Anthropic推出三重反蒸馏防护，封禁数万个账户，可提取推理数据减少约90%至99%

Image 1: 36氪

账号设置我的关注我的收藏申请的项目退出登录

搜索

36氪Auto 数字时氪未来消费智能涌现未来城市启动Power on 36氪出海 36氪研究院潮生TIDE 36氪企服点评 36氪财经职场bonus 36碳后浪研究所暗涌Waves 硬氪氪睿研究院媒体品牌
企业号企服点评 36Kr研究院 36Kr创新咨询企业服务
核心服务城市之窗政府服务
创投发布 LP源计划 VClub VClub投资机构库投资机构职位推介投资人认证投资人服务
项目推荐 36氪Pro 创投氪堂企业入驻创业者服务
创投平台
AI测评网

首页
快讯
资讯
- 推荐
- 财经
- AI
- 项目推荐
- 安徽
- 最新
- 创投
- 汽车
- 科技
- 专精特新
直播
视频
专题
活动
广东
浙江
四川
安徽
江苏

搜索

项目推荐

我要入驻

城市合作

数万亿token生意不要了，A社连封数万账号，蒸馏数据大砍99%

新智元· 2026年10月14日 02:16

Anthropic推出三重反蒸馏防护，封禁数万个盗推理财账户

就在刚刚，Anthropic突然发帖「炫耀」了一番他们最近的反蒸馏战绩。

自有平台上，蒸馏能拿走的推理数据少了约90%—99%，规模只剩原来的1/10—1/100。

数万个相关账户被清退。部分账号开始蒸馏还不到两小时，就等来了封号。

为了达到这个结果，Anthropic总共动用了三款「大杀器」：

1. 推理可以接着用，但不能随便转手

引入preserved thinking（保留思考）后，新API账户一旦改动此前的上下文，原来的推理就不能照常复用。不同模型还分别限制了防护较弱的旧模型接读和跨组织访问。拿着一份草稿换个地方接着套话，没那么方便了。

2. 想套完整推理，先过分类器这一关

Anthropic把Constitutional Classifiers的防护思路用到了反蒸馏上：通过两阶段分类系统，识别并拦截试图套取Claude完整推理的请求。这套方案的稳健程度，几乎和阻止Claude协助制造生物武器的防护相当。

3. 反复套话，账号和预算都要付代价

反复套话会被限流，持续尝试的关联账号会被封。想靠换号继续碰运气，也要承担封号的损失。蒸馏这类被防护系统拦在Claude回答之前的请求，也要进行收费。

可以说，为了把这批「学生」赶走，Anthropic连数万亿token的付费流量都拒了。

连草稿纸都不让抄了

对于蒸馏来说，只抄答案是远远不够的。

更关键的，是拿到Claude答题前的思维链，看它怎么拆题、怎么尝试、又怎么发现自己想错了。

用完整推理和摘要分别训练模型，SWE-bench Verified成绩拉开差距

Anthropic自己做过对照实验，用Opus 4.8的对话记录训练一个预训练过的Claude模型。

在SWE-bench Verified编程测试上，学完整推理的拿到80.4%，只学摘要的只有71.8%，差了8.6个百分点。

于是，Anthropic早早把完整草稿收了起来，只给外界看推理摘要。

Claude照常认真做题，想抄作业的人只能拿到删减版。

为此，攻击者开始诱导Claude把藏起来的推理重新说一遍。

据官方披露，有实验室试过12000条请求，每一条都换一种骗法。只要试出一种有效写法，就能拿去批量复制。

独立研究展示了利用较弱模型提取较强模型推理的路径，实验早于本次防御更新

Anthropic此前记录过，一个代理网络同时管理超过2万个欺诈账号，背后还有规模更大的账号网络。

看起来是用户在排队提问，实际上是训练数据在批量生产。

大号嘴严，就去套小号的话

可把草稿藏起来，还真没那么省心。Claude做长任务时，自己也得接着读。

为了让它接着上一轮想下去，受保护的推理会被保存，再交回模型。

用户看到的是一串加密内容，负责续写的Claude却必须能看懂。

强模型嘴严，攻击者就把它留下的推理交给同一家防护较弱的模型，诱导后者复述出来。

不同模型分别增加上下文、模型兼容性及组织访问限制

8月发布的一项独立研究展示过这类路径。加密算法没被破解，但秘密照样流出去，因为读过它的模型，能被哄着再讲一遍。

Anthropic只好连「谁能接着读」也管起来。

Fable 5.1和Opus 5.5引入preserved thinking，对8月31日及以后创建的API账户校验此前上下文。

前文被动过手脚，原来的受保护推理也就不能照常复用了。弱模型自然读不到结果。

到了Sonnet 5.5，推理还要认组织，只能由最初发起请求的组织接着用。

这些检查，把接力套话卡在了不同环节。囤了一堆账号，也不等于攒了一堆能接力抄作业的同学。

偷师未遂，学费照扣

不仅如此，留在同一个账号里反复套话，也开始越来越贵。

Anthropic用两阶段分类器筛查请求，把真实提取记录交给内外部红队反复测试。

攻击者找到新写法，防守方就把它补进下一轮防护。

按Anthropic的评估，这套系统的稳健程度，已与阻止Claude协助制造生物武器的防护大致相当，误报率低于0.1%。

万万没想到，为了守住解题草稿，竟然用上了这个级别的防御！

官方估算，自有平台被提取的推理token在新防护上线后持续降低。图为对数刻度，朝下三角表示少到无法测量

于是，攻击者开始给请求换装，让Claude换一种语言交代推理，或把内容塞进特殊标签里，试图绕过检查。

官方已经观察到这些手法，并补上了缺口。

反复套取推理的账号，会被收紧用量；持续尝试的关联账户，会被封。光有一套能骗过模型的话术还不够，账号和预算也得扛得住。

从9月24日起，生物、蒸馏攻击和前沿大模型开发这几个低误报率类别，恢复对拦截请求收费。

请求还没等到Claude回答，就被安全系统拒绝，也要付钱。

不过，系统一旦认错人，老老实实来干活的客户，也可能收到这张账单。

Anthropic承认，分类器仍会误拦正常请求，这些请求如今也可能被收费。

平台看到的是一笔拦截记录，撞上的开发者面对的却是：活没干成，钱还扣了。

就算没被误拦，开发者调整系统指令、清理旧工具结果或修改工具列表，也可能让原先的推理块失效。

在官方一项多轮编程测试中，思考强度开到最高，每个会话丢一次推理块，输出token就会多20.1%。

防盗措施是加强了，但对于开发者来说，就连整理对话记录，都得留心会不会让模型重新开工……

理论上，Anthropic还是愿意让Claude替你干活的。

可一旦你想让它教出自己的替代品，这位按token收费的老师，已经准备好了封号通知和账单。

参考资料：

https://www.anthropic.com/research/distillation-defenses

https://x.com/anthropicai/status/2109795898909950247

https://x.com/ClaudeDevs/status/2103170368794185758

本文来自微信公众号“新智元”，作者：摩西，36氪经授权发布。

该文观点仅代表作者本人，36氪平台仅提供信息存储空间服务。

商业策划

好文章，需要你的鼓励

新智元特邀作者

0收藏+10评论

Image 10: 36氪 打开微信“扫一扫”，打开网页后点击屏幕右上角分享按钮微博

沉浸阅读 返回顶部

参与评论

评论千万条，友善第一条

登录后参与讨论

提交评论 0/1000

商业策划

你可能也喜欢这些文章

刚刚，Gemini 4全球上线

苹果AI家庭管家来了：能认人、看家、自动开门，Siri彻底变牛了

证明大爆炸，数学界变天，AI把陶哲轩逼出「数学 2.0」

一家成立九个月的公司，让机器人走出「排练过的世界」

AI最早的造梦者之一Character.AI，走向破产边缘

突发，明星AI独角兽宣布破产

硅谷AI杀疯了，DeepSeek们的性价比还剩多少？

AI短剧不烧心，烧的是短剧公司的钱

电视盒，也能“养”AI蠕虫？

新智元

特邀作者

TA没有写简介，但内敛也是一种表达

发表文章 5461 篇

36氪AI测评

选靠谱AI，看真实评测

查看

36氪AI测评官方交流社区

加入

36氪项目推荐

咨询项目审核和入驻

联系

36氪项目推荐订阅号

关注

企服圈子

软件选型经验交流社区加入

行业交流群

扫码加我，拉你进对应的行业群，链接一手资源和人脉！已有170000+人深度交流中～

36氪企服点评订阅号关注

36氪企服-订阅号

「36氪企服」会定期分享行业深度案例、报告以及热点话题，从用户视角出发，帮企业买家选中真正“对”的软件与服务。

36氪企服点评服务号关注

36氪企服点评-服务号

「36氪企服点评」现已收录近万款产品，致力于帮助每个需求企业服务的人做出正确的决策，携手每个企服行业者为大众提供更高的价值与服务。

找软件，先查用户评分榜查看

顾问1对1推荐软件免费服务体验

苹果给 Siri 做了一块能认出全家人的屏幕，售价 299 美元

屏幕属于全家，个人化的 Siri 仍然要认人、认手机。

43分钟前

关于36氪

网络谣言信息举报入口