Das Geschäft im Wert von Billionen Token wird aufgegeben, Unternehmen A hat zehntausende Konten nacheinander gesperrt, und die Destillationsdaten werden um 99 % massiv gekürzt.

Gerade eben hat Anthropic plötzlich einen Beitrag veröffentlicht, in dem sie ihre jüngsten Erfolge bei der Anti-Destillation „zur Schau stellen“.

Auf der eigenen Plattform ist die Menge an Inferenzdaten, die durch Destillation entnommen werden kann, um etwa 90 % – 99 % gesunken, die Größe beträgt nur noch 1/10 – 1/100 des ursprünglichen Werts.

Zehntausende verwandte Konten wurden gekündigt. Einige Konten wurden bereits weniger als zwei Stunden nach Beginn der Destillation gesperrt.

Um dieses Ergebnis zu erreichen, hat Anthropic insgesamt drei „Großwaffen“ eingesetzt:

1. Die Inferenz kann weiterverwendet werden, darf aber nicht beliebig weitergegeben werden

Nach der Einführung von „preserved thinking“ (erhaltendes Denken) kann die ursprüngliche Inferenz nicht mehr normal wiederverwendet werden, sobald neue API-Konten den vorherigen Kontext ändern. Bei verschiedenen Modellen wurden zudem schwächere ältere Modelle für das nachträgliche Lesen und der organisationsübergreifende Zugriff eingeschränkt. Es ist nicht mehr so einfach, einen Entwurf an einem anderen Ort weiter zu verwenden, um weitere Informationen zu erhalten.

2. Wenn Sie die vollständige Inferenz erhalten möchten, müssen Sie zuerst den Klassifikator durchlaufen

Anthropic hat das Schutzkonzept der Constitutional Classifiers auf die Anti-Destillation angewendet: Über ein zweistufiges Klassifikationssystem werden Anfragen erkannt und blockiert, die versuchen, die vollständige Inferenz von Claude zu extrahieren. Die Robustheit dieses Schemas ist fast vergleichbar mit dem Schutz, der Claude daran hindert, bei der Herstellung von biologischen Waffen zu helfen.

3. Wiederholte Versuche, Informationen zu entlocken, haben Kosten für Konto und Budget zur Folge

Wiederholte Versuche, Informationen zu entlocken, führen zu einer Drosselung der Datenmenge, verwandte Konten, die fortlaufend versuchen, werden gesperrt. Wenn Sie durch Wechseln des Kontos weiter Glück versuchen wollen, müssen Sie auch den Verlust der Kontosperrung tragen. Anfragen wie die Destillation, die vom Schutzsystem vor der Antwort von Claude blockiert werden, müssen ebenfalls bezahlt werden.

Man kann sagen, dass Anthropic sogar zahlreiche Billionen Token an bezahltem Datenverkehr abgelehnt hat, um diese Gruppe von „Schülern“ zu vertreiben.

Nicht einmal das Kopieren des Entwurfpapiers ist erlaubt

Für die Destillation reicht es bei weitem nicht, nur die Antworten zu kopieren.

Entscheidender ist es, die Denkkette von Claude vor der Beantwortung der Frage zu erhalten, um zu sehen, wie er die Frage zerlegt, wie er Versuche unternimmt und wie er erkennt, dass er sich geirrt hat.

Die Modelle werden jeweils mit vollständiger Inferenz und Zusammenfassung trainiert, die Ergebnisse bei SWE-bench Verified weisen deutliche Unterschiede auf

Anthropic selbst hat Kontrollversuche durchgeführt, bei denen ein vortrainiertes Claude-Modell mit den Gesprächsprotokollen von Opus 4.8 trainiert wurde.

Bei dem SWE-bench Verified-Programmiertest erreichte das Modell, das die vollständige Inferenz gelernt hatte, 80,4 %, während das Modell, das nur die Zusammenfassung gelernt hatte, nur 71,8 % erreichte – ein Unterschied von 8,6 Prozentpunkten.

Daher hat Anthropic die vollständigen Entwürfe schon früh zurückgehalten und der Öffentlichkeit nur die Zusammenfassung der Inferenz gezeigt.

Claude arbeitet wie gewohnt gewissenhaft an den Aufgaben, aber Personen, die seine Arbeit kopieren wollen, erhalten nur eine gekürzte Version.

Aus diesem Grund haben Angreifer begonnen, Claude dazu zu verleiten, die verborgene Inferenz erneut zu wiederholen.

Nach offiziellen Angaben hat ein Labor 12.000 Anfragen ausprobiert, jede mit einer anderen Betrugsmethode. Sobald eine wirksame Schreibweise gefunden wird, kann sie massenhaft kopiert werden.

Unabhängige Forschung zeigt den Weg, um die Inferenz eines stärkeren Modells mithilfe eines schwächeren Modells zu extrahieren. Das Experiment fand vor dieser Verteidigungsaktualisierung statt.

Anthropic hat zuvor aufgezeichnet, dass ein Proxy-Netzwerk gleichzeitig mehr als 20.000 betrügerische Konten verwaltet, hinter dem sich ein noch größeres Kontonetzwerk verbirgt.

Es sieht so aus, als ob Benutzer in einer Schlange Fragen stellen, aber in Wirklichkeit werden Trainingsdaten massenhaft erzeugt.

Wenn das große Modell streng geheim hält, versucht man, das kleine Modell zu entlocken

Das Verstecken der Entwürfe ist jedoch nicht so einfach. Wenn Claude lange Aufgaben bearbeitet, muss er selbst auch weiterlesen.

Um ihn dazu zu bringen, dort weiterzumachen, wo er im vorherigen Schritt aufgehört hat, wird die geschützte Inferenz gespeichert und dann an das Modell zurückgegeben.

Benutzer sehen eine Zeichenfolge verschlüsselter Inhalte, aber Claude, der für die Fortsetzung zuständig ist, muss sie verstehen können.

Wenn das starke Modell streng geheim hält, übergeben Angreifer die von ihm hinterlassene Inferenz an ein anderes Modell desselben Anbieters mit schwächerem Schutz und verleiten letzteres dazu, sie zu wiederholen.

Verschiedene Modelle wurden jeweils mit Einschränkungen für Kontext, Modellkompatibilität und Organisationszugriff ausgestattet.

Eine im August veröffentlichte unabhängige Studie hat diesen Weg gezeigt. Der Verschlüsselungsalgorithmus wurde nicht geknackt, aber das Geheimnis ist trotzdem durchgesickert, da das Modell, das es gelesen hat, dazu verleitet werden kann, es erneut zu erzählen.

Anthropic musste daher auch verwalten, „wer weiterlesen darf“.

Fable 5.1 und Opus 5.5 führen „preserved thinking“ ein und prüfen den vorherigen Kontext für API-Konten, die am 31. August oder später erstellt wurden.

Wenn der vorherige Text manipuliert wurde, kann die ursprüngliche geschützte Inferenz nicht mehr normal wiederverwendet werden. Schwächere Modelle können das Ergebnis natürlich nicht lesen.

Bei Sonnet 5.5 muss die Inferenz zudem der Organisation zugeordnet werden und kann nur von der Organisation weiterverwendet werden, die die Anfrage ursprünglich gestellt hat.

Diese Prüfungen blockieren die Kettenversuche, Informationen zu entlocken, in verschiedenen Phasen. Das Ansammeln einer großen Anzahl von Konten bedeutet nicht, dass man eine Gruppe von Schülern hat, die gemeinsam die Arbeit kopieren können.

Der Versuch, heimlich zu lernen, schlägt fehl, aber die Gebühren werden trotzdem abgezogen

Darüber hinaus wird es immer teurer, wiederholt innerhalb desselben Kontos zu versuchen, Informationen zu entlocken.

Anthropic filtert Anfragen mit einem zweistufigen Klassifikator und übergibt die echten Extraktionsaufzeichnungen an interne und externe Red Teams für wiederholte Tests.

Wenn Angreifer eine neue Schreibweise finden, fügt die Verteidigungsseite sie in die nächste Schutzrunde ein.

Nach Einschätzung von Anthropic ist die Robustheit dieses Systems nun ungefähr so groß wie der Schutz, der Claude daran hindert, bei der Herstellung von biologischen Waffen zu helfen, mit einer Falsch-Positiv-Rate von weniger als 0,1 %.

Unerwarteterweise wurde diese Ebene der Verteidigung eingesetzt, um die Arbeitsentwürfe zu schützen!

Nach offiziellen Schätzungen sinkt die Anzahl der extrahierten Inferenz-Token auf der eigenen Plattform nach der Einführung des neuen Schutzes kontinuierlich. Die Abbildung zeigt eine logarithmische Skala, das nach unten zeigende Dreieck bedeutet, dass die Anzahl so gering ist, dass sie nicht gemessen werden kann.

Daher haben Angreifer begonnen, die Anfragen zu verändern, um Claude dazu zu bringen, die Inferenz in einer anderen Sprache zu übermitteln oder den Inhalt in spezielle Tags einzufügen, um die Prüfung zu umgehen.

Die Behörde hat diese Methoden bereits beobachtet und die Lücken geschlossen.

Konten, die wiederholt versuchen, die Inferenz zu extrahieren, werden in ihrer Nutzungsmenge eingeschränkt; verwandte Konten, die fortlaufend versuchen, werden gesperrt. Es reicht nicht, nur eine Reihe von Formulierungen zu haben, die das Modell täuschen können – das Konto und das Budget müssen dies auch aushalten.

Ab dem 24. September werden die Gebühren für blockierte Anfragen in den Kategorien mit niedriger Falsch-Positiv-Rate wieder erhoben: Biologische Angriffe, Destillationsangriffe und die Entwicklung fortschrittlicher großer Modelle.

Die Anfrage wird vom Sicherheitssystem abgelehnt, bevor Claude antwortet – und trotzdem muss dafür bezahlt werden.

Wenn das System jedoch einmal einen Fehler macht, können auch Kunden, die ehrlich arbeiten, diese Rechnung erhalten.

Anthropic räumt ein, dass der Klassifikator immer noch normale Anfragen fälschlicherweise blockieren kann, und diese Anfragen können nun ebenfalls berechnet werden.

Die Plattform sieht eine Blockierungsaufzeichnung, aber der Entwickler, der davon betroffen ist, steht vor folgender Situation: Die Arbeit ist nicht erledigt, aber das Geld wurde trotzdem abgezogen.

Selbst wenn Sie nicht fälschlicherweise blockiert werden, kann das Anpassen der Systemanweisungen, das Bereinigen der Ergebnisse alter Tools oder das Ändern der Tool-Liste durch den Entwickler dazu führen, dass der ursprüngliche Inferenzblock ungültig wird.

In einem offiziellen mehrstufigen Programmiertest, bei dem die Denkintensität auf das Maximum eingestellt wurde und jede Sitzung einen Inferenzblock verlor, erhöhte sich die Anzahl der Ausgabe-Token um 20,1 %.

Die Diebstahlschutzmaßnahmen wurden verstärkt, aber für Entwickler muss selbst das Organisieren von Gesprächsprotokollen darauf achten, ob das Modell die Arbeit neu beginnen lässt...

Theoretisch ist Anthropic immer noch bereit, Claude für Sie arbeiten zu lassen.

Aber sobald Sie versuchen, es dazu zu bringen, sein eigenes Ersatzmodell zu erstellen, ist dieser Lehrer, der nach Token abrechnet, bereits bereit, Ihnen eine Kontosperrungsbenachrichtigung und eine Rechnung zu senden.

Referenzmaterialien:

https://www.anthropic.com/research/distillation-defenses

https://x.com/anthropicai/status/2109795898909950247

https://x.com/ClaudeDevs/status/2103170368794185758

Dieser Artikel stammt aus dem WeChat-Offiziellen Konto „Xinzhiyuan“, Autor: Mose, veröffentlicht mit Genehmigung von 36kr.