Michael Johnson12. oktober beskrev Anthropic et nytt sett med tiltak mot uautorisert destillering av Claude-modeller. Ifølge selskapets anslag ble antallet resonneringstokener som angripere henter ut på plattformen, 10–100 ganger lavere etter at klassifikatorene ble innført. Dette er et anslag basert på Anthropics interne trafikk, ikke en samlet måling av destillering i hele bransjen.
Destillering er en læringsmetode der én modell lærer av svarene fra en annen. Anthropics nye begrensninger retter seg mot tilfeller der nettverk av kontoer forsøker å hente ut beskyttede resonneringsspor for å trene andre modeller på dem. Selskapet beskriver også proxytjenester som fordeler forespørsler mellom kontoer, modeller og infrastrukturleverandører.
Tre beskyttelsesnivåer
Det første nivået begrenser overføring av beskyttede resonneringsblokker mellom samtaler, kontoer og modeller. For Claude Fable 5.1 og Opus 5.5 innførte Anthropic modusen «preserved thinking»: Nye API-kontoer opprettet 31. august 2026 eller senere kan ikke redigere modellens tidligere kontekst. For Sonnet 5.5 er resonneringsspor bare tilgjengelige for organisasjonen som opprettet forespørselen.
Det andre nivået består av totrinnsklassifikatorer som skal oppdage forsøk på å hente ut skjult resonnering. Anthropic opplyser at systemet ble testet med interne og eksterne red-team-tester, og at andelen falske positiver er under 0,1 %. Selskapet bruker klassifikatorene på de kraftigste offentlig tilgjengelige modellene som er oppført i beskrivelsen av de nye beskyttelsestiltakene.
Det tredje nivået gjør gjentatte forsøk vanskeligere: Kontoer med vedvarende tegn på uthenting får strengere grenser eller blir sperret. Anthropic hevder å ha sperret titusenvis av kontoer knyttet til destillering. Ifølge selskapet ble mange av dem oppdaget mindre enn to timer etter at kampanjen startet.
Hva den oppgitte reduksjonen måler
Anslaget på 10–100 ganger sammenligner antallet resonneringstokener fra Claude som Anthropic mener er hentet ut på selskapets egen plattform, før og etter at de nye klassifikatorene ble innført. Målet beskriver trafikken selskapet observerer, ikke kvaliteten på andres modeller eller omfanget av destillering i hele bransjen. Anthropic skriver at klassifikatorene for modellene på listen oppdager alle uthentingsteknikkene som er beskrevet i selskapets septemberrapport.
Selskapet oppgir også en separat test på SWE-bench Verified. En forhåndstrent modell som ble finjustert på fullstendige transkripsjoner fra Claude Opus 4.8, oppnådde 80,4 %, mens en modell trent på forkortede transkripsjoner oppnådde 71,8 %. I dette eksperimentet ga de forkortede sporene modellen mindre hjelp til å løse oppgaver i SWE-bench Verified. Anthropic framstiller ikke resultatene som et mål på hvor effektive alle de nye beskyttelsestiltakene er.
Konsekvenser for utviklere
Beskyttelsestiltakene påvirker integrasjoner og API-kostnader. Anthropic opplyser at modusen «preserved thinking» krevde oppdateringer fra enkelte utviklere, at klassifikatorene kan blokkere harmløse forespørsler ved en feil i under 0,1 % av tilfellene, og at selskapet siden 24. september har tatt betalt for forespørsler som stoppes av beskyttelsen i kategorier der den oppgitte andelen falske positiver er under 0,1 %.
Team som overfører kontekst mellom kall, bør kontrollere at logikken deres fungerer med beskyttede resonneringsblokker, og teste håndtering av avvisninger og fakturering i vanlige bruksscenarioer. Anthropic anbefaler at leverandører av API-plattformer følger med på misbruk via mellommenn og tredjepartsinfrastruktur, og kobler fra bekreftede kontonettverk.
Anthropic forventer at angripere vil tilpasse seg, og opplyser at selskapet fortsetter å oppdatere klassifikatorene. Den praktiske oppgaven for utviklere er allerede tydelig: Ta hensyn til begrensninger på kontekstovertføring, og test hvordan integrasjonen håndterer sperringer og fakturering.