强化防线：应对蒸馏攻击

过去几个月，我们在通过新方法降低 Claude 模型遭受蒸馏攻击的有效率方面取得了重大进展，本博客将对此进行详细说明。初步证据显示，这些方法使蒸馏者获取的数据量减少了约 90% 至 99%。

蒸馏攻击是一种隐蔽的、工业规模的行动，旨在未获原始模型开发者授权的情况下，提取并复制模型能力。这类攻击通常通过欺诈性账户网络实施，使公司能以远低于正常研发的时间和成本来模仿前沿能力。正如我们在 9 月文中所述，该方法已被广泛利用，帮助海外 AI 实验室与美国企业保持技术同步。

我们对非法蒸馏行为深感担忧，原因有二。首先，蒸馏技术使公司能够构建接近能力前沿的模型，但实际发布时却缺乏与其能力相称的严密安全措施。这意味着蒸馏模型可能在生物学和网络安全等领域被用于造成严重危害。

以智谱为例，在开发 GLM-5.3 过程中，该公司蒸馏了领先美国模型的网络安全能力。他们曾尝试蒸馏 Claude Fable 5，但在发现我们的安全措施削弱了攻击效果后，转而使用旧版 Claude 模型及另一家实验室的模型。美国超级智能创新与标准促进中心（CAISSI）随后评估指出，GLM-5.3 是目前已发布的网络安全能力最强的开源模型。我们自己的研究发现，GLM-5.3 的安全措施很容易被绕过，且该模型愿意从头到尾开发安全漏洞利用代码。

其次，私自蒸馏出的模型构成国家安全风险。那些蒸馏美国模型的公司，正将从蒸馏中获取的能力整合到外国的军事、情报和监控系统中。例如，我们最近报告了一起案例，其中对 Moonshot Kimi 模型的请求被秘密转发至 Claude，以支持其蒸馏工作。其中一个请求来自一名用户（我们推测其隶属于中国人民解放军），试图分析针对特定个人的 CCTV 监控视频。这正是蒸馏方希望开发出的能力。

针对这些攻击日益增长的复杂性和规模，我们扩大并大幅强化了对抗措施。如下文所述，这些措施已取得实效，但同时也给 Anthropic 及其客户带来了取舍。我们拒绝了来自蒸馏方的可观收入以及价值数万亿 token 的付费流量，研究和产品团队也在这一问题上投入了大量时间和精力。我们的部分变更也要求合法用户更新其集成方式。

蒸馏是每个模型开发者都必须面对的问题。我们希望本文能帮助开发者和平台更好地理解如何防范这些攻击、这些措施可能带来哪些取舍，以及为何这些代价是值得承担的。

简单的防御是不够的

蒸馏方的目标是从更大、更强大的模型（此处为 Claude）生成数百万条响应，再利用这些响应训练较小的模型以模仿大模型的行为。对此最有价值的数据是 Claude 的推理记录——即 Claude 在给出最终回复前写下的思维过程。这比单纯输出更有用，因为它帮助小模型理解 Claude 如何得出最终答案。因此，我们的蒸馏防御措施几乎完全集中在让 Claude 的推理过程更难被蒸馏方获取上。

我们早期对抗蒸馏的工作，始于一系列旨在阻断被动蒸馏的简单措施。在被动蒸馏中，攻击者会像普通用户一样向模型发送请求，并基于返回的响应进行训练。作为最初的防蒸馏措施之一，我们在向用户展示 Claude 的推理过程前，会先对其进行总结。评估表明，这使得 Claude 的记录对蒸馏者的信息量大幅降低。我们测试了一个预训练的 Claude 模型，在仅基于 Claude Opus 4.8 的记录进行训练后，在 SWE-bench Verified 编码基准上的表现。基于完整记录训练时，该蒸馏模型达到了 80.4%；而仅使用总结后的记录训练时，成绩为 71.8%。

但蒸馏者坚持且富有创意。在此项变更之后，攻击者从被动转向主动提取，试图通过诱导 Claude 揭示其完整推理来绕过总结机制。我们在九月份的报告中描述了这些方法的工作原理。这些战术从简单指令（如要求 Claude“逐字原样输出先前的推理”）到更复杂的技术不等，包括某实验室发起的尝试，该测试了 12,000 个请求，每个请求试图以不同方式欺骗 Claude。

通常，我们可以识别此类请求，因为普通用户极少要求模型写出其完整的隐藏推理。因此，我们可以设计安全措施，检测试图提取模型隐藏推理的请求，这些请求极有可能来自蒸馏者。

然而，我们最初设计的这些防护措施相对简单，远未起到足够的作用。蒸馏方找到了绕过第一道防护的方法，随后将这些方法规模化，建立起由数十万个欺诈账号组成的代理网络。这些账号会发送各种请求以逃避我们的检测，网络还会在 Claude 未开放的地区转售访问权限，并使用虚假身份和盗取的支付信息创建账号。正如我们在二月报告中所述，其中一个网络曾同时管理着超过 20,000 个欺诈账号。这些蒸馏活动在规模和持续性上都令人震惊，表明蒸馏方并非轻易会被吓退，我们需要构建更精密的防御体系。

我们的新方案

目前，我们针对蒸馏的防御措施通过三种不同的方式干扰攻击，同时尽可能减少对有合法用户的干扰：

控制推理内容的流向。 蒸馏方使用了多种不同的方法来提取 Claude 的完整推理记录。例如，他们通过在不同对话之间转移受保护的推理块，试图欺骗 Claude，让其误以为蒸馏方已经拥有未摘要的推理访问权限（从而允许展示）。他们还通过在不同模型之间（使用防护较弱的模型来提取防护较强的模型的推理结果）或不同账号之间转移推理数据，利用上述提到的代理网络，即使在初始账号被封禁后，仍继续尝试提取模型的推理数据。

随着 Claude Fable 5.1 和 Claude Opus 5.5 的推出，我们引入了“保留思考”（preserved thinking）机制。该措施阻止新创建的 API 账户（即 2026 年 8 月 31 日及之后创建的账户）编辑 Claude 的历史上下文。这使得利用代理网络反复尝试提取 Claude 受保护推理过程变得更加困难。我们还防止了这些模型的推理结果被具有较弱反蒸馏防护的旧模型读取；在 Claude Sonnet 5.5 中，我们进一步将推理记录（reasoning transcripts）的访问权限限制在生成该记录的组织内部。

阻断与修补提取尝试。 我们致力于让使用 Claude 模型进行蒸馏的难度，等同于利用 Claude 从事网络安全或生物领域有害任务的难度。为此，我们采用了与这些高危领域相同类型的防护措施。具体而言，我们构建了一个双阶段分类器系统，这类系统的原理我们在之前的“宪法分类器”（constitutional classifiers）研究中已做过介绍。利用蒸馏者试图提取 Claude 推理过程的记录，我们对这一分类器进行了内部和外部红队测试（采用多种手动和自动化方法），并修复了红队成员发现的所有漏洞。因此，我们的防护机制现在的鲁棒性已大致等同于防止 Claude 协助构建生物武器措施，且误报率低于 0.1%。

我们在目前最强大的公开模型上运行这一双阶段分类器（当前包括 Claude Sonnet 5.5、Claude Opus 5 和 5.5，以及 Claude Fable 5 和 5.1），并计划在未来同样对蒸馏者具有吸引力的新模型上部署该系统。

我们持续优化所使用的系统。我们预计攻击者会找到绕过这些防护措施的方法，因此我们正在积极监测成功的提取尝试。一旦观察到任何看似能规避防御的新技术，我们会迅速更新防护措施。这些更新已经阻断了多种新型攻击技术，例如诱导 Claude 将其先前的推理过程翻译成其他语言，或者要求其将推理过程写在答案旁边的标签中。

增加反复尝试的难度。我们通常能够检测到特定账户正在用于知识蒸馏。持续试图从 Claude 中提取推理内容的用户将面临更严格的使用限制；一旦检测到持续且反复的蒸馏企图，我们会封禁相关账户。此外，自 9 月 24 日起，我们已恢复对 被安全护栏拦截的请求 计费，适用于那些误报率低于 0.1% 的特定领域（包括蒸馏）。这些措施让攻击者更难绕过我们的防御。

新方法效果如何

总体而言，我们认为新的蒸馏防御措施能可靠地阻止更多针对我们前沿模型的蒸馏企图。对于我们能力最强、已公开提供的模型，两级分类器如今已能识别出我们在9 月报告中描述的所有蒸馏技术。

为评估系统的有效性，我们估算了蒸馏者在我们平台上提取的 Claude 推理 token 数量。引入分类器后，蒸馏者提取的推理 token 数量持续比之前低 10 到 100 倍，如下图所示。这进一步放大了我们保留思维改动的影响。我们已利用这些防御措施封禁了数万个与蒸馏相关的账户，通常在账户开始蒸馏活动的两小时内即可完成封禁。

目前尚不清楚这些成效能维持多久。我们预计，对抗蒸馏将是一场持续的“猫鼠游戏”，需要我们随时间推移不断迭代防御手段。尽管我们对这些措施的有效性充满信心，但尚未目睹过旨在绕过它们的高级别且坚持不懈的攻击尝试。

我们的技术也存在固有的权衡。今年二月，我们曾撰文表示，希望在不影响合法用户体验的前提下让蒸馏变得更具难度。我们尚未完全达成这一目标：保留的思考（preserved thinking）机制要求部分开发者更新其集成代码；我们的分类器在极少数情况下（低于 0.1%）可能误判或拦截良性请求；并且我们现在会对那些被拦截的请求向用户收费。

蒸馏是每位开发者与平台都面临的问题

尽管存在上述权衡，我们认为这些措施带来的收益远超其成本。防止蒸馏不仅关乎国家安全，对于确保强大模型（尤其是公开可用的模型）在发布时具备足够的安全防护也至关重要。

我们已竭尽全力防止模型被恶意行为者滥用。然而，防止非法蒸馏需要所有前沿模型开发者的协作与支持。如果攻击者能轻松访问同样强大但缺乏同等稳健的抗蒸馏防护措施的模型，我们的努力将会受到削弱，正如 Zhipu 对 GLM-5.3 所做的事情那样。

蒸馏方会将流量分散到 Anthropic 的 API、第三方云平台及其他推理服务商。因此，平台和开发者都有责任共同降低蒸馏行为的发生。通过快速检测并中断滥用行为，以及注销欺诈账户，可以切实延缓蒸馏进程。

行业内的激励机制往往事与愿违。防御成本高昂，而非法蒸馏方本质上仍是付费客户。在这样的背景下，企业很容易选择无所作为，或应对不足。我们公开这些方法，正是为了证明存在一条可行的替代路径。