Anthropic спрятала рассуждения Claude от дистилляторов

Один из свежих трюков дистилляторов: попросить Claude перевести собственные скрытые рассуждения на другой язык или выписать их в тегах рядом с ответом. Anthropic закрыла обе лазейки. Как рассказывает Anthropic в своём блоге, по ранним данным новая защита сократила объём данных, которые собирают дистилляторы, примерно на 90–99%.

Коротко

• Anthropic защитила рассуждения Claude в три слоя: новые аккаунты API не могут править прошлый контекст, двухэтапный классификатор ловит попытки выудить рассуждения, а упорных ограничивают лимитами и банят.
• Модель, которую учили на полных рассуждениях Claude Opus 4.8, набрала 80,4% на SWE-bench Verified, а на их пересказе 71,8%; после запуска классификатора утечка рассуждений упала в 10–100 раз.
• У защиты есть цена: части разработчиков пришлось обновить интеграции, классификатор ошибается менее чем в 0,1% случаев, а с 24 сентября за заблокированные запросы платят сами пользователи.

Если вы не следили: дистилляция означает обучение модели послабее на ответах модели посильнее. По словам Anthropic, лаборатории постоянно так ужимают собственные модели, а проблемой это становится, когда без спроса копируют чужую. Как утверждала Anthropic в февральском отчёте, DeepSeek, Moonshot и MiniMax провели через примерно 24 000 фальшивых аккаунтов более 16 миллионов обменов с Claude.

Zhipu ушла с Claude Fable 5 на более старый Claude, когда защита ослабила её атаки

Свою настойчивость Anthropic объясняет двумя причинами. Первая: дистиллированные модели выходят без сопоставимой защиты. По словам Anthropic, Zhipu дистиллировала кибервозможности ведущих американских моделей для GLM-5.3. Сначала она пробовала Claude Fable 5, но, когда защита ослабила её атаки, переключилась на более старый Claude и модель другой лаборатории.

Американский центр CAISSI затем назвал GLM-5.3 самой сильной в кибератаках открытой моделью из выпущенных на сегодня. Собственное исследование Anthropic показало, что защиту GLM-5.3 легко обойти, а сама модель готова разрабатывать эксплойты от начала до конца.

Вторая причина касается национальной безопасности. Anthropic описывает случай, когда запросы к моделям Kimi от Moonshot тайно пересылались в Claude. Один из них, по оценке Anthropic от пользователя, связанного с Народно-освободительной армией Китая, касался анализа записей камер наблюдения за конкретным человеком.

Пересказ рассуждений опустил ученика с 80,4% до 71,8% на SWE-bench Verified

Дистиллятору нужны миллионы ответов большой модели, чтобы научить маленькую ей подражать. Ценнее всего рассуждения, которые Claude пишет перед ответом: по ним ученик видит, как модель приходит к результату. Поэтому первой мерой стал пересказ рассуждений вместо полного текста. Предобученная модель Claude, доученная на полных транскриптах Claude Opus 4.8, набрала 80,4% на SWE-bench Verified, на пересказанных 71,8%.

Тогда дистилляторы перешли к активному выуживанию: от прямой просьбы вывести прошлые рассуждения дословно, символ в символ, до перебора 12 000 запросов одной лабораторией, каждый со своим способом обмана. Ловить такое можно, потому что обычные пользователи почти никогда не просят модель выписать скрытые рассуждения.

Первые простые фильтры дистилляторы обошли и поставили обход на поток. Прокси-сети управляли сотнями тысяч фальшивых аккаунтов, перепродавали доступ к Claude там, где он не предлагается, и регистрировали аккаунты на чужие личности с украденными платёжными данными. По февральскому отчёту Anthropic, одна такая сеть держала больше 20 000 аккаунтов одновременно.

Новые аккаунты API не могут править контекст Claude, а классификатор ошибается реже чем в 0,1% случаев

Дистилляторы переносили защищённые блоки рассуждений между разговорами, чтобы Claude решил, что полный текст у собеседника уже есть. Ещё они вытягивали рассуждения через модель со слабой защитой и продолжали попытки через прокси-сети после бана аккаунта.

Ответ называется preserved thinking и появился в Claude Fable 5.1 и Claude Opus 5.5: аккаунты API, созданные 31 августа 2026 года или позже, не могут редактировать предыдущий контекст Claude. Представьте протокол, к которому можно дописывать, но нельзя переписать прошлые страницы. Рассуждения этих моделей закрыты от более ранних моделей со слабой защитой, а в Claude Sonnet 5.5 транскрипт видит только организация, чей запрос его породил.

Второй слой собран по образцу защиты от помощи с кибератаками и биологией: двухэтапный классификатор того же типа, что в исследовании конституционных классификаторов Anthropic. Его атаковали внутренние и внешние red team на реальных транскриптах дистилляторов, а найденные дыры закрывали. По оценке Anthropic, стойкость теперь примерно как у фильтров против биооружия, а ложных срабатываний меньше 0,1%.

Классификатор работает на Claude Sonnet 5.5, Opus 5 и 5.5, Fable 5 и 5.1. Новые обходы латают по мере обнаружения, среди них уже упомянутые перевод рассуждений на другой язык и вывод в тегах.

После запуска классификатора рассуждений утекает в 10–100 раз меньше

Третий слой бьёт по повторным попыткам. Аккаунты, которые раз за разом пытаются выудить рассуждения, получают более жёсткие лимиты, за упорство их банят. С 24 сентября Anthropic снова берёт плату за запросы, заблокированные до ответа Claude, в областях с долей ложных срабатываний меньше 0,1%, включая дистилляцию.

Anthropic оценивает, сколько токенов рассуждений дистилляторы вытянули на её собственной платформе. После запуска классификатора эта цифра стабильно в 10–100 раз ниже прежней, а в отдельные дни утечку не удавалось даже измерить. На самых мощных общедоступных моделях классификатор ловит все техники из сентябрьского отчёта. Забанены десятки тысяч связанных с дистилляцией аккаунтов, часто меньше чем через два часа после старта кампании.

Даром защита не далась: Anthropic отказалась от заметной выручки и триллионов токенов платного трафика дистилляторов. В феврале компания писала, что работает над защитой, не задевающей честных пользователей, и признаёт, что этой цели достигла не полностью: preserved thinking заставил часть разработчиков обновить интеграции, а классификатор иногда блокирует безобидные запросы.

Главная оговорка исходит от самой Anthropic: по-настоящему изощрённой и упорной попытки обойти новую защиту она ещё не видела и не знает, сколько продержится эффект. Все цифры утечки к тому же посчитаны только на собственной платформе. На наш взгляд, спорнее всего плата за заблокированные запросы: доля ошибок меньше 0,1% мала, но в этих случаях ошибку классификатора оплачивает честный клиент.

Какие модели получат классификатор следующими. Anthropic планирует ставить двухэтапный классификатор на будущие модели, которые будут так же привлекательны для дистилляторов, и ждёт, что атакующие найдут новые обходы. Компания называет происходящее игрой в кошки-мышки и собирается продолжать доработку. Ни сроков следующего отчёта, ни порога, после которого защиту сочтут взломанной, Anthropic не называет, так что продержатся ли нынешние 90–99%, пока неизвестно.