Michael Johnson10月12日、AnthropicはClaudeモデルの不正な蒸留に対する新たな対策一式を説明した。同社の推定によると、分類器の導入後、自社プラットフォーム上で攻撃者が抽出する推論トークン数は、導入前に比べて10～100分の1になった。これはAnthropic社内のトラフィックに関する推定であり、業界全体の蒸留を測定したものではない。
蒸留とは、あるモデルが別のモデルの回答を使って学習する手法だ。Anthropicの新たな制限は、アカウント群が保護対象の推論記録を抽出し、それを別のモデルの学習に使おうとする状況を想定している。同社は、アカウント、モデル、インフラ提供者の間でリクエストを振り分けるプロキシサービスについても説明している。
3段階の防御
第1段階では、保護された推論ブロックが会話、アカウント、モデル間で移動することを制限する。Claude Fable 5.1とOpus 5.5では、Anthropicはpreserved thinkingモードを導入した。2026年8月31日以降に作成された新しいAPIアカウントは、モデルの以前のコンテキストを編集できない。Sonnet 5.5では、推論記録を利用できるのは、その生成を要求した組織に限られる。
第2段階は、隠された推論の抽出を試みる行為を検出する2段階の分類器だ。Anthropicによると、社内外のレッドチーム試験でシステムを検証し、誤検知率は0.1%未満だった。同社は、新たな防御策の説明に記載された最も高性能な一般公開モデルに分類器を適用している。
第3段階では、繰り返される試みを難しくする。抽出を継続的に試みている兆候があるアカウントには、より厳しい制限が適用されるか、アカウントが停止される。Anthropicは蒸留に関係する数万のアカウントを停止したと述べている。同社によれば、その多くはキャンペーン開始から2時間以内に検出された。
公表された削減率が示すもの
10～100分の1という推定値は、新しい分類器の導入前後で、Anthropicが自社プラットフォーム上で抽出されたと判断したClaudeの推論トークン数を比較したものだ。この指標が示すのは同社が観測したトラフィックであり、他社モデルの品質や業界全体の蒸留量ではない。Anthropicは、対象モデルに適用した分類器が、9月の報告書で説明したすべての抽出手法を検出すると述べている。
同社は別途、SWE-bench Verifiedでのテスト結果も示している。Claude Opus 4.8の完全なトランスクリプトで事前学習後に追加学習したモデルのスコアは80.4%で、短縮版トランスクリプトで学習したモデルは71.8%だった。この実験では、短縮された記録による学習のほうが、SWE-bench Verifiedの課題を解くうえでモデルにもたらす効果が小さかった。Anthropicは、この結果を新たな防御策一式の有効性評価として提示してはいない。
開発者への影響
これらの防御策は、API連携や料金計算に変更をもたらす。Anthropicによると、preserved thinkingモードに対応するため、一部の開発者は更新が必要になった。また、分類器が無害なリクエストを誤ってブロックする割合は0.1%未満だという。さらに9月24日から、誤検知率が0.1%未満とされるカテゴリで、防御策によって停止されたリクエストにも料金を課している。
呼び出し間でコンテキストを受け渡すチームは、自社の処理が保護された推論ブロックと互換性があるか確認し、通常の利用シナリオで拒否処理と課金をテストするとよい。APIプラットフォームの提供者には、仲介業者やサードパーティーのインフラを介した不正利用を監視し、確認済みのアカウント群を無効化するよう提案している。
Anthropicは攻撃者が手法を適応させると予想し、分類器の更新を続けていると述べている。開発者が実務上取り組むべきことは明確だ。コンテキストの受け渡しに関する制限を考慮し、連携システムがブロックや課金をどのように処理するか確認する必要がある。