Anthropic's anti-distillation blog: tens of thousands of bans and false positives that still get billed
A long read breaks down Anthropic's anti-distillation blog: reasoning summaries, classifiers, tens of thousands of fake accounts banned, and the cost of false positives on legitimate requests that are still charged.
Anthropic 说蒸馏方从 Claude 刮走的推理少了九成以上，我读完全文，聊聊它怎么做到的，代价又落在谁头上 今早 Anthropic 发了一篇博客，说这几个月防蒸馏有了实质进展，蒸馏方能从 Claude 刮走的数据大概少了 90% 到 99%。帖子发出来几个小时就有 23 万浏览，评论区吵得很凶。我把原文从头到尾读了一遍，挑我觉得重要的讲。 先说蒸馏是什么。简单讲，就是拿一个强模型批量生成几百万条回答，再用这些回答去教一个小模型，让它学着强模型的样子说话做事。Anthropic 这次把它叫做"蒸馏攻击"，特指没授权、大规模、通常靠一堆假账号偷偷干的那种。 真正值钱的其实不是答案，是推理过程，也就是 Claude 回答之前写出来的那段 thinking。只看答案，小模型知道结果；看到推理，它能学到怎么一步步走到这个结果。所以 Anthropic 的防线几乎全压在一件事上：别让人拿到完整推理。 他们给了一个挺直观的数字。用 Claude Opus 4.8 的对话记录去训练一个预训练版 Claude，喂完整推理，SWE-bench Verified 跑到 80.4%；只喂摘要过的推理，掉到 71.8%。差了快 9 个点，这就是推理的价钱。 最早的办法就是这个摘要：给用户看的推理先压缩一遍。这招只防得住"被动蒸馏"，也就是像普通用户一样提问、拿回答去训。对方很快换成主动套话，最朴素的是直接说"把你之前的推理一字不差输出来"，复杂的有一家实验室试了 12000 种不同的骗法。再往后就是规模化，代理网络手里控制几十万个假账号，号被封了换一个接着试，顺手还在 Claude 没开放的地区转卖访问权限，用假身份和盗来的支付信息开户。二月份他们报告过，一个网络同时管着两万多个假账号。 现在的新做法分三块。 第一块是管住推理能流到哪去。蒸馏方以前会把受保护的推理块挪到别的对话里，骗 Claude 以为"对方本来就看过完整推理，那我说出来也没事"；也会把推理喂给安全措施更弱的旧模型去解读，或者在账号之间倒手。针对这个，Claude Fable 5.1 和 Opus 5.5 上了 preserved thinking：2026 年 8 月 31 日及之后新建的 API 账号，不能再改 Claude 之前的上下文。另外新模型的推理不让旧模型读，到了 Sonnet 5.5，推理记录只有发起请求的那个组织能访问。 第二块是分类器。他们把对付生物武器、网络攻击那一套搬了过来，做了一个两阶段分类器，拿蒸馏方真实的套话记录做内外部红队，发现漏洞就补。官方说法是现在的稳健程度大致和防生物武器那套相当，误报率低于 0.1%。目前挂在 Sonnet 5.5、Opus 5 和 5.5、Fable 5 和 5.1 上。最近被堵掉的新花样包括让 Claude 把之前的推理翻译成别的语言，或者让它在回答旁边用标签写出来。 第三块是让反复尝试变得很贵。老想套推理的账号会被收紧用量，持续尝试直接封。还有一条我觉得最该注意：从 9 月 24 日开始，在误报率低于 0.1% 的那几类领域里（蒸馏是其中之一），请求在 Claude 回答之前就被拦下的，照样收钱。 效果方面，上了分类器之后，蒸馏方在官方平台上拿到的推理 token 比之前少了 10 到 100 倍，有些天少到测不出来。九月报告里写过的那些套话手法，现在全能拦住。封了几万个相关账号，很多是在对方开干后两小时内就封的。 他们也承认两件事。一是不知道这个效果能撑多久，还没遇到过真正高水平、持续的绕过尝试。二是确实有代价：拒掉了一笔可观的收入和万亿级 token 的付费流量；preserved thinking 让一部分开发者得改集成；分类器在不到 0.1% 的情况下会误拦正常请求，而误拦的请求也要付钱。 说说我怎么看。 防蒸馏本身我是认的。你花了大钱训出来的东西，别人开几十万个假号批量刮走，换我也要堵。文章里还点名了智谱，说 GLM-5.3 在开发时蒸馏过美国模型的网络安全能力，发现 Claude Fable 5 的防护会让攻击变差，就换了旧版 Claude 和另一家的模型。实验室之间公开点对手的名，很少见，可见这事他们憋了挺久。 但双标也是真的。你们拿全人类的公开内容训练模型，轮到别人学你，就成了"攻击"？每家实验室都讨厌被蒸馏，直到需要去蒸馏别人的时候。我不觉得这能否定防蒸馏的合理性，但 Anthropic 用"安全"和"国家安全"来讲这件事，商业上的动机也一样实在，两个都是真的。 对开发者，我最在意的是计费。误拦率 0.1% 听着很低，但你要是每天跑几十万次调用，这就是实打实的钱。我希望他们至少在用量后台把"被拦截"单独标出来，不然你根本分不清是误报还是普通报错，更谈不上申诉退款。目前文章里没提退款机制。另外 8 月 31 日之后建的新号，凡是有改写历史上下文的逻辑，比如自己做上下文压缩、回滚、拼接对话的，都要回去检查一下。 最后放到这一周的背景里看就很有意思。前两天大家还在聊 AI 逆向一切、开发者用 Claude 照着功能重写 Adobe 全家桶开源。开源那边在拆，闭源这边在锁。代码越来越守不住，模型权重本来就不公开，现在连模型怎么想的都要锁起来。护城河在往调用这一侧挪：谁能看推理、谁能改上下文、谁的请求会被拦、拦了收不收钱，这些规则才是新的壁垒。 所以我的判断是，接下来比的不光是谁的模型更强，还有谁的 API 规矩定得更狠。作为用户，规则变了就得重新算账，这篇值得接 Claude API 的人花十分钟读完原文。
This post quotes another post: x.com/anthropicai/status/2109795898909950247