Anthropic正在将反蒸馏攻击的战线从被动防御转向主动出击，并首次公开披露其技术成果与代价。
10月12日，这家AI公司表示，其针对Claude模型的最新反蒸馏防御体系已将攻击者提取的推理数据量压缩至此前的1%至10%，降幅高达90%至99%。
与此同时，Anthropic已封禁数万个与蒸馏行为相关的账号，部分账号在发起攻击后不到两小时内即遭处置。公司坦承，上述防御措施带来了真实的商业代价：被迫拒绝了来自蒸馏者的大量付费流量，涉及数以万亿计的token。
三重防御体系：从分类器到账号封禁
Anthropic表示，蒸馏者最感兴趣的数据并非模型的最终输出，而是Claude在作答前写出的"推理过程"。
该公司的评测显示，在Claude Opus 4.8的完整推理记录上训练的蒸馏模型，在SWE-bench Verified编程基准测试中可达到80.4%的得分；而若仅使用经摘要处理的推理记录，得分则降至71.8%。
面对攻击手法的持续升级，Anthropic构建了一套三层防御架构。
第一层是推理数据的访问管控。
针对Claude Fable 5.1和Claude Opus 5.5，Anthropic推出了"保留思维"（preserved thinking）功能：2026年8月31日之后创建的新API账号无法编辑Claude的上下文历史，从而切断攻击者通过代理网络反复尝试提取受保护推理内容的路径。此外，较早版本模型无法读取新模型的推理记录，而Claude Sonnet 5.5的推理内容仅限于发出请求的原始机构访问。
第二层是构建双阶段分类器，阻止并修复提取尝试。
该分类器的误报率低于0.1%，其已接近Anthropic用于防止Claude协助生物武器研发的安全护栏水平，目前部署于Claude Sonnet 5.5、Claude Opus 5和5.5、Claude Fable 5和5.1等主力商用模型上。Anthropic表示，该系统已拦截多种新型攻击手法，包括要求Claude将此前推理翻译成另一种语言，或将推理内容写入特定标签的尝试。
第三层是重复尝试的成本化机制。
持续尝试提取推理内容的账号将面临更严格的使用限额；自2026年9月24日起，Anthropic已恢复对被安全护栏拦截的请求收费——前提是该护栏的误报率低于0.1%。此举旨在通过提高经济成本来遏制攻击者的持续骚扰。
放弃了"有实质意义的收入"
Anthropic并未回避这套防御体系带来的现实摩擦。公司承认，"保留思维"功能要求部分开发者更新现有集成；分类器存在极少比例的误拦截情况；被拦截的请求也需照常收费，这对误触边界的合法用户造成了实际影响。
更显著的代价体现在营收层面。Anthropic明确表示，已因拒绝蒸馏者的付费流量而放弃了"有实质意义的收入"，涉及数以万亿计的token。公司坦言，行业内的激励机制往往指向相反方向——防御成本高昂，而非法蒸馏者仍是付费客户，这使得"什么都不做"成为更省力的选择。
公司表示，此次公开披露防御方法的目的，在于向行业证明有效防御并非遥不可及，并敦促其他模型开发者、平台及推理服务提供商共同建立反蒸馏防线，否则攻击者只需转向防护较弱的替代模型，单一厂商的防御努力便可能前功尽弃。
