Anthropic 公布反蒸馏新防御：蒸馏攻击窃取的推理数据量下降约 90% 到 99%

先看官方原文的核心结论。Anthropic 这篇博客题为《Strengthening our defenses against distillation attacks》，发布时间为 2026 年 10 月 12 日。开篇结论是：过去几个月公司在降低蒸馏攻击有效性方面取得实质进展，早期证据显示这些方法把蒸馏者采集的数据量减少了约 90% 到 99%。官方对蒸馏攻击的定义是：未获原模型开发者授权、隐蔽的、工业规模的能力提取行动，通常借助大量欺诈账号构成的网络实施；这类攻击让公司能以远低于独立开发的开发时间和成本去模仿前沿能力。Anthropic 说自己担忧两点：第一，蒸馏出来的模型往往在发布时没有相称的护栏，可能被用于生物与网络安全等高风险领域；第二，非法蒸馏的模型构成国家安全风险，因为做这件事的公司会把从蒸馏获得的能力嵌入外国的军事、情报与监控系统。文中提到，公司为此拒绝了可观的收入和数万亿 token 的付费流量，研究与产品团队也投入了大量时间，另有一些改动要求合法用户更新集成。

技术细节是这篇博客最有价值的部分。Anthropic 说，蒸馏者最想要的数据不是模型的输出，而是 Claude 的思维链——也就是模型在回答之前写下的推理过程，因为它能帮小模型理解大模型是怎么得出答案的。因此防御几乎全部围绕让推理内容更难被取得。最初的做法相对简单：在把推理展示给用户之前先让 Claude 总结一遍。官方给出的评估数字是，用一个预训练 Claude 模型在 Opus 4.8 的完整思维链上训练后，在 SWE-bench Verified 编程基准上得 80.4%；只用摘要版思维链训练，得 71.8%——也就是说摘要确实降低了数据的训练价值。但攻击者随即从被动转向主动提取，方法从直接要求模型原样输出此前的推理，到某个实验室测试 12000 个请求、每个请求用不同方式尝试欺骗模型。Anthropic 说现在从三个方向阻断攻击，其中第一项是控制推理内容可以流向何处，因为蒸馏者尝试过在对话之间搬运受保护的推理块、在模型之间搬运（用护栏较弱的模型去提取较强模型的推理）、以及跨账号搬运，让攻击在一个账号被封后仍能继续。官方称这些措施对合法用户影响很小。

被点名的案例需要按官方口径如实转述，同时明确这是单方面表述。文章中写到智谱：Anthropic 称该公司在开发 GLM-5.3 期间蒸馏了美国领先模型的网络能力，曾尝试蒸馏 Claude Fable 5，但在发现其网络护栏削弱了攻击效果后改用较老的 Claude 模型和另一家实验室的模型；Anthropic 说美国的相关评估机构 CAISSI 此后把 GLM-5.3 评为迄今发布的最具网络能力的开源权重模型，而 Anthropic 自己的研究发现该模型的护栏容易被绕过，并且愿意端到端开发安全漏洞利用。文章还写到 Moonshot：Anthropic 称发往 Kimi 模型的请求被秘密转发给 Claude 作为其蒸馏工作的一部分，其中一个请求来自公司认为与中国解放军有关联的用户，内容是分析某个特定个人的闭路电视监控。Anthropic 在文末说明，出于国家安全原因，公司目前不向中国提供 Claude 的商业访问，也不向这些公司位于境外的子公司提供。需要强调的是，上述内容全部出自 Anthropic 官方博客，属于该公司的单方面指控与判断；截至本文写作，文中提到的公司均未在这篇博客中提供回应。

最后说边界和读法。第一，蒸馏本身是普遍且合法的训练方法，前沿实验室经常用它给自己造更小更便宜的模型；Anthropic 攻击的是未获授权的提取，这个区分在原文里是明确的。第二，这条新闻里最关键的数字——90% 到 99%——官方自己的措辞是早期证据显示，也就是说这不是第三方验证的测量结果。第三，Anthropic 的动机不只安全：它同时说蒸馏攻击削弱了美国的出口管制效果，因为受限的芯片访问既限制了直接训练，也限制了非法蒸馏的规模，这个论证方向与该公司的政策立场一致。第四，对使用者的现实影响是，反蒸馏措施会给合法集成带来变更——官方承认部分改动要求用户更新接入方式，公司也承认为此放弃了实打实的收入。第五，这篇博客与那篇详细列出三家实验室、约 24000 个欺诈账号、超过 1600 万次交互的旧文不同，后者发布于今年 2 月，本次博客是讲新防御手段的续篇。