Anthropic details anti-distillation defenses: tens of thousands of accounts banned, blocked requests still billed
Anthropic says requests that try to extract full reasoning are caught by a two-layer review, tens of thousands of accounts have been banned, most within two hours of starting, and from September 24 blocked requests are still billed.
Anthropic 10月12 日发了一篇长文，讲自家怎么防别人偷师 Claude。有做法，有数字，也少见地承认了自己付出的代价。看下来，前沿模型厂商已经在用防生物武器的那一套来防蒸馏了。我来挑重点聊聊。 先说说什么是蒸馏。简单讲，就是拿大量问题去问一个很强的 AI，把它的回答收集起来，再拿去教自己的小模型模仿它。Anthropic 说的是另一回事：有人用成批的假账号偷偷这么干，没经过它同意。 Anthropic 称，新办法上线后，蒸馏者能从 Claude 那里拿走的东西少了大约 90% 到 99%。换个说法，被偷走的量只剩原来的十分之一到百分之一，有些天少到测不出来。 偷师的人最想要的不是答案，而是解题过程。Claude 回答之前会先写一段思考，这段思考能教小模型怎么一步步想出答案，比光看答案值钱得多。所以 Anthropic 的防守几乎全部围着一件事：不让这段思考被拿走。 最早的办法很朴素，思考过程先缩写成摘要再给用户看。研究人员拿完整的思考过程去教一个模型，它在一套编程考试里拿了 80.4% 的分；只拿摘要版去教，分数降到 71.8%。差的这 8.6 个点，就是一层摘要挡掉的东西。 但对方很快换了打法，从被动收集变成主动套话。简单的直接让 Claude 把刚才的思考一字不差地写出来，复杂的有一家实验室换着花样试了 12000 种问法。好在普通人很少要求 AI 写出它藏起来的思考，这种问题一出现就很可疑。 真正麻烦的是规模。对方用中转网络控制几十万个假账号，在 Claude 没开放的地区倒卖使用权，用假身份和盗来的支付信息注册。Anthropic 2 月提过，一个网络同时管着 2 万多个账号。封一个号对这个量级来说不太够用。 新的防守从三个方向下手，先管住思考过程能流到哪。对方会把受保护的思考内容挪到别的对话里，骗 Claude 以为自己早就看过了；也会拿防得松的旧模型去读新模型的思考；被封一个号就换一个号接着试。 Anthropic 的对策叫保留思考。2026 年 8 月 31 日及之后新开的开发者账号，不能再改动之前的对话内容，换号接着套就难多了。并且最新几款 Claude 的思考内容不让防得松的旧模型读，部分模型的思考记录只给提问的那家机构看。 再就是直接拦截。Anthropic 把防网络攻击、防生物风险的那套办法搬了过来，加了一道两层的自动审核，专门识别套话的请求。它拿对方真实用过的套话记录，请内部和外部的人专门来攻击这道审核，补完漏洞后，称防护强度已经和阻止 Claude 帮人造生物武器差不多。误伤正常请求的比例不到 0.1%，也就是一千次里不到一次。 这道审核目前装在最强的几款公开 Claude 模型上。出现新的绕过手法就马上打补丁，已经堵上的包括让 Claude 把之前的思考翻译成另一种语言，或者在答案旁边用标记夹带写出来。 最后是让反复尝试变贵。一直套话的账号会被限制用量，死缠烂打的直接封号。已经封了几万个相关账号，很多在开始偷师后不到两小时就被封了。另外从 9 月 24 日起，在误伤率低于 0.1% 的几个领域（包括蒸馏），被拦下的请求照样收钱。这对偷师的人是成本，对被误伤的正常用户也是。 文章里最具体的例子是智谱。按 Anthropic 的说法，智谱在做 GLM-5.3 时偷师了美国领先模型的网络攻防能力，原本想蒸馏 Claude，发现攻击效果被安全防护削弱，就转去用一个更老的 Claude 和另一家实验室的模型。美国机构 CAISSI 后来评估，GLM-5.3 是目前网络能力最强的开源权重模型（就是谁都能下载到自己电脑上跑的模型）。Anthropic 还称，它的安全限制很容易绕过，愿意从头到尾帮人写出攻击程序。 另一个例子更敏感。按 Anthropic 的说法，发给月之暗面 Kimi 的请求被偷偷转给了 Claude，其中一条来自一个它认为和解放军有关的用户，想分析某个特定个人的监控录像。这是 Anthropic 单方面的说法，但能看出它为什么总把蒸馏和国家安全放在一起讲。 代价也写得很直白。Anthropic 推掉了可观的收入，以及数万亿 token（AI 处理文字的计量单位）的付费流量。部分开发者因为保留思考不得不改自己的程序。审核有不到 0.1% 的误伤，而且误伤的请求现在也收钱。2 月它说过要做到不影响正常用户，这篇承认还没完全做到。 Anthropic 也没把话说满。它不知道效果能撑多久，预计会是长期的猫鼠游戏，并且承认还没碰上真正高水平、不依不饶的绕过尝试。所以 90% 到 99% 更像是第一回合的成绩。 最后落到整个行业。偷师的流量分散在 Anthropic 自家的接口、第三方云平台和其他 AI 服务商上。Anthropic 自己防得再严，对方只要能从别处找到差不多强、但防得松的模型，努力就白费了。云平台能做的，是尽快发现滥用、清掉假账号。 麻烦在于账算不过来。防守是很花钱的，而偷师的人照样是付费客户，什么都不做反而最省事。Anthropic 把方法公开，是想证明另一条路走得通。至于云平台和其他模型厂商愿不愿意为此少赚一点，这篇文章给不了答案。
This post quotes another post: x.com/anthropicai/status/2109795898909950247