Anthropic сообщила, что новые меры защиты от промышленной дистилляции сократили объем извлекаемых reasoning-токенов Claude на 90–99%. Атаки такого типа систематически копируют возможности модели для обучения более компактных конкурирующих систем через сети из сотен тысяч поддельных аккаунтов. Это заявление важно, поскольку цепочки рассуждений стали центральным активом в конкуренции поставщиков ИИ.
Как Anthropic описывает кампанию дистилляции
Дистилляция в этом случае означает массовые запросы к Claude ради сбора внутренних шагов рассуждений с последующим использованием этого материала для обучения отдельных моделей. После внедрения контрмер Anthropic оценивает снижение кражи reasoning-токенов в 90–99%. Использование сотен тысяч поддельных аккаунтов указывает на скоординированную инфраструктуру, а не на единичные злоупотребления. В рамках новых мер уже заблокированы десятки тысяч аккаунтов.
Защита строится на трех элементах: ограничении доступа к внутренним шагам рассуждений, классификаторе, выявляющем попытки извлечения, и автоматической блокировке отмеченных аккаунтов. Сокращение видимости chain-of-thought уменьшает объем материала, пригодного для обучения конкурирующих моделей. Классификатор должен отличать масштабный сбор данных от обычного использования, а автоматизация позволяет реагировать в масштабе атаки. Anthropic признает, что ошибочные срабатывания затрагивают и добросовестных пользователей.
Anthropic публично называет китайские компании Zhipu и Moonshot участниками такой активности. По ее данным, Zhipu извлекала кибервозможности ведущих американских моделей для своей модели GLM-5.3. Moonshot, как утверждается, скрытно направляла запросы через Claude для косвенного получения возможностей. По оценке Anthropic, похищенные возможности могут попасть в зарубежные военные системы и системы наблюдения, поэтому вопрос выходит за рамки коммерческой конкуренции.
Что это означает для бизнеса, использующего ИИ
Для корпоративных клиентов ограничение вывода рассуждений меняет возможности проверки и документирования поведения модели. Команды, использовавшие подробные промежуточные шаги для отладки, аудита или контроля процессов, получат меньше информации. Крупные организации могут перестроить журналы и оценку вокруг конечных ответов и разрешенных интерфейсов. Небольшим компаниям с ограниченными ресурсами тестирования будет сложнее разбирать нестабильную работу агентов.
Такой подход к контролю создает также риск для доступности рабочих внедрений. Классификатор с автоматической блокировкой может прервать работу, если легитимное интенсивное использование похоже на извлечение, например тестирование, сравнение моделей или параллельные агенты. В архитектуре и договоренностях стоит учесть блокировку на уровне аккаунта, порядок обжалования и разделение экспериментальных нагрузок с клиентскими системами. Точность выявления стоит уточнить у поставщика до масштабирования использования.
Показателем развития тренда станет то, примут ли другие разработчики ИИ сопоставимые меры защиты и опубликуют ли собственные данные об извлечении. Совместное внедрение будет означать, что следы рассуждений рассматриваются в отрасли как защищаемая интеллектуальная собственность. Продолжение блокировок, новые названные инциденты или изменения в раскрытии рассуждений подтвердят, что дистилляция остается активным ограничением доступа к моделям.
