Anthropic перекрыла кран дистилляторам и срезала утечку рассуждений Claude на 90-99%

Anthropic заявила, что новые защитные механизмы сократили объём данных, которые конкуренты вытягивают из Claude методом дистилляции, на 90-99%. Компания усложнила автоматический сбор внутренних рассуждений нейросети, зажала массовые запросы через прокси-сети и забанила десятки тысяч аккаунтов, связанных с подобными кампаниями. Об этом 12 октября сообщило Reuters со ссылкой на Anthropic.

Дистилляция сводится к тому, что небольшая модель забрасывает большую вопросами и учится на ответах, вместо того чтобы годами пыхтеть над собственным обучением и сжигать миллионы на GPU. Это почти списывание у отличника. Сам по себе метод легален, и разработчики ИИ используют его для быстрых и дешёвых версий своих моделей. Проблемы начинаются, когда чужая команда без разрешения гоняет закрытый сервис через армию аккаунтов и тащит чужие навыки к себе.

Через сеть аккаунтов конкуренты выкачивают три вида материала для обучения своих систем:

• готовые ответы на сложные задачи для обучающей выборки;
• фирменные приёмы в программировании и анализе данных;
• пошаговые рассуждения, из которых клон учится думать как оригинал.

Anthropic беспокоят и защитные ограничения, ведь скопированная модель наследует навыки оригинала, а встроенные тормоза против злоупотреблений ей никто не гарантирует.

Главная мера касается доступа к подробным рассуждениям Claude. Для обучения клона промежуточные шаги, где виден путь к решению, ценятся выше финального ответа. Раньше Anthropic просила модель сокращать описание рассуждений, но атакующие научились выбивать скрытое из Claude и перебирали для этого тысячи формулировок. Поэтому компания перешла от урезания к контролю над тем, как модели передают контекст между собой.

Интересно, что на тесте SWE-bench Verified модель, обученная на полных записях рассуждений Claude Opus 4.8, набрала 80,4%, а версия с сокращёнными записями выдала 71,8%. Разница почти в девять процентных пунктов показывает цену промежуточных мыслей нейросети.

Защита держится на трёх уровнях:

• рассуждения привязаны к владельцу, для Claude Fable 5.1 и Claude Opus 5.5 новым API-аккаунтам запретили редактировать прежний контекст, а записи рассуждений Claude Sonnet 5.5 видны только создавшей их организации;
• двухэтапный классификатор проверяет запросы до выдачи ответа и пополняет базу найденных обходов, а похожие методы раньше применяли против опасного использования ИИ в кибербезопасности и биологии;
• подозрительные аккаунты получают жёсткие лимиты или улетают в бан, а с 24 сентября Anthropic снова берёт плату за часть запросов, отклонённых защитой до генерации ответа.

После внедрения мер объём рассуждений Claude, которые удавалось собрать на платформе Anthropic, уменьшился от 10 до 100 раз. Доля ложных срабатываний, по заявлению Anthropic, ниже 0,1%, но часть разработчиков уже переделала интеграции под новые правила работы с контекстом.

Россия не входит в список поддерживаемых регионов Anthropic, поэтому многие российские разработчики ходят в Claude через посредников и прокси-сервисы. Блокировки связанных аккаунтов и плата за отклонённые запросы могут задеть и тех, кто просто пишет код с помощью модели.

Цифры стоит читать с оглядкой на оговорки самой компании:

• сокращение на 90-99% относится к данным на платформе Anthropic, а не ко всем попыткам копирования моделей в мире;
• окончательным решением защита не названа, обходы придётся латать постоянно;
• как система переживёт долгую сложную атаку, на момент публикации компания не знала.

В сентябрьском отчёте Anthropic связала пресечённые кампании по дистилляции с семью китайскими лабораториями. В новом заявлении компания назвала Zhipu, известную как Z.ai, и обвинила её в попытке вытянуть возможности Claude Fable 5 при создании GLM-5.3. Когда защита ограничила эффективность кибератак с помощью модели, разработчики, по версии Anthropic, переключились на более старую версию Claude и сервис другого поставщика.

Уточняется, что Z.ai на момент публикации Reuters не ответила на обвинения, поэтому сведения о её действиях остаются утверждениями Anthropic, а не подтверждённым расследованием.

По оценке Anthropic, в тестах у GLM-5.3 нашлись слабые защитные ограничения и способность собирать полноценные цепочки эксплуатации уязвимостей. Российские юзеры нередко берут китайские модели как бюджетную замену западным, поэтому спор вокруг GLM-5.3 касается и их.

OpenAI в конце сентября 2026 года сообщила о пресечении скоординированной кампании по вытягиванию защищённых рассуждений её моделей, которая шла как минимум с первой недели июля. Атакующие не ломали шифрование и не лезли в базы данных, они манипулировали общением с моделью и добивались запретных ответов.

Разработчикам приложений на API стоит проверить три вещи:

• переносит ли продукт контекст между разными моделями;
• не гоняет ли он цепочки запросов, похожие на извлечение данных;
• заложена ли в бюджет оплата отклонённых запросов.

Эксперты CISOCLUB отметили, что дистилляция превратилась из исследовательского приёма в полноценный вектор атаки на ИИ-платформы, где вместо серверов эксплуатируют поведение самой модели. Классические средства защиты дают здесь лишь часть результата, поскольку злоумышленнику не нужно вламываться в инфраструктуру. Цифры от 90 до 99% описывают результат на одной платформе и не означают победу над проблемой, а каждый обход закрывается лишь до появления следующего. Для компаний с продуктами поверх API главный риск связан с ложными срабатываниями и блокировками интеграций. Координация между разработчиками моделей, облачными провайдерами и посредниками станет обязательным условием, иначе подозрительная активность переедет на другую площадку.

Ранее сообщалось, что Anthropic пересмотрела правила использования Claude, отдельно запретив продолжительное и бессмысленное издевательство над моделью. Помимо этого, компания ужесточила требования в отношении создания фальшивых аккаунтов, вмешательства в выборы, разработки программного обеспечения для оружия, слежки, интимных дипфейков и подключения ИИ к физическому оборудованию. Обновлённую политику опубликовали 8 октября 2026 года, а действовать новые правила начнут 12 ноября.