Anthropic 反蒸馏机制与封号原因解析

小北 @linxiaobei888原推发布于 2026.10.13

在 X 上打开原推

你被封号的原因找到了，大概率就是被误判了！ Anthropic 刚刚公开了反蒸馏的打法，蒸馏者能从 Claude 拿走的数据量降了大约 90% 到 99% 什么是蒸馏？ 蒸馏就是拿一个强模型的输出当教材，训练一个弱模型去模仿它，这本身是业内常规的训练方法 蒸馏攻击又是另一回事，它指的是隐蔽进行、工业级规模的能力抽取：没有原厂授权，通常借助大批假账号，把一个模型的能力复制到另一个模型上 举个场景：攻击方准备 100 万道编程题，用几千个账号轮流调 API，把回答全部收集起来做微调数据 这些数据里最值钱的是推理过程，也就是模型给出答案前写下的那段思考 只拿答案，小模型学到的是答什么，拿到推理，小模型能学到 Claude 是怎么一步步推出答案的 所以 Anthropic 的防御全部围绕一件事：让蒸馏者够不到 Claude 的推理 第一版防御：推理摘要 最早的做法是让 Claude 先把推理压缩成摘要，再展示给用户 他们做了对照实验：用 Claude Opus 4.8 的对话记录训练一个预训练版 Claude，再测 SWE-bench Verified，用完整推理训练的模型拿到 80.4%，只用摘要训练的拿到 71.8% SWE-bench Verified 是一个用真实 GitHub issue 考模型修代码能力的基准，差 8.6 个点，说明摘要确实削掉了一大块可学习的信号 这一版只防得住被动蒸馏：攻击者像普通用户那样提问，拿回答去训练 攻击方升级：主动套取 摘要上线后，攻击者开始想办法让 Claude 吐出完整推理 简单的就一句指令，让模型把之前的推理逐字原样输出；复杂的，有一家实验室测试了 1.2 万个请求，每个都用不同的方式诱导 规模也在加码，代理网络控制着几十万个假账号，同时在 Claude 不提供服务的地区转卖访问权，账号用的是假身份和盗来的支付信息 防御方的突破口在于：普通用户很少会要求模型把隐藏的完整推理写出来，这类请求本身就是强信号 所以千万尝试不要让 claude 把隐藏的完整推理写出来 新的三层防御 1. 控制推理能流到哪 攻击手法之一，把受保护的推理块从一个对话挪进另一个对话，让 Claude 以为对方本来就能看到原始推理，于是放心复述。 还有跨模型（用防护更弱的模型去读强模型的推理）和跨账号（一个号被封，换个号接着套） 对应措施： Claude Fable 5.1 和 Opus 5.5 引入了 preserved thinking，2026 年 8 月 31 日及之后注册的 API 账号不能再编辑 Claude 之前的上下文，这两个模型的推理也禁止被防护更弱的旧模型读取 到了 Sonnet 5.5，推理记录只对发起该请求的组织可见 2 . 分类器拦截，发现新招就补 他们套用了宪法分类器研究里的两阶段分类器方案，拿蒸馏者真实的攻击记录做内部和外部红队测试，把找到的漏洞逐个修掉 现在这套防护的强度大致和阻止 Claude 协助制造生物武器的那套相当，误报率低于 0.1% 两阶段分类器的一般思路：第一层用轻量、便宜的模型扫全部流量，第二层只对可疑请求跑更重、更准的判断, 全量覆盖和成本两头都能顾上 目前部署在 Sonnet 5.5、Opus 5 和 5.5、Fable 5 和 5.1 上 已经被补掉的两个新招：让 Claude 把之前的推理翻译成别的语言；让它在回答旁边用标签把推理写出来 3. 提高重复试错的成本 反复尝试套推理的账号会被收紧用量限额，持续尝试就封号 另外从 9 月 24 日起，在误报率低于 0.1% 的领域（包括蒸馏），被拦截、Claude 还没来得及回答的请求也照常收费 一个变体测试一次就要付一次钱，1.2 万种变体的试错成本就实打实压在攻击方身上了 效果和代价 分类器全面上线后，蒸馏者能抽到的推理 token 数稳定降到原来的十分之一到百分之一，有些天少到测不出来 相关账号封了几万个，很多在开始蒸馏后不到两小时就被封 代价他们也摆出来了： 拒掉了可观的收入和数万亿 token 的付费流量 preserved thinking 让部分开发者必须改集成代码； 分类器有不到 0.1% 的概率误拦正常请求，被误拦的请求现在还要收费 Anthropic 还说目前还没遇到真正高水平、持续性的绕过尝试，这会是一场长期的猫鼠游戏

这条是引用着另一条写的：x.com/anthropicai/status/2109795898909950247