Michael JohnsonAnthropic 于 10 月 12 日表示，新推出的反蒸馏措施使攻击者通过其平台提取的 Claude 推理内容减少了 10 至 100 倍。该公司将这套系统描述为多层防护：它会提高泄露隐藏推理内容的难度、追踪请求在账户和模型之间的转移，并拦截可疑请求。对于 API 开发者而言，这一点有两方面的重要影响：防护措施会改变集成行为，而且部分被拦截的请求现在也会计费。
蒸馏是利用更强大系统的回答训练较小模型的方法。Anthropic 认为，最有价值的蒸馏材料是 Claude 在给出最终回答前生成的完整推理记录。该公司早期测试显示，使用 Claude Opus 4.8 的完整对话转录训练的模型，在 SWE-bench Verified 上取得了 80.4%；使用精简版本训练时，得分为 71.8%。这些数字仅对应 Anthropic 的特定测试和实验，并非对模型质量的普遍评估。
防护覆盖多种提取途径
第一层措施是减少对外披露的推理内容。据 Anthropic 描述，实施这项措施后，相关尝试反而变得更活跃：请求开始直接要求输出隐藏的推理过程，之后还动用了代理网络和大量虚假账户。该公司称，其中一个网络同时管理着超过 2 万个账户。
新措施会限制受保护推理片段的转移范围。Anthropic 列举了在对话、模型和账户之间转移内容的做法，指出这些都是绕过单项防护的途径。该公司称，双阶段分类器如今能够识别其 9 月报告中描述的所有蒸馏手法，这些手法针对的是能力最强的公开模型。
Anthropic 根据蒸馏者在其平台上实际提取的推理令牌数量来评估成效。部署分类器后，这一指标较此前下降了 10 至 100 倍；个别日期的提取量低到无法测量。该公司还报告称，已封禁数万个与蒸馏有关的账户。这些数据反映的是 Anthropic 自身的遥测结果，并不包括通过第三方云服务和推理服务提供商提取的总量。
开发者会受到哪些影响
这项防护已经影响了一些合规集成。Anthropic 表示，保留推理内容的格式变化要求部分开发者更新应用；分类器将无害请求误判或拦截的比例低于 0.1%。自 9 月 24 日起，对于在这些误报率范围内、且在生成回答前就被停止的请求，Anthropic 会收取费用，其中包括涉及蒸馏的请求。
对于使用 API 的团队，实际建议是：推理内容处理方式变更后，应检查应用读取和保存哪些响应字段，以及如何处理拒绝响应或生成前拦截。还应注意，付费的被拦截请求可能会产生费用，却无法提供有用的回答。这对自动重试尤其重要：重复发送相同请求无法纠正分类结果，反而可能增加开支。
在新措施的说明中，Anthropic 承认，这套系统仍处于与攻击者持续较量的过程中：该公司尚不清楚目前的降幅能维持多久，也还没有遇到极为执着地尝试绕过更新后防护的攻击者。目前最明确的实际变化已经发生：开发者需要考虑更新后的推理内容处理方式、少量请求被拦截的可能性，以及部分被拒绝请求仍会计费的情况。