Anthropic рассказала, как защищает Claude от дистилляции и сократила утечку данных на 90‑99%

12 октября Anthropic опубликовала отчёт, в котором описана работа новых мер по защите языковой модели Claude от дистилляции — процесса обучения чужих моделей на её ответах. По оценке компании, эти меры сократили объём данных, которые удаётся извлечь, в диапазоне от 90 до 99 %.

Основные угрозы и методы дистилляции

Дистилляция считается законным приёмом, однако Anthropic отмечает организованные кампании, при которых тысячи подставных аккаунтов запрашивают ответы Claude, чтобы за небольшую стоимость получить модель с сопоставимыми возможностями. Цель attackers — получить не просто готовые ответы, а внутренние цепочки рассуждений, которые значительно повышают качество обучения. Для этого они используют переводы на другие языки, вставку тегов рядом с ответом или подмену истории диалога, пытаясь заставить модель «вспомнить» скрытую информацию.

Три уровня защиты Claude

Сохранённые рассуждения

Начиная с версии Claude Fable 5.1 и Opus 5.5, а также для всех API‑аккаунтов, созданных после 31 августа, внедрён механизм сохранения рассуждений. Такие аккаунты не могут редактировать прошлый контекст диалога и многократно переигрывать запрос в попытке подобрать ключ к скрытой части. В модели Sonnet 5.5 доступ к рассуждениям имеет только организация, чей запрос их породил.

Двухступенчатый классификатор

Отдельная система, обученная на записях реальных атак и протестированная «красными командами», распознаёт попытки дистилляции. Доля ложных срабатываний составляет менее 0,1 %. После полного включения классификатора объём извлекаемых рассуждений снизился в 10–100 раз.

Блокировки подозрительных аккаунтов

Система блокирует десятки тысяч аккаунтов, связанных с дистилляцией, часто уже в первые два часа после начала кампании. По словам Anthropic, надёжность этого уровня сравнима с защитой от запросов о биологическом оружии.

Защита действует в Claude Sonnet 5.5, Opus 5 и 5.5, Fable 5 и 5.1. Старым моделям с низкой степенью защиты запрещён доступ к рассуждениям новых версий.

Масштаб атак и реальные примеры

Случай Zhipu и модель GLM-5.3

В отчёте приведён пример китайской лаборатории Zhipu, которая при разработке открытой модели GLM-5.3 пыталась перенять навыки в области кибербезопасности у ведущих американских моделей через Claude Fable 5. Защита помешала этой попытке, после чего Zhipu переключилась на более старую версию Claude и модель другой лаборатории. Американские экспееры оценили GLM-5.3 как сильнейшую открытую модель в киберзадачах на момент выхода, отметив, что её ограничения легко обходятся и она способна разработать эксплойт от начала до конца.

Отчёт также указывает на масштаб используемой инфраструктуры: одна прокси‑сеть управляла более чем 20 000 фальшивыми аккаунтами, attackers использовали украденные платёжные данные и поддельные документы, а одна из лабораторий сделала около 12 000 попыток обмана модели.

Влияние на обычных пользователей и разработчиков

Для рядовых пользователей приложения Claude изменения практически незаметны — их диалоги не попадают под проверку классификатора. Однако часть издержек легла на добросовестных клиентов: некоторым разработчикам потребовалось адаптировать код под новые правила работы с сохранёнными рассуждениями, а также вводится оплата за заблокированные запросы (при низком уровне ложных срабатываний) и ужесточение лимитов для тех, кто систематически пытается извлечь рассуждения.

Anthropic признаёт, что отказалась от заметной выручки и триллионов токенов платного трафика, но считает, что публикация методов защиты демонстрирует существование рабочей альтернативы борьбе с дистилляцией.

Выводы и дальнейшие проверки

Если показатели сокращения утечки данных в диапазоне 90‑99 % сохранятся на длительном периоде, то появление дешёвых клонов флагманских моделей замедлится. Это даст Anthropic дополнительное время, а разрыв между лидерами и догоняющими будет сокращаться медленнее. Проверка эффективности защиты планируется на следующей волне китайских моделей: сила их рассуждений станет индикатором того, сработала ли мера против дистилляции.