Michael JohnsonOp 12 oktober beschreef Anthropic een nieuwe reeks maatregelen tegen ongeoorloofde distillatie van Claude-modellen. Volgens de schatting van het bedrijf is het aantal redeneertokens dat kwaadwillenden op zijn platform extraheren na de invoering van classificatiemodellen 10–100 keer lager dan voorheen. Dit is een schatting van de interne gegevensstroom van Anthropic, geen algemene meting van distillatie in de hele sector.
Distillatie is een trainingsmethode waarbij het ene model leert van de antwoorden van een ander. De nieuwe beperkingen van Anthropic zijn gericht op scenario’s waarin netwerken van accounts beschermde redeneertranscripten proberen te extraheren om andere modellen ermee te trainen. Het bedrijf beschrijft ook proxyservices die verzoeken verdelen over accounts, modellen en infrastructuurproviders.
Drie beveiligingslagen
De eerste laag beperkt het overbrengen van beschermde redeneerblokken tussen gesprekken, accounts en modellen. Voor Claude Fable 5.1 en Opus 5.5 heeft Anthropic de modus preserved thinking ingevoerd: nieuwe API-accounts die op of na 31 augustus 2026 zijn aangemaakt, kunnen de voorafgaande context van het model niet bewerken. Bij Sonnet 5.5 zijn redeneertranscripten alleen beschikbaar voor de organisatie waarvan het verzoek afkomstig is.
De tweede laag bestaat uit classificatiemodellen in twee fasen die pogingen opsporen om verborgen redeneringen te extraheren. Anthropic meldt dat het systeem is getest met interne en externe red-teamtests en dat het percentage fout-positieven lager is dan 0,1%. Het bedrijf past de classificatiemodellen toe op de krachtigste openbaar beschikbare modellen die zijn opgenomen in de lijst in de beschrijving van de nieuwe beveiligingsmaatregelen.
De derde laag bemoeilijkt herhaalde pogingen: accounts met aanhoudende tekenen van extractie krijgen strengere limieten of worden geblokkeerd. Anthropic stelt tienduizenden accounts te hebben geblokkeerd die verband hielden met distillatie; volgens het bedrijf werden veel ervan binnen twee uur na het begin van een campagne opgespoord.
Wat de gemelde afname meet
De schatting van een factor 10–100 vergelijkt het aantal redeneertokens van Claude dat Anthropic op zijn eigen platform als geëxtraheerd beschouwt, vóór en na de invoering van de nieuwe classificatiemodellen. Deze maat beschrijft de gegevensstroom die het bedrijf waarneemt, niet de kwaliteit van andere modellen of de omvang van distillatie in de hele sector. Anthropic schrijft dat de classificatiemodellen voor de genoemde modellen alle extractietechnieken opsporen die in het rapport van september zijn beschreven.
Het bedrijf noemt daarnaast een test met SWE-bench Verified. Een vooraf getraind model dat verder was getraind op volledige transcripties van Claude Opus 4.8 behaalde 80,4%; een model dat was getraind op ingekorte transcripties behaalde 71,8%. In dit experiment waren de ingekorte transcripties minder nuttig voor het model bij het oplossen van SWE-bench Verified-taken. Anthropic presenteert deze resultaten niet als een beoordeling van de effectiviteit van het volledige nieuwe beveiligingspakket.
Gevolgen voor ontwikkelaars
De beveiligingsmaatregelen veranderen API-integraties en de kostenberekening. Anthropic geeft aan dat de modus preserved thinking aanpassingen van sommige ontwikkelaars vereiste, dat classificatiemodellen in minder dan 0,1% van de gevallen onschuldige verzoeken ten onrechte kunnen blokkeren, en dat het bedrijf sinds 24 september kosten in rekening brengt voor verzoeken die door beveiligingsmaatregelen zijn tegengehouden in categorieën waarvoor het gemelde percentage fout-positieven lager is dan 0,1%.
Teams die context tussen aanroepen doorgeven, kunnen het beste nagaan of hun logica compatibel is met beschermde redeneerblokken en de afhandeling van weigeringen en facturering testen in normale scenario’s. Anthropic adviseert aanbieders van API-platforms om misbruik via tussenpersonen en infrastructuur van derden te volgen en bevestigde accountnetwerken uit te schakelen.
Anthropic verwacht dat aanvallers zich zullen aanpassen en meldt dat het de classificatiemodellen blijft bijwerken. Voor ontwikkelaars is de praktische opdracht al duidelijk: houd rekening met beperkingen op het doorgeven van context en controleer hoe de integratie omgaat met blokkeringen en facturering.