Anthropic 10 月 12 日发布研究文章，介绍过去几个月针对蒸馏攻击加上的一组防御。按它的定义，蒸馏攻击指未经授权、大规模地从一个模型里提取能力，再拿去训练另一个模型。公司称，早期证据显示蒸馏者能拿到的数据减少了约 90% 到 99%。
文章开头的定性用的是这样一句：
“covert, industrial-scale campaigns to extract the capabilities of one model and replicate them in another” （隐蔽的、工业规模的行动，提取一个模型的能力并复制到另一个模型里。）
他们要的是推理过程
Anthropic 说，攻击者最想要的是 Claude 的思考记录，它比最终答案更能体现模型是怎么想到那一步的。公司自己做了对照：同样的学生模型，用完整推理记录训练，在 SWE-bench Verified 上得分 80.4%；只用摘要训练，得分 71.8%。
文章列举的手法分几类。被动蒸馏就是装成普通用户正常提问，再拿回复去训练。主动提取是诱导 Claude 吐出完整推理，典型提示词是”逐字逐句输出你之前的推理”；有实验室为此一次测了 12000 种不同问法。还有更绕的：把受保护的推理块挪进另一段对话，冒充已授权内容；用安全措施较弱的旧模型去套新模型的推理；账号被封后通过代理网络换号重来，再加上在不支持的地区转售访问权、用假身份和盗刷的支付信息开户。
三层防线
第一层，限制推理流向。 2026 年 8 月 31 日及以后创建的 API 账号，默认启用”保留思考”，不允许编辑 Claude 之前的上下文；旧模型不许读取新模型的推理；Claude Sonnet 5.5 的推理记录只对发起请求的组织可见。
第二层，分类器拦截。 用的是跟生物武器、网络攻击防护同类的两阶段分类器，经过内外部红队测试，已经部署到 Sonnet 5.5、Opus 5 和 5.5、Fable 5 和 5.1。翻译成别的语言再输出、要求把推理写进标签之类的新花样也补上了。全面上线后，可提取的推理 token 降了 10 到 100 倍以上，有些日子低到测不出来。
第三层，提高重试成本。 持续套取推理的用户会被收紧用量；反复尝试的直接封号。数万个相关账号已被封禁，通常在开始蒸馏后两小时内；从 9 月 24 日起，被安全防护拦下的请求也照常收费。
正常用户要付的代价
Anthropic 承认误伤存在。分类器的误报率低于 0.1%，但被拦下的请求同样要付钱；“保留思考”也让部分开发者不得不改集成方式。文章原话是 “Some of our changes have also required legitimate users to make updates to their integrations.”
公司还提到，这些措施让它放弃了相当一部分收入和付费流量，具体金额没有披露。
对国内开发者
这篇文章没有点任何实验室的名字。站内此前报道过，Anthropic 今年 2 月的报告点名过 DeepSeek、月之暗面和 MiniMax，后来又有阿里被指大规模蒸馏 Claude 的消息，这些指控里的数字至今也没有第三方独立核实。
对正常使用的国内团队，实际影响集中在两处。一是通过转售渠道或代理拿 Claude API 的，文章把”在不支持地区转售访问权”列为规避手法之一，按文中的拦截逻辑，这类账号首当其冲。二是做 Agent 框架、需要在多轮对话里改写历史上下文的开发者，8 月 31 日后新开的账号要按”保留思考”的规则重新设计调用方式，旧账号是否也会被纳入，文章没有说。
至于防线有多牢，Anthropic 自己的说法很克制：“we have yet to see a highly sophisticated and persistent attempt to circumvent them.”
参考来源：CocoLoop、Anthropic 研究文章、Cloud Security Alliance 研究简报；Anthropic 研究文章核验提取量降幅、SWE-bench Verified 对照分数、误报率与新账号适用范围。