2026年10月12日、Anthropicは公式研究ブログで、ここ数か月で導入した一連の新しい防御策が効果を上げていると発表した。同社のプラットフォーム監視に基づく推計では、蒸留者がClaudeから持ち出すデータ量は約90〜99%減り、抽出される推論トークンの数は従来の10〜100分の1に下がった。日によっては測定できないほど少ないという。
防御が推論記録を中心に回る理由
この種の攻撃における蒸留は、通常の教師・生徒学習ではない。攻撃者は大量の不正アカウントで強いモデルを繰り返し呼び出し、その応答で自社モデルを訓練する。最も価値が高いのは、モデルが回答前に書き出す推論記録だ。最終回答だけでは生徒モデルは考え方を学べないが、推論過程があれば模倣は格段に速くなる。Anthropicの初期策は、Claudeに推論を表示前に要約させることだった。同社のテストでは、要約記録だけで訓練したモデルはSWE-bench Verifiedで71.8%にとどまり、完全な記録で訓練したモデルの80.4%を下回った。しかし攻撃者は能動的な抽出へ移り、モデルに完全な推論を吐き出させる言い回しを工夫し、プロキシネットワークで不正アカウントに大規模にリクエストを分散させた。
今回追加された三つの防壁
新しい防御は三層で働く。第一に、推論記録の行き先を管理する。Fable 5.1とOpus 5.5で導入された保持思考の仕組みにより、今年8月31日以降に作られたAPIアカウントはClaudeの過去の文脈を改変できず、Sonnet 5.5では推論記録を読めるのはそのリクエストを出した組織だけに限られる。第二に、同社の憲法分類器研究に倣った二段階分類器で抽出リクエストを遮断する。Anthropicによれば、内外のレッドチーム検証を経たこの防壁は、モデルによる生物兵器開発の支援を防ぐガードレールとほぼ同等の堅牢さを持ち、誤検出率は0.1%未満で、現在は最も高性能な一般公開モデル群で稼働している。第三に、繰り返しの試みを高くつかせる。推論抽出を続けるアカウントは制限と停止の対象となり、同社は蒸留に関連する数万件のアカウントを、活動開始から2時間以内に停止したケースも多いとしている。さらに9月24日以降、ガードレールで遮断されたリクエストにも再び課金している。
代償は明記され、いたちごっこも終わっていない
Anthropicは例として智譜（Zhipu）を名指しし、GLM-5.3の開発時に米国の先行モデルのサイバー能力を蒸留したと述べている。まずClaude Fable 5を試し、サイバー面のガードレールが攻撃効果を弱めると分かると、より古いClaudeモデルと他社のモデルに切り替えたという。ただし智譜側の反論は記事に含まれておらず、この部分は現時点でAnthropic側の説明のみに基づく。Anthropicは代償も認めている。相当な収益と数兆トークン規模の有料トラフィックを断り、一部の正規開発者は統合の更新を迫られ、0.1%未満とはいえ誤検出は残り、遮断されたリクエストにも課金される。そして、高度で執拗な回避の試みはまだ受けていないと率直に書いている。他のモデル事業者にとって、この記事の本当の圧力は単純だ。同業他社のガードレールが明らかに緩ければ、攻撃者は強い方を迂回し、一社の防御は業界の最も弱い輪で相殺されてしまう。
