Am 12. Oktober 2026 erklärte Anthropic in seinem offiziellen Forschungsblog, dass eine Reihe neuer, in den vergangenen Monaten eingeführter Abwehrmaßnahmen wirkt: Nach Schätzungen aus dem eigenen Plattform-Monitoring ist die von Destillierern abgegriffene Datenmenge um rund 90 bis 99 Prozent gesunken, und die Zahl der extrahierten Reasoning-Token liegt nun 10- bis 100-mal niedriger als zuvor — an manchen Tagen zu klein zum Messen.
Warum sich die Abwehr um Reasoning-Protokolle dreht
Bei dieser Angriffsform ist Destillation kein gewöhnliches Lehrer-Schüler-Lernen. Angreifer befragen ein stärkeres Modell über zahllose betrügerische Konten immer wieder und trainieren ihr eigenes Modell mit den Antworten. Am wertvollsten ist das Reasoning, das das Modell vor seiner Antwort erzeugt: Nur aus Endantworten lernt ein Schülermodell das Denken nicht, mit Reasoning-Protokollen geht die Nachahmung dagegen weit schneller. Anthropics früherer Schritt war, Claude sein Reasoning vor der Anzeige zusammenfassen zu lassen; in eigenen Tests erreichte ein nur auf Zusammenfassungen trainiertes Modell 71,8 % auf SWE-bench Verified, deutlich unter den 80,4 % mit vollständigen Protokollen. Die Angreifer gingen daraufhin zur aktiven Extraktion über, mit Formulierungen, die das Modell sein volles Reasoning preisgeben lassen sollten, verteilt über Proxy-Netzwerke betrügerischer Konten in großem Maßstab.
Die drei neuen Schutzschichten
Die neue Abwehr arbeitet auf drei Ebenen. Erstens wird kontrolliert, wohin Reasoning gelangen darf: Die mit Fable 5.1 und Opus 5.5 eingeführte Preserved-Thinking-Maßnahme verhindert, dass API-Konten, die am oder nach dem 31. August dieses Jahres erstellt wurden, Claudes früheren Kontext verändern; bei Sonnet 5.5 sind Reasoning-Protokolle nur für die Organisation lesbar, deren Anfrage sie erzeugt hat. Zweitens blockiert ein zweistufiger Klassifikator nach dem Vorbild der unternehmenseigenen Constitutional-Classifiers-Forschung Extraktionsversuche; nach internem und externem Red-Teaming seien diese Schutzmechanismen ungefähr so robust wie jene, die Claude an Hilfe beim Bau von Biowaffen hindern, bei einer Falsch-Positiv-Rate unter 0,1 %, und sie laufen derzeit auf den leistungsfähigsten allgemein verfügbaren Modellen. Drittens werden wiederholte Versuche teuer und langsam: Konten, die beharrlich Reasoning extrahieren wollen, werden gedrosselt und gesperrt — das Unternehmen spricht von Zehntausenden gesperrter Konten im Zusammenhang mit Destillation, oft innerhalb von zwei Stunden nach Kampagnenbeginn — und seit dem 24. September werden von diesen Schutzmechanismen blockierte Anfragen wieder berechnet.
Die Kosten werden offen genannt, das Katz-und-Maus-Spiel geht weiter
Als Beispiel nennt Anthropic Zhipu: Das Unternehmen habe bei der Entwicklung von GLM-5.3 die Cyber-Fähigkeiten führender US-Modelle destilliert, zuerst Claude Fable 5 versucht und sei, nachdem dessen Cyber-Schutzmechanismen die Angriffe abschwächten, auf ein älteres Claude-Modell und das Modell eines anderen Labors ausgewichen. Eine Stellungnahme von Zhipu enthält der Beitrag nicht; dieser Teil beruht vorerst allein auf Anthropics Darstellung. Auch die Kosten räumt Anthropic ein: Man habe auf nennenswerte Umsätze und Billionen von Token bezahlten Traffics verzichtet, einige legitime Entwickler mussten ihre Integrationen anpassen, Falsch-Positive unter 0,1 % bleiben bestehen und blockierte Anfragen werden trotzdem berechnet, und ein wirklich hochentwickelter, hartnäckiger Umgehungsversuch stehe noch aus. Für andere Modellanbieter ist der eigentliche Druck in diesem Beitrag simpel: Sind die Leitplanken eines Konkurrenzmodells sichtbar schwächer, weichen Angreifer den starken einfach aus, und die Abwehr eines Anbieters wird durch das schwächste Glied der Branche zunichtegemacht.
