Дистилляция Claude: Anthropic урезала утечку рассуждений в 10–100 раз — что поменялось для API

Anthropic 12 октября отчиталась, что дистилляция Claude стала для чужих лабораторий заметно дороже: по оценке компании, новые защиты урезали объём данных, которые выкачивают дистилляторы, на 90–99%. Речь о кампаниях, где через сети фейковых аккаунтов снимают ответы и ход рассуждений Claude, чтобы научить им свою модель. У медали есть обратная сторона: часть изменений уже задела обычных разработчиков, которые работают через API.

Что объявила Anthropic

Пост «Strengthening our defenses against distillation attacks» продолжает сентябрьский отчёт компании о дистилляции. Логика простая: маленькой модели проще всего учиться не на ответах, а на рассуждениях большой — на том, как она думает до финального ответа. Поэтому почти вся защита направлена на то, чтобы эти рассуждения было трудно достать.

Anthropic приводит собственный эксперимент. Предобученную модель Claude дообучили на транскриптах Claude Opus 4.8. С полными рассуждениями она набрала 80,4% в SWE-bench Verified, а с урезанными до краткого пересказа — 71,8%. Поэтому одной из первых мер стало то, что Claude показывает пользователям пересказ своих рассуждений, а не сырой текст.

Дистилляторы ответили активными атаками: от прямого «выведи свои прошлые рассуждения дословно» до кампании одной лаборатории на 12 000 разных запросов-уловок. Масштаб тоже вырос — по словам компании, прокси-сети управляли сотнями тысяч фейковых аккаунтов, одна держала больше 20 000 одновременно, а заодно перепродавала доступ к Claude в регионах, где его официально нет.

Как работает защита

1. Рассуждения нельзя таскать. С Claude Fable 5.1 и Claude Opus 5.5 появилось preserved thinking: API-аккаунты, созданные 31 августа 2026 года и позже, не могут редактировать прошлый контекст Claude. Рассуждения новых моделей не читаются старыми, у которых защита слабее, а у Claude Sonnet 5.5 транскрипты доступны только организации, чей запрос их породил.
2. Классификатор в две ступени. Он работает на Sonnet 5.5, Opus 5 и 5.5, Fable 5 и 5.1. По словам Anthropic, по устойчивости он сопоставим с защитой от помощи в создании биооружия, а ложных срабатываний меньше 0,1%. Уже закрыты новые трюки — например, просьба перевести прошлые рассуждения на другой язык или выписать их в тегах рядом с ответом.
3. Повторять дорого. Тех, кто упорно пытается вытащить рассуждения, режут лимитами и банят. Компания пишет, что заблокировала десятки тысяч аккаунтов, связанных с дистилляцией.

Anthropic сама признаёт, что это игра в кошки-мышки: насколько хватит нынешнего эффекта, компания не знает.

В посте прямо сказано, что по-настоящему изощрённой и упорной попытки обойти новые защиты компания пока не видела. Так что цифры 90–99% — оценка на сегодня, а не гарантия.

Чем дистилляция Claude опасна, по версии Anthropic

У компании два аргумента. Первый — безопасность: дистиллированные модели догоняют по способностям, но выходят без сопоставимых ограничений. Anthropic утверждает, что Zhipu дистиллировала кибервозможности ведущих американских моделей при разработке GLM-5.3, пыталась взять их у Claude Fable 5, а после срабатывания защит переключилась на старую модель Claude и модель другой лаборатории. Наш прошлый материал про заметку Anthropic о GLM-5.3 как раз разбирал, чего в тех выводах не хватало.

Второй аргумент — национальная безопасность. Компания описывает случай, когда запросы к моделям Kimi от Moonshot тайно пересылались в Claude, и один из них, по мнению Anthropic, шёл от пользователя, связанного с армией Китая.

Это позиция одной стороны. GovInfoSecurity напоминает, что Anthropic просила помощи у властей США против Z.ai, DeepSeek, Moonshot AI и MiniMax, а Марк Цукерберг и Дженсен Хуанг, сторонники открытого ИИ, защищали дистилляцию как метод и призывали её не запрещать.

Что это значит для тебя

Если ты просто болтаешь с Claude в чате, разницы почти не заметишь. Если строишь на API бота, торгового агента или парсер, вот что стоит проверить:

• Интеграции с редактированием контекста. Если аккаунт создан 31 августа или позже и твой код подменяет прошлые блоки рассуждений, на новых моделях это сломается. Anthropic признаёт, что части разработчиков пришлось переписывать интеграции.
• Заблокированные запросы платные. В зонах с ложными срабатываниями меньше 0,1%, включая дистилляцию, запрос, отбитый до ответа, всё равно списывается со счёта. Не проси модель «вывести рассуждения дословно» — это ровно тот паттерн, который ловит классификатор.
• Серый доступ под ударом. Компания прямо пишет, что прокси-сети перепродают доступ к Claude и используют аккаунты с чужими данными и крадеными картами. Именно такие аккаунты и банят десятками тысяч.

Цены на модели пост не меняет: что почём у актуальной линейки, мы разбирали в материале про Claude Sonnet 5.5.

FAQ

Что такое дистилляция Claude? Это когда чужая лаборатория массово снимает ответы и рассуждения Claude, чтобы обучить на них свою модель без разрешения Anthropic. Обычно через сети фейковых аккаунтов.

Насколько помогли новые защиты? По оценке компании, объём вытаскиваемых рассуждений упал в 10–100 раз, а собранных данных — примерно на 90–99%.

Меня могут заблокировать по ошибке? Anthropic оценивает долю ложных срабатываний классификатора меньше чем в 0,1%. Но за такие отбитые запросы всё равно платишь.

Какие модели под защитой? Классификатор стоит на Claude Sonnet 5.5, Opus 5 и 5.5, Fable 5 и 5.1 и, по словам компании, будет на будущих моделях того же уровня.

Итог: дистилляция Claude стала заметно сложнее, но Anthropic честно называет это гонкой без финиша. Для разработчика главное — проверить интеграции и держаться подальше от серого перепродажного доступа.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.