Michael JohnsonAnthropicは10月12日、自社プラットフォームを通じて攻撃者が抽出するClaudeの推論の量が、新たな蒸留対策によって10〜100分の1に減少したと発表した。同社は、この仕組みを複数の層からなる対策として説明している。非公開の推論を明かしにくくし、アカウントやモデルをまたぐリクエストの移動を追跡し、疑わしいリクエストをブロックする。APIを利用する開発者にとっては、保護措置が連携アプリケーションの挙動を変えること、そしてブロックされたリクエストの一部が課金対象になったことの二点が重要だ。
蒸留とは、より強力なシステムの回答を使って小規模なモデルを学習させる手法だ。Anthropicは、Claudeが最終回答を出す前に生成する推論の完全な記録が、特に価値の高い学習素材になると考えている。同社の初期試験では、Claude Opus 4.8の完全なトランスクリプトで学習したモデルはSWE-bench Verifiedで80.4%を獲得した一方、短縮版で学習した場合は71.8%だった。これらの数値はAnthropicが実施した特定の実験とテストの結果であり、モデルの品質を普遍的に評価するものではない。
複数の抽出経路を保護
最初の対策は、開示する推論を短くすることだ。Anthropicによると、この対策の導入後、抽出の試みはより活発になった。リクエストで非公開の思考過程を直接出力するよう求め、さらに仲介者のネットワークや多数の偽アカウントが使われるようになったという。同社は、そうしたネットワークの一つが同時に2万を超えるアカウントを運用していたと報告している。
新たな対策は、保護対象の推論の断片がどこへ移されるかを監視する。Anthropicは、個別の保護措置を回避する手段として、会話、モデル、アカウント間での移動を挙げている。同社によれば、2段階の分類器は、9月の報告書で説明したすべての蒸留手法を、最も高性能な公開モデルで検出できるようになった。
Anthropicは、蒸留を行う側が同社のプラットフォーム上で抽出できた推論トークン数を基準に効果を評価している。分類器の導入後、この数値は従来の10分の1から100分の1に低下し、日によっては測定できないほど少なくなった。同社は、蒸留に関与したアカウントを数万件ブロックしたとも報告している。これらのデータが示すのはAnthropic独自のテレメトリーであり、サードパーティのクラウドや推論プロバイダーを通じた抽出の総量ではない。
開発者への影響
この保護措置は、すでに一部の正当な連携にも影響している。Anthropicによると、推論の保存形式が変わったため、一部の開発者は更新を求められた。また、分類器が無害なリクエストを誤って判定またはブロックする割合は0.1%未満だという。9月24日から同社は、蒸留を含む、誤検知率がこの水準とされるカテゴリのリクエストについて、回答を生成する前に停止した場合も課金している。
APIを使うチームにとって実務上の教訓は、推論の処理方法が変更された後、アプリケーションがどのレスポンス項目を読み取り、保存しているか、また生成前の拒否やブロックをどう処理するかを確認することだ。役立つ回答がないまま、ブロックされたリクエストが費用に計上される可能性も考慮しなければならない。これは自動再試行を行う場合に特に重要だ。同じリクエストを繰り返しても分類結果は変わらず、費用が増えるおそれがある。
新たな対策についての説明で、Anthropicは、この仕組みが攻撃者との競争の一部にとどまると認めている。同社は、達成した削減効果がどれほど続くか分からず、更新後の保護措置を非常に執拗に回避しようとする試みもまだ確認していない。すでに明らかになった最も具体的な変化は、開発者が推論の処理方法の更新、まれに発生するブロックの可能性、一部の拒否されたリクエストへの課金を考慮する必要があることだ。