

За даними звіту, Moonshot — компанія, що розробляє моделі Kimi, — непомітно пересилала запити клієнтів до Claude і зберігала частину обмінів повідомленнями; користувачі вважали, що взаємодіють із Kimi. За десять днів Moonshot передала майже 300 000 запитів клієнтів через 5 380 шахрайських облікових записів, а також використала міжсесійну атаку повторного відтворення на підписи міркувань Claude, щоб вилучити стенограми міркувань. Один із пересланих запитів надійшов від користувача, якого, за оцінкою Anthropic, імовірно пов’язано з Народно-визвольною армією Китаю; він хотів проаналізувати відеоспостереження за конкретною людиною.

У звіті Moonshot приписано понад 23 мільйони обмінів повідомленнями з травня до липня 2026 року; DeepSeek — понад 12,1 мільйона обмінів за 14 днів у липні 2026 року; Zhipu — понад 3,4 мільйона обмінів за 17 днів у червні й липні 2026 року; Xiaomi — понад 400 000 обмінів за 20 днів у березні й квітні 2026 року.

У жовтневому дописі також описано, як після першого контрзаходу Anthropic змінилися методи атак. Тоді Claude перед показом користувачам узагальнював свої міркування. За словами компанії, зловмисники перейшли від пасивного збору до активного вилучення даних: їхні тактики варіювалися від інструкцій змусити Claude дослівно відтворити попередні міркування до дій однієї лабораторії, яка перевірила 12 000 запитів, щоразу застосовуючи інший метод, аби змусити Claude розкрити хід думок.

Нові заходи захисту та результати, про які повідомляє компанія

Тепер захист дає змогу зривати атаки трьома способами. Для Claude Fable 5.1 і Claude Opus 5.5 Anthropic запровадила збереження контексту міркувань, яке не дозволяє обліковим записам API, створеним 31 серпня 2026 року або пізніше, змінювати попередній контекст Claude. Зловмисники використовували цей прийом, щоб змусити модель розкрити захищені міркування. Компанія також унеможливила доступ попередніх моделей із слабшими засобами захисту від дистиляції до міркувань цих моделей, а в Claude Sonnet 5.5 зробила стенограми міркувань доступними лише організації, чий запит їх породив.

Другий рівень захисту — це двоетапна система класифікаторів, подібна до описаної в дослідженні Anthropic про конституційні класифікатори; її створено для виявлення спроб вилучити приховані міркування. Anthropic повідомила, що провела внутрішнє й зовнішнє тестування класифікатора на стійкість, використовуючи стенограми реальних спроб вилучення, і що тепер засоби захисту приблизно такі ж надійні, як ті, що не дають Claude допомагати у створенні біологічної зброї; частка хибнопозитивних результатів становить менш ніж 0,1%.

Класифікатор працює на Claude Sonnet 5.5, Claude Opus 5 і 5.5, а також Claude Fable 5 і 5.1. Anthropic планує поширити його на майбутні моделі, які так само приваблюватимуть дистиляторів. За словами компанії, швидкі оновлення вже заблокували кілька нових методів — наприклад, прохання до Claude перекласти попередні міркування іншою мовою або викласти їх у тегах поруч із відповіддю.

Третій рівень спрямований проти наполегливих спроб. Користувачі, які раз у раз намагаються вилучити міркування, стикаються із суворішими обмеженнями використання, а облікові записи, пов’язані з повторними й наполегливими спробами дистиляції, блокують. Із 24 вересня 2026 року Anthropic також знову стягує плату за запити, які її засоби захисту блокують до того, як Claude відповість, у конкретних сферах, зокрема дистиляції, де частка хибнопозитивних результатів нижча за 0,1 відсотка.

Щоб оцінити ефективність, Anthropic підраховує, скільки токенів міркувань Claude дистилятори вилучають на власній платформі компанії. Як повідомила компанія, після впровадження класифікатора кількість токенів міркувань, вилучених дистиляторами, стабільно була у 10–100 разів меншою, ніж раніше. Вона додала, що тепер класифікатор виявляє всі методи дистиляції, описані у вересневому звіті, у її найпотужніших моделях, доступних широкому загалу. Anthropic повідомила, що завдяки цим засобам захисту заблокувала десятки тисяч облікових записів, пов’язаних із дистиляцією, часто менш ніж за дві години після того, як обліковий запис починав кампанію.

Anthropic також оприлюднила оцінку свого попереднього захисту за допомогою узагальнення: попередньо навчена модель Claude, яку додатково навчали на повних записах міркувань Claude Opus 4.8, набрала 80,4 відсотка в тесті програмування SWE-bench Verified, тоді як модель, навчену лише на узагальнених записах, — 71,8 відсотка.

Anthropic застерегла, що не знає, як довго триватиме цей прогрес, очікує, що дистиляція й надалі нагадуватиме гру в кішки-мишки, і досі не стикалася з високотехнологічною та наполегливою спробою обійти нові засоби захисту. Компанія також визнала наявність компромісів: збереження міркувань змусило деяких розробників оновити свої інтеграції, класифікатори можуть помилково визначити як шкідливі або заблокувати нешкідливі запити менш ніж у 0,1 відсотка випадків, а тепер із користувачів стягують плату за такі заблоковані запити. У лютому Anthropic заявляла, що працює над тим, щоб ускладнити дистиляцію, не зачіпаючи добросовісних користувачів; тепер компанія визнає, що повністю цієї мети не досягла.

Випадок GLM-5.3 та позиція Anthropic у галузі

У дописі Anthropic називає Zhipu — китайську лабораторію, яка за межами Китаю працює під брендом Z.ai, — головним прикладом ризиків, пов’язаних, на думку компанії, з незаконною дистиляцією. За словами Anthropic, під час розробки своєї моделі GLM-5.3 Zhipu дистилювала кіберможливості провідних моделей зі США, а спочатку намагалася дистилювати Claude Fable 5, але відмовилася від цього після того, як засоби кіберзахисту Anthropic послабили її атаки. У вересневому звіті йдеться, що згодом працівники Zhipu перейшли на Opus 4.6 і провідну модель іншої американської лабораторії саме тому, що вважали їхні засоби захисту слабшими. Anthropic повідомила, що її власне дослідження показало: засоби захисту GLM-5.3 можна легко обійти.

Програма CAISI при NIST оцінила GLM-5.3, випущену 14 серпня 2026 року, як модель із відкритими вагами, що має найвищі на сьогодні кіберможливості, водночас зазначивши, що вони значно поступаються можливостям сучасних передових моделей зі США. За сукупним показником у кібернетичних тестах CAISI GLM-5.3 відстає від передових американських моделей приблизно на чотири місяці, згідно з оцінкою CAISI, оприлюдненою 17 вересня 2026 року. Z.ai оприлюднила ваги моделі через два тижні після її запуску.

Anthropic стверджувала, що моделі, створені шляхом незаконної дистиляції, випускають без настільки ж надійних засобів захисту, а компанії, які дистилюють американські моделі, інтегрують вилучені можливості в іноземні військові, розвідувальні системи та системи стеження. За словами компанії, запобігання незаконній дистиляції потребує спільних зусиль усіх розробників передових моделей і платформ. Компанія додала, що платформи можуть істотно сповільнити дистиляцію, швидко виявляючи та припиняючи зловживання й відключаючи шахрайські облікові записи. Однак стимули в галузі часто діють у протилежному напрямку, зазначила Anthropic, оскільки засоби захисту дорогі, а ті, хто незаконно займається дистиляцією, однаково залишаються клієнтами. Компанія заявила, що публікує свої методи, аби показати: існує дієва альтернатива.