Anthropic gibt an, die Datenerfassung für die Claude-Destillation um das 10- bis 100-Fache reduziert zu haben

Am 12. Oktober beschrieb Anthropic ein neues Maßnahmenpaket gegen unbefugte Destillation von Claude-Modellen. Nach Einschätzung des Unternehmens sank die Zahl der Reasoning-Tokens, die Angreifer auf seiner Plattform abgreifen, nach der Einführung von Klassifikatoren um das 10- bis 100-Fache. Dabei handelt es sich um eine Schätzung des internen Datenverkehrs von Anthropic, nicht um eine branchenweite Messung der Destillation.

Destillation ist eine Trainingsmethode, bei der ein Modell anhand der Antworten eines anderen lernt. Die neuen Beschränkungen von Anthropic zielen auf Fälle ab, in denen Netzwerke von Konten versuchen, geschützte Reasoning-Aufzeichnungen abzugreifen, um andere Modelle damit zu trainieren. Das Unternehmen beschreibt außerdem Proxy-Dienste, die Anfragen auf Konten, Modelle und Infrastruktur-Anbieter verteilen.

Drei Schutzebenen

Die erste Ebene beschränkt die Übertragung geschützter Reasoning-Blöcke zwischen Dialogen, Konten und Modellen. Für Claude Fable 5.1 und Opus 5.5 führte Anthropic den Modus „preserved thinking“ ein: Neue API-Konten, die am oder nach dem 31. August 2026 erstellt wurden, können den vorherigen Modellkontext nicht bearbeiten. Bei Sonnet 5.5 sind Reasoning-Aufzeichnungen nur für die Organisation zugänglich, deren Anfrage sie erzeugt hat.

Die zweite Ebene besteht aus zweistufigen Klassifikatoren, die Versuche zum Abgreifen verborgener Reasoning-Inhalte erkennen sollen. Anthropic zufolge wurde das System in internen und externen Red-Team-Tests geprüft; die Falsch-Positiv-Rate liegt bei weniger als 0,1 %. Das Unternehmen setzt die Klassifikatoren bei den leistungsstärksten öffentlich verfügbaren Modellen ein, die im Überblick zu den neuen Schutzmaßnahmen aufgeführt sind.

Die dritte Ebene erschwert wiederholte Versuche: Konten mit anhaltenden Anzeichen für Abgriffe unterliegen strengeren Limits oder werden gesperrt. Anthropic gibt an, Zehntausende mit Destillation verbundene Konten gesperrt zu haben. Viele davon seien nach Angaben des Unternehmens weniger als zwei Stunden nach Kampagnenbeginn erkannt worden.

Was die angegebene Verringerung misst

Die Schätzung eines Rückgangs um das 10- bis 100-Fache vergleicht die Zahl der Reasoning-Tokens von Claude, die Anthropic auf der eigenen Plattform als abgegriffen einstuft, vor und nach Einführung der neuen Klassifikatoren. Diese Kennzahl beschreibt den vom Unternehmen beobachteten Datenverkehr, nicht die Qualität fremder Modelle oder das Ausmaß der Destillation in der gesamten Branche. Anthropic schreibt, dass die Klassifikatoren bei den aufgeführten Modellen sämtliche Abgriffstechniken erkennen, die im Septemberbericht des Unternehmens beschrieben wurden.

Separat nennt das Unternehmen einen Test auf SWE-bench Verified. Ein vortrainiertes Modell, das mit vollständigen Transkripten von Claude Opus 4.8 weitertrainiert wurde, erreichte 80,4 %; ein mit gekürzten Transkripten trainiertes Modell erzielte 71,8 %. In diesem Experiment waren die gekürzten Aufzeichnungen für das Modell beim Lösen von Aufgaben auf SWE-bench Verified weniger hilfreich. Anthropic stellt diese Ergebnisse nicht als Bewertung der Wirksamkeit des gesamten neuen Maßnahmenpakets dar.

Folgen für Entwickler

Die Schutzmaßnahmen verändern API-Integrationen und die Abrechnung. Anthropic weist darauf hin, dass der Modus „preserved thinking“ bei einigen Entwicklern Aktualisierungen erforderlich machte, dass Klassifikatoren in weniger als 0,1 % der Fälle harmlose Anfragen fälschlich blockieren können und dass das Unternehmen seit dem 24. September Anfragen berechnet, die von Schutzmaßnahmen in Kategorien mit einer angegebenen Falsch-Positiv-Rate unter 0,1 % gestoppt werden.

Teams, die Kontext zwischen Aufrufen weitergeben, sollten die Kompatibilität ihrer Logik mit geschützten Reasoning-Blöcken prüfen und den Umgang mit Ablehnungen und Abrechnung in regulären Anwendungsszenarien testen. Anbietern von API-Plattformen empfiehlt Anthropic, Missbrauch über Vermittler und externe Infrastruktur zu überwachen und bestätigte Kontennetzwerke abzuschalten.

Anthropic rechnet damit, dass Angreifer ihre Methoden anpassen werden, und teilt mit, die Klassifikatoren laufend zu aktualisieren. Für Entwickler ist die praktische Aufgabe bereits klar: Beschränkungen für die Kontextübertragung berücksichtigen und prüfen, wie die Integration mit Sperren und Abrechnung umgeht.