Anthropic 封堵蒸餾攻擊，Claude 資料遭擷取量減少九成以上
Anthropic 美國時間 12 日發表研究文章，公開近幾個月對抗「蒸餾攻擊」的新防護措施，並表示初步證據顯示，蒸餾者從 Claude 擷取到的資料量已減少約 90% 到 99%。
蒸餾攻擊是指在未經原開發商授權下，大規模套取一個模型的能力，再複製到另一個模型上，通常透過大量假帳號進行，能以一小部分的時間與成本追上前沿模型。Anthropic 9 月曾發布報告指出，海外 AI 實驗室大量以這種方式追趕美國公司。
智譜試圖蒸餾 Claude Fable 5，Kimi 請求被暗中轉給 Claude
Anthropic 列出兩項擔憂。第一，蒸餾出的模型能力接近前沿，卻沒有相應的安全防護，可能被用在生物與資安領域造成重大危害。文章舉例，智譜在開發 GLM-5.3 時蒸餾了美國頂尖模型的資安能力，曾試圖蒸餾 Claude Fable 5，但發現 Claude 的資安防護削弱了攻擊效果後，改用較舊的 Claude 模型與另一家實驗室的模型。美國超級智慧標準機構 CAISSI 其後評估 GLM-5.3 是目前資安能力最強的開放權重模型，Anthropic 自己的研究也發現 GLM-5.3 的防護很容易被繞過。
廣告 - 內文未完請往下捲動
第二是國家安全風險。Anthropic 指出，蒸餾美國模型的公司會把取得的能力整合進外國軍事、情報與監控系統。文章提到一個案例，送給月之暗面 Kimi 模型的請求被暗中轉發給 Claude，其中一則來自 Anthropic 認為與中國人民解放軍有關的用戶，要求分析特定個人的監視器影像。
新分類器誤判率低於 0.1%，強度比照生物武器防護
蒸餾者最想要的是 Claude 回答前寫出的推理過程，因此 Anthropic 的防護幾乎都集中在讓推理內容更難被取得。早期做法是先摘要推理再顯示給用戶，Anthropic 測試發現，用 Claude Opus 4.8 完整推理紀錄訓練的模型在 SWE-bench Verified 程式測驗得到 80.4%，只用摘要版訓練則降到 71.8%。但攻擊者隨即改為主動誘導 Claude 吐出完整推理，有一家實驗室測試了 1.2 萬種不同的誘導請求；2 月時 Anthropic 也揭露過一個同時操控逾 2 萬個假帳號的代理網路。
新的防護分三層。第一是控制推理內容的去向：Claude Fable 5.1 與 Claude Opus 5.5 導入「保留思考」機制，2026 年 8 月 31 日以後建立的 API 帳號不能修改 Claude 先前的對話內容，這兩款模型的推理也不能被防護較弱的舊模型讀取；Claude Sonnet 5.5 的推理紀錄則只有發出請求的組織能存取。
第二是攔截擷取嘗試。Anthropic 打造了雙層分類器系統，並以蒸餾者的攻擊紀錄進行內外部紅隊測試，稱防護強度已大致與防止 Claude 協助製造生物武器的機制相當，誤判率低於 0.1%。這套系統目前部署在 Claude Sonnet 5.5、Opus 5 與 5.5、Fable 5 與 5.1 上，也已封堵要求 Claude 把推理翻成其他語言、或用標籤寫在答案旁等新手法。第三是讓反覆嘗試變困難：持續嘗試擷取推理的用戶會面臨更嚴格的用量限制，屢犯者帳號會被封鎖；自 9 月 24 日起，在誤判率低於 0.1% 的特定領域（包括蒸餾），被防護攔下的請求也恢復收費。
擷取量降至十分之一到百分之一，代價是推掉付費流量
Anthropic 表示，分類器上線後，蒸餾者在其平台擷取到的推理 token 數量穩定降到原本的十分之一到百分之一，有些日子甚至少到無法量測；目前已封鎖數萬個與蒸餾有關的帳號，往往在帳號開始蒸餾後不到兩小時就封鎖。不過 Anthropic 也坦言，不知道這些成效能維持多久，預期蒸餾會是持續的貓捉老鼠遊戲，且尚未遇到高度精密、持續性的繞過嘗試。
這些措施也有代價。Anthropic 表示，公司已推掉可觀的營收與數兆 token 的蒸餾者付費流量；「保留思考」機制讓部分開發者必須更新串接方式，分類器也會在不到 0.1% 的情況下誤擋正常請求，而這些被擋下的請求同樣要付費。Anthropic 指出，蒸餾者會把流量分散到 Anthropic API、第三方雲端平台與其他推論服務商，因此呼籲其他模型開發商與平台一起偵測並清除假帳號。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
