Michael Johnson12 października Anthropic opisała nowy zestaw środków przeciw nieautoryzowanej destylacji modeli Claude. Według szacunków firmy po wdrożeniu klasyfikatorów liczba tokenów rozumowania pozyskiwanych przez osoby atakujące na jej platformie spadła 10–100 razy w porównaniu z wcześniejszym poziomem. To szacunek oparty na wewnętrznym ruchu Anthropic, a nie ogólnobranżowy pomiar skali destylacji.
Destylacja to metoda trenowania, w której jeden model uczy się na odpowiedziach innego. Nowe ograniczenia Anthropic mają przeciwdziałać sytuacjom, w których sieci kont próbują pozyskiwać chronione zapisy rozumowania, by trenować na nich inne modele. Firma opisuje też usługi proxy, które rozdzielają zapytania między konta, modele i dostawców infrastruktury.
Trzy poziomy ochrony
Pierwszy poziom ogranicza przenoszenie chronionych bloków rozumowania między rozmowami, kontami i modelami. W przypadku Claude Fable 5.1 i Opus 5.5 Anthropic wprowadziła tryb preserved thinking: nowe konta API utworzone 31 sierpnia 2026 roku lub później nie mogą edytować wcześniejszego kontekstu modelu. W przypadku Sonnet 5.5 zapisy rozumowania są dostępne wyłącznie dla organizacji, której zapytanie je wygenerowało.
Drugi poziom stanowią dwuetapowe klasyfikatory wykrywające próby pozyskania ukrytego rozumowania. Anthropic informuje, że testowała system podczas wewnętrznych i zewnętrznych testów red team, a odsetek fałszywych alarmów wynosi mniej niż 0,1%. Firma stosuje klasyfikatory do najpotężniejszych publicznie dostępnych modeli wymienionych w opisie nowych zabezpieczeń.
Trzeci poziom utrudnia ponawianie prób: konta wykazujące trwałe oznaki pozyskiwania danych otrzymują bardziej rygorystyczne limity lub są blokowane. Anthropic twierdzi, że zablokowała dziesiątki tysięcy kont powiązanych z destylacją; według firmy wiele z nich wykryto w ciągu niespełna dwóch godzin od rozpoczęcia kampanii.
Co mierzy deklarowany spadek
Szacunek mówiący o spadku 10–100 razy porównuje liczbę tokenów rozumowania Claude’a, które Anthropic uznaje za pozyskane na własnej platformie, przed wdrożeniem nowych klasyfikatorów i po nim. Ta miara opisuje ruch obserwowany przez firmę, a nie jakość cudzych modeli ani skalę destylacji w całej branży. Anthropic pisze, że klasyfikatory stosowane do wymienionych modeli wykrywają wszystkie techniki pozyskiwania danych opisane w jej wrześniowym raporcie.
Firma przedstawia też osobno test na SWE-bench Verified. Wstępnie wytrenowany model dostrojony na pełnych transkrypcjach Claude Opus 4.8 uzyskał wynik 80,4%, a model trenowany na skróconych transkrypcjach — 71,8%. W tym eksperymencie skrócone zapisy w mniejszym stopniu pomogły modelowi rozwiązywać zadania SWE-bench Verified. Anthropic nie przedstawia tych wyników jako oceny skuteczności całego nowego zestawu zabezpieczeń.
Konsekwencje dla deweloperów
Zabezpieczenia wpływają na integracje i rozliczenia API. Anthropic zaznacza, że tryb preserved thinking wymagał aktualizacji od części deweloperów, klasyfikatory mogą błędnie blokować nieszkodliwe zapytania w mniej niż 0,1% przypadków, a od 24 września firma nalicza opłaty za zapytania zatrzymane przez zabezpieczenia w kategoriach, w których deklarowany odsetek fałszywych alarmów jest niższy niż 0,1%.
Zespoły przekazujące kontekst między wywołaniami powinny sprawdzić, czy ich rozwiązania są zgodne z chronionymi blokami rozumowania, oraz przetestować obsługę odmów i naliczania opłat w typowych scenariuszach. Dostawcom platform API Anthropic zaleca monitorowanie nadużyć za pośrednictwem pośredników i zewnętrznej infrastruktury oraz wyłączanie potwierdzonych sieci kont.
Anthropic spodziewa się, że osoby atakujące będą dostosowywać swoje metody, i informuje, że nadal aktualizuje klasyfikatory. Praktyczne zadanie dla deweloperów jest już jasne: uwzględniać ograniczenia dotyczące przekazywania kontekstu oraz sprawdzać, jak integracja obsługuje blokady i naliczanie opłat.