Anthropic закрыла рассуждения Claude от копирования конкурентами

12 октября Anthropic опубликовала отчёт о защите Claude от  дистилляции . Так называют приём, когда одну модель обучают на ответах другой. Сам по себе он законный, но Anthropic говорит о промышленных кампаниях, в которых чужие лаборатории через тысячи подставных аккаунтов выкачивают ответы Claude и за долю стоимости получают похожие возможности.

В сентябре Anthropic уже публиковала расследование о таких кампаниях со стороны семи китайских лабораторий, среди которых Alibaba, Moonshot AI и DeepSeek . Новый отчёт посвящён ответным мерам и первым результатам.

Главная добыча — ход рассуждений

Обычные ответы Claude копировать проще всего, но ценнее другое. Самые полезные для обучения данные — рассуждения, которые модель выстраивает перед ответом. Anthropic привела наглядный пример. Модель, обученная на полных рассуждениях, набрала 80,4% в тесте SWE-bench Verified, где нужно решать реальные задачи из программных проектов. Та же модель, обученная на кратких пересказах рассуждений, набрала 71,8%.

Поэтому злоумышленники пытаются вытянуть рассуждения Claude целиком. Они просят перевести их на другой язык, вписать в теги рядом с ответом или подменяют историю диалога, чтобы модель «вспомнила» скрытое. Такие приёмы Anthropic теперь блокирует.

Три уровня защиты Claude

Anthropic выстроила защиту в три слоя.

1. Сохранённые рассуждения — появились в Claude Fable 5.1 и Opus 5.5 и действуют для API-аккаунтов, созданных начиная с 31 августа. Такие аккаунты не могут редактировать прошлый контекст диалога и раз за разом переигрывать запрос, подбирая ключ к скрытой части. В Sonnet 5.5 рассуждения видит только та организация, чей запрос их породил.
2. Двухступенчатый классификатор — отдельная система, которая распознаёт попытки дистилляции. Её обучили на записях реальных атак и проверяли силами «красных команд», специалистов, которые намеренно ищут обходы. Доля ложных срабатываний ниже 0,1%.
3. Блокировки — десятки тысяч аккаунтов, связанных с дистилляцией, часто в первые два часа после начала кампании.

По словам Anthropic, надёжность классификатора близка к защите от запросов о биологическом оружии. После его полного включения объём рассуждений, которые удаётся извлечь, упал в 10–100 с лишним раз. Защита работает в Claude Sonnet 5.5, Opus 5 и 5.5, Fable 5 и 5.1, а старым моделям со слабой защитой запретили читать рассуждения новых.

Масштаб схем впечатляет

Цифры из отчёта Anthropic показывают, что речь идёт о хорошо организованном бизнесе. Одна прокси-сеть управляла одновременно больше чем 20 тысячами фальшивых аккаунтов. Дистилляторы перепродавали доступ к Claude в регионах, где он официально не работает, пользовались чужими документами и украденными платёжными данными. Одна лаборатория перебрала 12 тысяч запросов, пытаясь обмануть модель.

Случай Zhipu и GLM-5.3

Самый подробный пример в отчёте Anthropic касается китайской Zhipu. При разработке GLM-5.3 компания перенимала у ведущих американских моделей навыки в кибербезопасности. С Claude Fable 5 это не вышло, защита портила атаку. Тогда Zhipu переключилась на более старую модель Claude и модель другой лаборатории.

Американские эксперты оценили GLM-5.3 как самую сильную в киберзадачах модель с открытыми весами из всех, что выходили до сих пор. По данным Anthropic, её ограничения легко обходятся, а сама модель способна от начала до конца разработать эксплойт для уязвимости. На этом примере хорошо видна главная мысль отчёта: защита одной компании мало что решает, если соседняя лаборатория оставляет дверь открытой.

Чем платят обычные клиенты

Anthropic признаёт, что отказалась от заметной выручки и триллионов токенов платного трафика. Дистилляторы платят исправно, поэтому у индустрии мало стимулов с ними бороться. Публикуя методы, компания хочет показать, что рабочая альтернатива существует.

Часть издержек легла на добросовестных клиентов Claude.

• Интеграции — некоторым разработчикам пришлось переделывать код под сохранённые рассуждения.
• Оплата блокировок — с 24 сентября Anthropic берёт деньги за запросы, которые защита остановила ещё до ответа модели, в областях с долей ложных срабатываний ниже 0,1%.
• Лимиты — тем, кто упорно пытается достать рассуждения, их ужесточают.

Для обычных пользователей приложения Claude новые меры почти незаметны. Повседневные диалоги под классификатор не попадают.

Проверка — следующие китайские релизы

Если 90–99% подтвердятся на длинной дистанции, дешёвые клоны флагманских моделей будут появляться медленнее. Anthropic выиграет время, а разрыв между лидерами и догоняющими станет сокращаться дольше. Проверить это получится на следующей волне китайских моделей. По тому, насколько сильны их рассуждения, станет понятно, сработала ли защита Claude.