Michael JohnsonAnthropic teilte am 12. Oktober mit, dass neue Maßnahmen gegen Destillation die Menge der Schlussfolgerungen von Claude, die Angreifer über die Plattform des Unternehmens auslesen, um das 10- bis 100-Fache reduziert hätten. Das Unternehmen beschreibt das System als mehrstufig: Es erschwert die Offenlegung verborgener Schlussfolgerungen, verfolgt die Übertragung von Anfragen zwischen Konten und Modellen und blockiert verdächtige Anfragen. Für API-Entwickler ist das aus zwei Gründen wichtig: Der Schutz verändert das Verhalten von Integrationen, und einige blockierte Anfragen werden inzwischen berechnet.
Bei der Destillation wird ein kleineres Modell anhand der Antworten eines leistungsfähigeren Systems trainiert. Anthropic zufolge sind vollständige Aufzeichnungen der Schlussfolgerungen, die Claude vor der endgültigen Antwort erstellt, dafür besonders wertvoll. In frühen Tests des Unternehmens erreichte ein Modell, das mit vollständigen Transkripten von Claude Opus 4.8 trainiert worden war, 80,4 % bei SWE-bench Verified; beim Training mit gekürzten Versionen lag das Ergebnis bei 71,8 %. Diese Zahlen beziehen sich auf einen konkreten Test und ein Experiment von Anthropic und sind keine allgemeine Bewertung der Modellqualität.
Der Schutz deckt mehrere Wege des Auslesens ab
Die erste Schutzebene besteht darin, weniger Schlussfolgerungen offenzulegen. Anthropic zufolge nahmen die Versuche nach Einführung dieser Maßnahme zu: Anfragen verlangten nun ausdrücklich die Ausgabe verborgener Gedankengänge, anschließend kamen Netzwerke von Vermittlern und zahlreiche gefälschte Konten zum Einsatz. Das Unternehmen berichtet, dass eines dieser Netzwerke gleichzeitig mehr als 20.000 Konten verwaltete.
Die neuen Maßnahmen kontrollieren, wohin geschützte Ausschnitte aus Schlussfolgerungen übertragen werden können. Anthropic nennt die Übertragung zwischen Gesprächen, Modellen und Konten als Wege, einzelne Schutzmaßnahmen zu umgehen. Ein zweistufiger Klassifikator erkennt dem Unternehmen zufolge nun alle in seinem Bericht vom September beschriebenen Destillationstechniken bei den leistungsfähigsten öffentlich zugänglichen Modellen.
Anthropic bewertet die Wirkung anhand der Zahl der Schlussfolgerungstoken, die Destillierer auf der eigenen Plattform auslesen konnten. Nach Einführung des Klassifikators lag dieser Wert um das 10- bis 100-Fache unter dem vorherigen; an einzelnen Tagen war das Volumen zu gering, um es zu messen. Das Unternehmen meldete außerdem die Sperrung von Zehntausenden mit Destillation verbundenen Konten. Diese Daten stammen aus der eigenen Telemetrie von Anthropic und geben nicht das gesamte Auslesevolumen über externe Clouds und Inferenzanbieter wieder.
Was sich für Entwickler ändert
Der Schutz hat sich bereits auf einige legitime Integrationen ausgewirkt. Anthropic schreibt, dass das beibehaltene Format der Schlussfolgerungen Aktualisierungen bei einem Teil der Entwickler erforderlich machte und dass die Klassifikatoren in weniger als 0,1 % der Fälle harmlose Anfragen fälschlich erkennen oder blockieren. Seit dem 24. September berechnet das Unternehmen Anfragen, die vor der Antwortgenerierung in Kategorien mit einem derart angegebenen Anteil an Fehlalarmen gestoppt werden, einschließlich Destillation.
Die praktische Konsequenz für Teams, die eine API nutzen: Nach Änderungen an der Verarbeitung von Schlussfolgerungen sollte überprüft werden, welche Antwortfelder die Anwendung ausliest und speichert und wie sie eine Ablehnung oder Sperrung vor der Generierung behandelt. Zu berücksichtigen ist außerdem, dass eine berechnete, aber blockierte Anfrage Kosten verursachen kann, ohne eine nützliche Antwort zu liefern. Das ist besonders bei automatischen Wiederholungen wichtig: Dieselbe Anfrage erneut zu senden, behebt die Klassifizierung nicht und kann die Kosten erhöhen.
In der Beschreibung der neuen Maßnahmen räumt Anthropic ein, dass das System weiterhin Teil eines Wettrüstens mit Angreifern ist: Das Unternehmen weiß nicht, wie lange die erreichte Verringerung anhalten wird, und hat bislang keinen äußerst beharrlichen Versuch beobachtet, den aktualisierten Schutz zu umgehen. Die praktisch klarste Änderung ist bereits eingetreten: Entwickler müssen die aktualisierte Verarbeitung von Schlussfolgerungen, die Möglichkeit seltener Sperrungen und die Berechnung bestimmter abgelehnter Anfragen berücksichtigen.