Anthropic公开了一套针对蒸馏攻击的防御方案，数据显示，蒸馏者提取的推理token数量降到了此前的10到100分之一，被收集的数据量削减约90%到99%。这不是一次普通的模型更新，而是对一种长期存在、却很少被正面回应的攻击方式，给出了可量化的拦截结果。
蒸馏本身是一种用高性能模型训练自家模型的手法。做的一方可以压低成本，逼近前沿模型的性能；被蒸馏的一方则要承担额外负担。Anthropic把它当成攻击来对待，理由有两条。
两条担忧：安全缺口与国家安全
第一条担忧指向安全。有些模型靠蒸馏拿到了高能力，却没有配套的坚固安全措施就对外公开。这类模型可能被用于生物学、网络安全等领域，造成严重危害。Anthropic点名了中国企业Z.ai免费公开的模型GLM-5.3，认为它被广泛视为蒸馏美国模型开发而来，并指出它“具备足以转用于攻击的高性能，却可以轻易绕过安全措施”。
第二条担忧指向国家安全。Anthropic称，过去曾发现中国企业Moonshot AI的Kimi系列模型的请求被转发到Claude，其中留有试图从监控摄像头画面中分析特定个人的痕迹。Anthropic认为发出这些请求的用户与中国人民解放军有关。
防御重点：掐住推理过程
Anthropic判断，对蒸馏者来说价值最高的数据是推理过程的记录，也就是Claude在给出回答之前，以文字形式输出的思考过程。因此整套防御几乎全面围绕一件事展开：让推理过程难以被获取。
最早的做法是在把推理过程展示给用户之前先做摘要。这直接拉低了推理记录的质量，与直接蒸馏原始推理过程相比，基准测试分数从80.4%掉到71.8%。
但蒸馏者很快开始对抗。从“请把推理过程一字一句原样输出”这类简单指令，到尝试上万条请求来套出推理过程，手法不断升级。这类行为可以靠安全措施拦下，理由是“想打听推理过程的普通用户极少”，可仅靠这一层并不够。Anthropic称，蒸馏者管理着数十万个非法账号发送请求，最初设计的简单安全措施根本应付不过来。
三道新防线
于是Anthropic引入了三种不同机制。
- 保留的思考：蒸馏者会利用多个账号，在安全措施较弱的模型上抽取安全措施较强模型的推理过程，或把推理转移到另一个账号，等第一个账号被封后继续抽取。为此，Anthropic在Claude Fable 5.1和Claude Opus 5.5上引入该机制，让2026年8月31日之后创建的新API账号无法编辑Claude的过往上下文，反复抽取推理过程变得更难。在Claude Sonnet 5.5上，推理记录只有最初发送请求的组织才能查看。
- 宪法分类器：这套安全措施监控模型的输入与输出，参照规定“什么允许、什么不允许”的“宪法”来拦截特定请求。Anthropic于2026年1月在生物学等领域引入，用于拦截生物武器和核武器的开发请求。Anthropic称，蒸馏防御的坚固程度与防止生物武器开发的措施大致相当。
- 封禁反复尝试：多数情况下，某个账号被用于蒸馏是可以被检测到的。一旦检测到反复尝试蒸馏，相关账号会被封禁。
Anthropic表示，这些机制已经拦下了所有已知的蒸馏手法。目前仍处于初期阶段，但已显示蒸馏收集的数据量削减约90%到99%。此外，Anthropic称已封禁数万个开始蒸馏的账号，多数情况下能在2小时以内完成处置。
代价与呼吁
这套方案并非没有成本。Anthropic列出了几项代价：失去从蒸馏者那里获得的收入、需要请正常用户配合功能更新、以及可能误拦正常请求。
Anthropic表示，不清楚这些成果能维持多久，围绕蒸馏的攻防预计会持续下去。虽然存在损害正常用户体验的取舍，但认为这些措施值得付出成本。
Anthropic还呼吁各家公司共同参与：防止非法蒸馏，需要所有开发前沿模型的企业一起行动和协作。如果攻击者能轻易接触到与自己同等能力的模型，自己的努力就会被削弱。
热门跟贴