Кампания Moonshot вела в Claude запросы, похожие на военные

Anthropic заявила, что Moonshot AI скрытно направляла в Claude запросы пользователей своей модели Kimi: почти 300 000 обращений за один десятидневный период, преимущественно к Opus. Отчёт компании о дистилляционных кампаниях китайских лабораторий вышел в четверг, о претензиях именно к Moonshot сообщает Bloomberg.

Коротко

• В отчёте кампанию Moonshot описывают так, будто часть запросов поступала напрямую от китайских военных: в одном Claude просили оценить записи камер наблюдения и определить, «ведёт ли себя субъект необычно».
• Всего Anthropic насчитала почти 200 миллионов обменов в пяти кампаниях, крупнейшую приписали Alibaba: 151 миллион обменов с мая по июль 2026 года с пиком около трёх миллионов в сутки.
• Anthropic уже говорила о дистилляционных атаках в феврале и называла конкретные лаборатории, а OpenAI сообщала о похожей активности со стороны DeepSeek; нынешние кампании в отчёте описаны как более масштабные и агрессивные.

Для лаборатории, продающей доступ через API, история упирается в контроль доступа: география и верификация аккаунтов поддаются проверке легче, чем удержание собственных рассуждений внутри модели. Судя по описанию отчёта, дистилляция перестала быть разовыми экспериментами и превратилась в поточный процесс с тысячами аккаунтов и повторяющимися промптами. Для аудитории Kimi это выглядит как сюжет о том, что источник ответа может отличаться от заявленного в продукте.

Запросы шли через тысячи фальшивых аккаунтов в обход географических ограничений

Запросы поступали от пользователей Kimi и переадресовывались в Claude без их ведома. Шли они через сеть фальшивых аккаунтов: по данным Bloomberg Law, их было 5380, тогда как TechCrunch, описывая ту же кампанию, называет цифру в 5000 аккаунтов. Anthropic не открывает доступ к своим технологиям изнутри Китая, отмечает Bloomberg Law.

Кампанию Moonshot в отчёте описывают так, будто часть запросов поступала напрямую от китайских военных. В одном из них Claude просили изучить массив записей с камер видеонаблюдения и определить, «ведёт ли себя субъект необычно». Отдельно перечислены возможности Claude, за которыми охотились кампании: агентное поведение и работа с инструментами, программирование и анализ данных, логические рассуждения.

Кампанию со 151 миллионом обменов Anthropic приписала Alibaba

Крупнейшей из пяти кампаний в отчёте названа связанная с Alibaba: с мая по июль 2026 года Anthropic зафиксировала 151 миллион обменов, а на пике их число доходило почти до трёх миллионов в сутки. В компании называют это самой масштабной оптовой дистилляцией, которую ей доводилось наблюдать.

Обмены распределялись по 3500 аккаунтам, но их объединял один и тот же фиксированный промпт для извлечения цепочки рассуждений. На этом основании Anthropic свела их в одну кампанию и считает, что материал собирался для обучения моделей семейства Qwen. По всем пяти кампаниям компания насчитала почти 200 миллионов обменов.

Claude показывает сводку размышлений, а кампании добивались самих следов

Дистилляция сводится к тому, что из ответов модели вытягивают цепочку рассуждений, а затем на этом материале через supervised fine-tuning дообучают модель поменьше. Anthropic обычно не отдаёт пользователю внутренние рассуждения Claude и показывает вместо них сводные блоки размышлений.

Атакующие нашли приёмы, заставляющие модель выдавать сами следы. В одном случае запрос оформили как задачу перевода: модели предлагали выступить экспертом-переводчиком и перевести «предыдущую рабочую память» в японский, записанный только катаканой. В отчёте говорится, что за последние месяцы неавторизованные лаборатории научились всё изощрённее обходить защиты и снимать возможности американских фронтирных моделей.

Anthropic публично говорила о дистилляционных атаках ещё в феврале и называла тогда конкретные лаборатории. О похожей активности сообщала OpenAI, связывая её с DeepSeek; кампании из нового отчёта, по описанию самой Anthropic, крупнее и агрессивнее прежних. По данным TechCrunch, в отчёте разобраны кампании Alibaba, Moonshot AI и DeepSeek.

Что осталось без цифр

Кампаний в отчёте пять, но подробно, по описанию TechCrunch, разобраны три: Alibaba, Moonshot AI и DeepSeek. По кампании DeepSeek в доступных материалах не приводится ни временного окна, ни объёма обменов, сопоставимых с цифрами по Alibaba и Moonshot. Не сказано и о том, что стало с аккаунтами, через которые шли запросы, и меняет ли Anthropic правила доступа.