Anthropic称其新防护措施将针对模型蒸馏攻击的数据提取量在自家平台上减少约90%至99%，并通过推理内容流转限制、两阶段分类器与账号处置等手段阻断提取尝试，但公司承认数据来自自测且会带来误报、开发者集成更新和拦截请求计费等代价。
Anthropic表示，针对模型蒸馏攻击推出的新一轮防护措施，已使攻击者从Claude推理过程中提取的数据量较此前减少约90%至99%。不过，这一数字来自Anthropic对自有平台的测量，公司也承认，新措施会带来误报、开发者需要更新集成，以及被拦截请求仍可能产生费用等代价。
Anthropic在2026年10月12日发布的官方研究文章中说，新的防护体系结合了推理内容流转控制、两阶段分类器和针对重复尝试的账号处置。路透社在10月13日发布的交叉报道也报道了这一进展。路透社稿件以10月12日为新闻电头日期，而页面显示为10月13日更新；Anthropic官方页面的发布日期是10月12日。
防护重点从“隐藏答案”转向“控制推理内容流向”
所谓模型蒸馏，是让能力较弱的模型大量学习能力更强模型的输出，以较低成本复制后者的部分能力。蒸馏本身是模型开发中的常见技术，但未经授权地大规模调用竞争对手的模型，尤其是提取其受保护的推理内容，则可能成为一种工业化的数据获取方式。
Anthropic说，推理过程比最终答案更有训练价值，因为它能向另一个模型展示复杂任务是如何被拆解和完成的。公司此前曾通过摘要化处理减少推理记录的信息量，但攻击者随后转向主动提取：他们会设计大量提示，诱导模型逐字输出此前隐藏的推理内容。
新措施的第一部分是限制推理内容在不同会话、模型和账号之间流动。对于2026年8月31日或之后创建的新API账号，Claude Fable 5.1和Claude Opus 5.5引入了“保留思考”（preserved thinking）机制，禁止新账号编辑Claude此前的上下文。Anthropic称，这会增加攻击者利用代理网络反复尝试提取受保护推理的难度。
公司还表示，Fable 5.1和Opus 5.5的推理内容不会被早期、反蒸馏防护较弱的模型读取；在Claude Sonnet 5.5中，推理记录则只对产生相关请求的组织可见。
两阶段分类器识别提取尝试
第二部分是识别和阻断。Anthropic表示，公司建立了一个两阶段分类器系统，并利用此前发现的蒸馏尝试进行内部和外部红队测试，再修补测试中暴露的弱点。
该分类器目前覆盖Claude Sonnet 5.5、Claude Opus 5和5.5，以及Claude Fable 5和5.1等面向一般用户提供的高能力模型。Anthropic称，这套防护的稳健程度“大致相当于”用于阻止Claude协助制造生物武器的安全措施，误报率低于0.1%。
不过，这里的误报率和防护效果都是Anthropic披露的自测结果，并非独立机构对其平台的审计。公司也没有声称所有蒸馏活动都已被阻止。Anthropic表示，攻击者仍可能找到新的规避方法，因此防护需要持续迭代。
第三部分是提高重复尝试的成本。公司称，持续尝试提取推理内容的账号会受到更严格的使用限制；一旦发现持续而有组织的蒸馏活动，相关账号会被封禁。自9月24日起，在误报率低于0.1%的特定领域，Anthropic还恢复对在Claude回应前就被防护系统拦截的请求收费。
公司称推理令牌提取量降至原来的十分之一至百分之一
Anthropic用自有平台上的推理令牌数量衡量防护效果。公司说，在部署分类器后，蒸馏者提取到的Claude推理令牌数量持续低于此前水平的十分之一至百分之一；在部分日期，提取量甚至低到无法测量。
Anthropic还称，相关措施已经封禁数万个与蒸馏有关的账号，部分账号在活动开始后不到两小时便被处置。路透社报道也引用了“数万个账号”以及“10倍至100倍下降”等说法，并提到Z.ai（智谱）在开发GLM-5.3期间曾尝试提取Claude能力；Z.ai当时没有立即回应路透社的置评请求。
这些数字需要保留来源限定。它们描述的是Anthropic在自己平台上观察到的推理内容提取量和账号处置情况，并不等同于对所有模型蒸馏活动、所有平台或攻击者最终获得的数据量作出的独立统计。
Anthropic此前在一份关于检测和阻止蒸馏攻击的披露中称，DeepSeek、Moonshot和MiniMax相关活动曾通过约2.4万个欺诈账号与Claude产生超过1600万次交互。那份披露讨论的是此前识别到的攻击活动，本次研究则主要聚焦于新的防护措施及其在Anthropic平台上的测量结果，二者不能简单相加或视为同一项行动。
这是一场持续的攻防博弈
模型供应商面临的核心难题，是在保护模型能力的同时不阻断正常的开发、评测和研究活动。Anthropic承认，保留思考机制已经要求部分开发者更新集成；分类器也可能在少于0.1%的情况下误识别或拦截合法请求，而且被拦截的请求仍可能收费。
更大的问题在于，蒸馏攻击并不只发生在一个API入口。Anthropic称，攻击者会把流量分散到自己的API、第三方云平台和其他推理服务商，利用大量欺诈账号和代理服务维持访问。只要不同平台之间的检测和处置存在明显差异，攻击者就可能把一个平台的防护弱点转化为另一个平台的数据来源。
因此，Anthropic呼吁模型开发者、云服务商和其他平台共同识别协调式滥用。公司认为，防护成本较高，而蒸馏者又是付费客户，行业存在“什么也不做”或投入不足的商业诱因。但如果被蒸馏的模型缺少原模型的生物安全、网络安全等限制，能力复制就可能同时带来安全和国家安全风险。
Anthropic没有给出这些防护效果能够维持多久的结论。公司表示，尚未观察到高度复杂且长期坚持的攻击者完全绕过新系统的案例，但预计攻击者会继续改进提取方法。换句话说，90%至99%的下降更像是当前阶段的防守结果，而不是蒸馏问题已经解决的证明。
这一趋势也延续了行业近期对模型能力提取的关注。AIFlux此前报道的OpenAI披露协同式模型蒸馏行动同样指出，攻击者可能通过大量账号、不同访问路径和自动化提示，集中获取闭源模型最有价值的能力。随着推理模型和智能体系统成为竞争重点，控制“谁能看到模型如何思考”，可能会与控制模型本身同样重要。