Anthropic: защита сократила извлечение рассуждений на 90-99%

Подробно

Что именно заявила Anthropic о защите от дистилляции?

Заявление прозвучало в публикации Strengthening our defenses against distillation attacks от 12.10.2026. Индивидуальный автор у неё не указан. По словам компании, новые меры позволили «сократить объём собранных данных примерно на 90-99%».

Компания оценивала, сколько токенов рассуждений Claude операторам дистилляции удалось извлечь на её собственной платформе. После внедрения классификатора этот показатель, как говорится в публикации, был «в 10-100 раз ниже, чем прежде», а в отдельные дни объём оказывался слишком мал для измерения. Anthropic оговаривается, что к эффекту классификатора добавляется действие preserved thinking. Какую долю результата даёт каждый механизм, не сообщается.

Новые меры помогли заблокировать десятки тысяч аккаунтов, связанных с дистилляцией. По данным компании, блокировка нередко происходила меньше чем через два часа после начала кампании.

Reuters передал заявление 12.10.2026 в 21:06 по нью-йоркскому времени (13.10.2026 в 04:06 мск). Агентство подало цифры как позицию Anthropic, а не как независимо проверенный факт.

Что такое незаконная дистилляция и почему Anthropic защищает именно рассуждения Claude?

Дистилляция - это способ обучать одну модель на ответах другой, более сильной. Сам по себе метод может применяться законно. Незаконной Anthropic называет скрытые промышленные кампании, когда ответы модели собирают без разрешения разработчика, часто через мошеннические аккаунты, и используют для обучения другой модели.

Главным объектом защиты стали полные записи рассуждений Claude. Объяснение компании: они показывают ход решения, поэтому для обучения модели-ученика полезнее итоговых ответов. Во внутреннем эксперименте Anthropic предварительно обученная модель Claude после обучения на полных записях Claude Opus 4.8 набрала 80,4% в тесте SWE-bench Verified. После обучения только на сокращённых записях результат составил 71,8%. Это тест самой компании, а не независимая проверка.

Раньше Anthropic уже стала показывать пользователям сокращённые пересказы рассуждений вместо полных записей. После этого злоумышленники начали целенаправленно вытягивать скрытые рассуждения. Компания видела и прямые просьбы вывести прежние рассуждения дословно, и эксперимент одной лаборатории, которая перебрала больше 12 000 разных запросов в поисках работающего обхода.

Как работает preserved thinking и почему Claude API возвращает ошибку 400?

Защита развивается по трём направлениям:

• ограничение переноса блоков рассуждений между контекстами, моделями и аккаунтами;
• распознавание и блокировка запросов на извлечение;
• усложнение повторных попыток: лимиты, блокировка аккаунтов и плата за заблокированные запросы.

За первое направление отвечает preserved thinking. Когда клиент передаёт в API блок thinking или redacted_thinking, система проверяет его подпись. Она выясняет, может ли текущая модель читать этот блок и не изменились ли стоящие перед ним system, tools и messages. Если контекст до блока изменился, этот блок и все последующие блоки thinking становятся недействительными. В зависимости от настроек интеграции API либо возвращает ошибку 400, либо удаляет недействительные блоки.

Совместимость блока с моделью проверяется у всех аккаунтов. Проверка неизменности префикса по умолчанию включена для API-аккаунтов, созданных начиная с 31.08.2026 00:00 UTC. Для старых аккаунтов она действует, если в запросе задан параметр thinking.block_binding.prefix_mismatch_behavior.

В Claude Fable 5.1 и Claude Opus 5.5 preserved thinking не даёт читать блоки рассуждений другим, более ранним моделям. В Claude Sonnet 5.5 и Claude Haiku 5.5 блоки к тому же привязаны к аккаунту или организации, которые их создали.

Этот механизм направлен против класса уязвимостей, описанного в независимом препринте Stealing Reasoning Traces from Proprietary LLM APIs от 10.08.2026. Его авторы - Александр Панфилов, Дэвид Шмотц, Илья Шумайлов, Лука Бойрер-Келлнер, Йоахим Шеффер, Амея Прабху, Йонас Гайпинг и Максим Андрющенко. Они показали, что зашифрованные блоки рассуждений можно переносить между сессиями, пользователями и моделями Anthropic, OpenAI и Google, а затем извлекать их содержимое через более слабые модели. Препринт не рецензировался и не проверяет заявленное Anthropic снижение на 90-99%.

Как устроен двухступенчатый классификатор Anthropic?

Второй компонент - каскадная система классификации. Дешёвый классификатор первой ступени проверяет весь трафик и передаёт подозрительные обмены второй ступени: она точнее, но требует больше ресурсов. Такую архитектуру Anthropic описала 09.01.2026 в исследовании Constitutional Classifiers++, а затем применила к попыткам извлечения рассуждений.

Классификатор настраивали на записях реальных попыток извлечения. Кроме того, его проверяли внутренние и внешние red team вручную и автоматически, найденные уязвимости исправляли. Имена внешних проверяющих и полный протокол испытаний не раскрыты.

По данным компании, доля ложных срабатываний составляет меньше 0,1%. Устойчивость классификатора Anthropic сравнивает с защитой Claude от запросов, которые могут помочь в создании биологического оружия. Компания также утверждает, что система распознаёт все способы дистилляции из её сентябрьского отчёта. Уже закрыты обходы через просьбы перевести прошлые рассуждения на другой язык или вывести их внутри специальных тегов.

На 12.10.2026 классификатор работал на самых мощных общедоступных моделях: Claude Sonnet 5.5, Claude Opus 5, Claude Opus 5.5, Claude Fable 5 и Claude Fable 5.1. Компания собирается применять его и к будущим моделям, интересным для дистилляции. Точная дата запуска не названа, говорится лишь о «последних месяцах».

Что новые меры означают для разработчиков на Claude API?

Anthropic советует строить интеграции по принципу append-only: не менять system и tools в рамках сессии и только добавлять новые сообщения. Если изменить системный промпт, список инструментов, старые результаты инструментов, изображения или недавнюю историю, привязка блока может нарушиться. Пользователям Claude Code, claude.ai, Claude Managed Agents и Claude Agent SDK ничего менять не нужно. Запросы, в которых модели не возвращаются прежние блоки thinking, проверка префикса тоже не затрагивает.

Отдельной платы за защиту нет. Но с 24.09.2026 Anthropic снова берёт деньги за запросы, которые защита остановила ещё до ответа Claude, в категориях с долей ложных срабатываний ниже 0,1%, в том числе в категории дистилляции. Аккаунтам, которые раз за разом пытаются извлекать рассуждения, ужесточают лимиты, а при систематических попытках блокируют.

Компания признаёт, что у мер есть цена и для добросовестных клиентов. Некоторым разработчикам пришлось обновлять интеграции, менее 0,1% легитимных запросов могут блокироваться по ошибке, а за заблокированные запросы теперь может взиматься плата. Сама Anthropic, по её словам, отказалась от «существенной» выручки и от платного трафика в триллионы токенов от предполагаемых операторов дистилляции. Точная сумма и число токенов не названы.

Меры действуют в коммерческом сервисе, а не только в лабораторном прототипе. Стандартная цена Claude Opus 5.5 в API - 4 доллара США за 1 млн входных токенов, 20 долларов США за 1 млн выходных и 0,20 доллара США за 1 млн токенов чтения кэша. Claude Fable 5.1 доступен в тарифах Pro, Max, Team и Enterprise, а разработчикам - через Claude Platform, облачные маркетплейсы, AWS, Google Cloud и Microsoft Foundry. Его цена - 10 долларов США за 1 млн входных токенов, 50 долларов США за 1 млн выходных и 0,25 доллара США за 1 млн токенов чтения кэша.

Кого Anthropic обвиняет в дистилляции Claude?

23.02.2026 Anthropic обвинила DeepSeek, Moonshot и MiniMax в промышленных кампаниях дистилляции. По версии компании, через примерно 24 000 мошеннических аккаунтов было проведено больше 16 млн обменов с Claude: у DeepSeek - больше 150 000, у Moonshot - больше 3,4 млн, у MiniMax - больше 13 млн.

В отчёте об угрозах от 10.09.2026 компания назвала ещё семь лабораторий из Китая. Среди примеров: у Alibaba - больше 151 млн обменов в мае-июле 2026 года, у DeepSeek - больше 12,1 млн за 14 дней июля, у Zhipu/Z.ai - больше 3,4 млн за 17 дней июня-июля, у Xiaomi - больше 400 000 за 20 дней марта-апреля. Все эти атрибуции - выводы самой Anthropic.

По данным Reuters, Z.ai оперативно не ответила на утверждение Anthropic о том, что Zhipu пыталась извлечь возможности Claude при разработке GLM-5.3. Позиции других названных компаний по новой публикации не приводятся.

Можно ли использовать Claude API в России?

Официально нет. На 13.10.2026 России нет в списке поддерживаемых регионов Claude Platform. В сентябрьском отчёте Anthropic прямо относит Россию к неподдерживаемым странам: доступ оттуда может повлечь проверку личности и блокировку аккаунта. Работа через посредников или в обход ограничений официально не поддерживается.

Что в заявлении Anthropic остаётся непроверенным?

Снижение на 90-99% - внутренняя оценка компании, независимого аудита не было. Anthropic не опубликовала исходные данные графика, абсолютные значения до и после, точные границы периода наблюдения, размер выборки, доверительные интервалы и подробную методику, по которой токен считается успешно извлечённым. Цифра касается объёма полученных токенов рассуждений. Она не доказывает, что модели конкурентов стали хуже.

Неизвестно, насколько защита помогает против сбора одних итоговых ответов, против трафика через сторонние облачные платформы и других поставщиков инференса, а также против восстановления рассуждений по ответам и сокращённым пересказам. Компания признаёт, что пока не сталкивалась с действительно сложной и настойчивой попыткой обойти полностью развёрнутую защиту, так что неясно, как долго продержится результат. Противостояние с операторами дистилляции Anthropic называет «игрой в кошки-мышки». К 13.10.2026 независимых разборов, которые воспроизводили бы результат 90-99%, найти не удалось.