Michael Johnson12 октября Anthropic описала новый набор мер против несанкционированной дистилляции моделей Claude. По оценке компании, после внедрения классификаторов количество токенов рассуждений, извлекаемых злоумышленниками на её платформе, стало в 10–100 раз меньше, чем прежде. Это оценка внутреннего потока Anthropic, а не общий замер дистилляции во всей отрасли.
Дистилляция — метод обучения, при котором одна модель учится на ответах другой. Новые ограничения Anthropic нацелены на сценарии, когда сети аккаунтов пытаются извлекать защищённые записи рассуждений, чтобы обучать на них другие модели. Компания также описывает прокси-сервисы, распределяющие запросы между аккаунтами, моделями и поставщиками инфраструктуры.
Три уровня защиты
Первый уровень ограничивает перенос защищённых блоков рассуждений между диалогами, аккаунтами и моделями. Для Claude Fable 5.1 и Opus 5.5 Anthropic ввела режим preserved thinking: новые API-аккаунты, созданные 31 августа 2026 года или позже, не могут редактировать предшествующий контекст модели. Для Sonnet 5.5 записи рассуждений доступны только организации, запрос которой их создал.
Второй уровень — двухэтапные классификаторы для выявления попыток извлечь скрытые рассуждения. Anthropic сообщает, что проверяла систему внутренними и внешними red-team испытаниями, а доля ложных срабатываний составляет менее 0,1%. Компания применяет классификаторы к самым мощным общедоступным моделям из перечня в описании новых защит.
Третий уровень затрудняет повторные попытки: аккаунты с устойчивыми признаками извлечения получают более строгие лимиты или блокируются. Anthropic утверждает, что заблокировала десятки тысяч связанных с дистилляцией аккаунтов; многие из них, по данным компании, выявлялись менее чем через два часа после начала кампании.
Что измеряет заявленное снижение
Оценка в 10–100 раз сравнивает количество токенов рассуждений Claude, которые Anthropic считает извлечёнными на собственной платформе, до и после внедрения новых классификаторов. Эта метрика описывает наблюдаемый компанией поток, а не качество чужих моделей или объём дистилляции во всей отрасли. Anthropic пишет, что классификаторы на перечисленных моделях выявляют все техники извлечения, описанные в её сентябрьском отчёте.
Отдельно компания приводит тест на SWE-bench Verified. Предварительно обученная модель, дообученная на полных транскриптах Claude Opus 4.8, набрала 80,4%; модель, обученная на сокращённых транскриптах, — 71,8%. В этом эксперименте сокращённые записи дали модели меньшую пользу для решения задач SWE-bench Verified. Anthropic не представляет эти результаты как оценку эффективности всего нового набора защит.
Последствия для разработчиков
Защиты меняют интеграции и расчёты API. Anthropic указывает, что режим preserved thinking потребовал обновлений от части разработчиков, классификаторы могут ошибочно блокировать безобидные запросы менее чем в 0,1% случаев, а с 24 сентября компания взимает плату за запросы, остановленные защитами в категориях, где заявленная доля ложных срабатываний ниже 0,1%.
Командам, передающим контекст между вызовами, стоит проверить совместимость своей логики с защищёнными блоками рассуждений и протестировать обработку отказов и тарификацию на штатных сценариях. Поставщикам API-платформ Anthropic предлагает отслеживать злоупотребления через посредников и стороннюю инфраструктуру и отключать подтверждённые сети аккаунтов.
Anthropic ожидает, что атакующие будут адаптироваться, и сообщает, что продолжает обновлять классификаторы. Для разработчиков практическая задача уже ясна: учитывать ограничения на передачу контекста и проверять, как интеграция обрабатывает блокировки и тарификацию.