Michael Johnson10월 12일 Anthropic은 Claude 모델의 무단 증류를 막기 위한 새로운 보호 조치 묶음을 설명했다. 회사의 추정에 따르면 분류기를 도입한 뒤 자사 플랫폼에서 공격자들이 추출하는 추론 토큰의 수가 이전보다 10~100배 감소했다. 이는 Anthropic 내부 트래픽에 대한 추정치이며, 업계 전체의 증류 규모를 측정한 결과는 아니다.
증류는 한 모델이 다른 모델의 응답을 바탕으로 학습하는 방법이다. Anthropic의 새 제한은 계정 네트워크가 보호된 추론 기록을 추출해 다른 모델을 학습시키려는 상황을 겨냥한다. 회사는 계정, 모델, 인프라 제공업체 사이에 요청을 분산하는 프록시 서비스도 설명한다.
세 단계의 보호 조치
첫 번째 단계는 보호된 추론 블록을 대화, 계정, 모델 사이에서 옮기는 일을 제한한다. Claude Fable 5.1과 Opus 5.5에 Anthropic은 preserved thinking 모드를 도입했다. 2026년 8월 31일 이후 생성된 신규 API 계정은 모델의 이전 컨텍스트를 편집할 수 없다. Sonnet 5.5에서는 추론 기록을 생성한 요청을 보낸 조직만 해당 기록에 접근할 수 있다.
두 번째 단계는 숨겨진 추론을 추출하려는 시도를 탐지하는 2단계 분류기다. Anthropic은 내부 및 외부 레드팀 테스트로 시스템을 검증했으며, 오탐률은 0.1% 미만이라고 밝혔다. 회사는 새 보호 조치 설명에 열거된 가장 강력한 공개 모델에 분류기를 적용한다.
세 번째 단계는 반복 시도를 어렵게 만든다. 추출 행위가 지속적으로 의심되는 계정에는 더 엄격한 제한을 적용하거나 계정을 차단한다. Anthropic은 증류와 관련된 계정 수만 개를 차단했다고 밝혔으며, 회사에 따르면 그중 상당수는 캠페인 시작 후 2시간도 지나기 전에 탐지됐다.
주장된 감소율이 측정하는 것
10~100배라는 추정치는 Anthropic이 자사 플랫폼에서 추출된 것으로 판단한 Claude 추론 토큰 수를 새 분류기 도입 전후로 비교한 것이다. 이 지표는 회사가 관찰한 트래픽을 나타낼 뿐, 다른 모델의 성능이나 업계 전체의 증류량을 뜻하지 않는다. Anthropic은 열거된 모델에 적용된 분류기가 9월 보고서에 설명된 모든 추출 기법을 탐지한다고 밝혔다.
회사는 SWE-bench Verified 테스트 결과도 별도로 제시했다. Claude Opus 4.8의 전체 대화 기록으로 미리 학습한 모델은 80.4%를 기록했고, 축약된 대화 기록으로 학습한 모델은 71.8%를 기록했다. 이 실험에서는 축약된 기록이 SWE-bench Verified 과제 해결에 모델에 주는 이점이 더 작았다. Anthropic은 이 결과를 새로운 보호 조치 전체의 효과에 대한 평가로 제시하지는 않았다.
개발자에게 미치는 영향
보호 조치는 API 통합과 비용 계산을 바꾼다. Anthropic은 preserved thinking 모드로 인해 일부 개발자가 업데이트해야 했고, 분류기가 0.1% 미만의 비율로 무해한 요청을 잘못 차단할 수 있다고 밝혔다. 또한 9월 24일부터 오탐률이 0.1% 미만이라고 밝힌 카테고리에서는 보호 조치로 중단된 요청에 요금을 부과하고 있다.
호출 간에 컨텍스트를 전달하는 팀은 보호된 추론 블록과 자체 로직의 호환성을 점검하고, 일반적인 사용 사례에서 거부 응답 처리와 요금 부과를 테스트하는 것이 좋다. Anthropic은 API 플랫폼 제공업체에 중개자와 외부 인프라를 통한 악용을 감시하고, 확인된 계정 네트워크를 비활성화할 것을 제안한다.
Anthropic은 공격자들이 적응할 것으로 예상하며 분류기를 계속 업데이트하고 있다고 밝혔다. 개발자가 당장 해야 할 일은 분명하다. 컨텍스트 전달 제한을 고려하고, 통합 시스템이 차단과 요금 부과를 어떻게 처리하는지 점검해야 한다.