2026 年 10 月 12 日，Anthropic 在官方研究博客发文，称过去几个月上线的一组新防御已经见效：按其平台内部监测估算，蒸馏者从 Claude 身上挖走的数据量下降了约 90% 到 99%，被提取的推理令牌数量降到此前的 10 到 100 分之一，部分日子里低到测不出来。
防御为什么围着推理记录转
在这类攻击里，蒸馏不是正常的师生学习，而是用大量欺诈账号反复调用强模型，把回答拿回去训练自己的模型，其中最值钱的是模型作答前的推理记录：只看最终答案，学生模型学不到思路；拿到推理过程，复制起来就快得多。Anthropic 早先的办法是让 Claude 在展示前先把推理摘要化，其实测显示，只用摘要记录训练的模型在 SWE-bench Verified 上得分 71.8%，明显低于用完整记录训练的 80.4%。但攻击者随即转入主动提取，用各种话术诱导模型吐出完整推理，再靠代理网络把请求分散到成规模的欺诈账号里。
这次加的三道防线
新防御分三层。一是管住推理记录的流向：Fable 5.1 和 Opus 5.5 引入的保留思考机制，让今年 8 月 31 日后新建的 API 账号无法改动 Claude 此前的上下文；Sonnet 5.5 则把推理记录限定为只有发起请求的组织能读取。二是用两阶段分类器拦截提取请求，做法借用了其宪法分类器研究，Anthropic 称这套防线经内外红队测试后，强度大致与阻止模型协助制造生物武器的护栏相当，误报率低于 0.1%，目前跑在其最强的几个公开模型上。三是让反复尝试变贵、变慢：持续提取的账号会被限流和封禁，公司称已封掉数万个与蒸馏活动相关的账号，常常在活动开始后两小时内就完成封禁；自 9 月 24 日起，被护栏拦截的请求也重新计费。
代价写在了明处，猫鼠游戏也没结束
Anthropic 在文中点名智谱作为例子，称其在开发 GLM-5.3 时蒸馏过美国头部模型的网络能力，先试 Claude Fable 5，发现网络护栏削弱攻击效果后改用更老的 Claude 模型和另一家实验室的模型；智谱方面没有在文中出场回应，这部分目前只有 Anthropic 一方的说法。Anthropic 也承认代价：公司为此放弃了可观收入和数万亿令牌的付费流量，部分正常开发者被迫更新集成，误报虽低于 0.1% 仍然存在且被拦截的请求照样收费；同时它明确说，还没有经受过一次真正高水平、持续性的绕过尝试，攻防仍会继续。对其他模型厂商，这篇文章真正施压的地方在于：如果同行模型的护栏明显更松，攻击者就会绕道而行，单个厂商的防御再强也会被短板抵消。
