Michael JohnsonAnthropic сообщила 12 октября, что новые меры против дистилляции снизили объём рассуждений Claude, извлекаемых злоумышленниками через её платформу, в 10–100 раз. Компания описала систему как набор из нескольких уровней: она затрудняет раскрытие скрытых рассуждений, отслеживает перенос запросов между аккаунтами и моделями и блокирует подозрительные обращения. Для разработчиков API это важно по двум причинам: защита меняет поведение интеграций, а часть заблокированных запросов теперь тарифицируется.
Дистилляция позволяет обучать меньшую модель на ответах более мощной системы. Anthropic считает наиболее ценными для этого полные записи рассуждений, которые Claude формирует до итогового ответа. В ранних испытаниях компании модель, обученная на полных транскриптах Claude Opus 4.8, получила 80,4% на SWE-bench Verified; при обучении на сокращённых версиях результат составил 71,8%. Эти цифры относятся к конкретному тесту и эксперименту Anthropic, а не к универсальной оценке качества моделей.
Защита охватывает несколько путей извлечения
Первый слой — сокращение раскрываемых рассуждений. По описанию Anthropic, после введения такой меры попытки стали активнее: запросы начали прямо требовать вывести скрытый ход рассуждений, а затем использовались сети посредников и многочисленные поддельные аккаунты. Компания сообщает, что одна из таких сетей одновременно управляла более чем 20 тысячами аккаунтов.
Новые меры контролируют, куда могут перемещаться защищённые фрагменты рассуждений. Anthropic перечисляет перенос между беседами, моделями и аккаунтами как способы обхода отдельных защит. Двухэтапный классификатор, по утверждению компании, теперь выявляет все техники дистилляции, описанные в её сентябрьском отчёте, на наиболее мощных общедоступных моделях.
Anthropic оценивает эффект по числу токенов рассуждений, которые дистилляторы смогли извлечь именно на её платформе. После внедрения классификатора этот показатель стал в 10–100 раз ниже прежнего; в отдельные дни объём оказался слишком мал для измерения. Компания также сообщила о блокировке десятков тысяч аккаунтов, связанных с дистилляцией. Эти данные описывают собственную телеметрию Anthropic, а не суммарный объём извлечения через сторонние облака и провайдеров вывода.
Что меняется для разработчиков
Защита уже повлияла на некоторые легитимные интеграции. Anthropic пишет, что сохранённый формат рассуждений потребовал обновлений от части разработчиков, а классификаторы ошибочно определяют или блокируют безвредные запросы менее чем в 0,1% случаев. С 24 сентября компания взимает плату за запросы, остановленные до генерации ответа в категориях с такой заявленной долей ложных срабатываний, включая дистилляцию.
Практический вывод для команд, использующих API: после изменений в обработке рассуждений стоит проверить, какие поля ответа приложение читает и сохраняет, и как оно обрабатывает отказ или блокировку до генерации. Следует также учитывать, что оплачиваемый заблокированный запрос может попасть в расходы без полезного ответа. Это особенно важно для автоматических повторов: повторение того же обращения не исправляет классификацию и способно увеличить затраты.
В описании новых мер Anthropic признаёт, что система пока остаётся частью гонки с атакующими: компания не знает, как долго продержится достигнутое снижение, и ещё не наблюдала крайне настойчивую попытку обойти обновлённую защиту. Самое определённое практическое изменение уже произошло: разработчикам нужно учитывать обновлённую обработку рассуждений, вероятность редких блокировок и тарификацию некоторых отклонённых запросов.