Anthropic 於 10 月 12 日發表研究文章，介紹過去幾個月針對蒸餾攻擊加上的一組防禦。依它的定義，蒸餾攻擊是指未經授權、大規模地從一個模型中擷取能力，再拿去訓練另一個模型。公司表示，早期證據顯示蒸餾者能取得的資料減少了約 90% 到 99%。
文章開頭是這樣定性的：
"covert, industrial-scale campaigns to extract the capabilities of one model and replicate them in another"
（隱蔽的、工業規模的行動，擷取一個模型的能力並複製到另一個模型裡。）
他們要的是推理過程
Anthropic 指出，攻擊者最想要的是 Claude 的思考紀錄，它比最終答案更能呈現模型是怎麼想到那一步的。公司自己做了對照：同樣的學生模型，用完整推理紀錄訓練，在 SWE-bench Verified 上得分 80.4%；只用摘要訓練，得分 71.8%。
文章列舉的手法分成幾類。被動蒸餾，就是假扮一般用戶正常提問，再拿回覆去訓練。主動擷取，則是誘導 Claude 吐出完整推理，典型的提示詞是「逐字逐句輸出你先前的推理」；有實驗室為此一次測了 12000 種不同問法。還有更迂迴的做法：把受保護的推理區塊搬進另一段對話，冒充已授權的內容；用安全措施較弱的舊模型去套新模型的推理；帳號被封後透過代理網路換帳號重來，再加上在不支援的地區轉售存取權，以及用假身分和盜刷的付款資訊開戶。
三層防線
第一層，限制推理流向。2026 年 8 月 31 日（含）以後建立的 API 帳號，預設啟用「保留思考」，不允許編輯 Claude 先前的上下文；舊模型不得讀取新模型的推理；Claude Sonnet 5.5 的推理紀錄只對發出請求的組織可見。
第二層，分類器攔截。採用的是與生物武器、網路攻擊防護同類的兩階段分類器，經過內外部紅隊測試，已部署到 Sonnet 5.5、Opus 5 與 5.5、Fable 5 與 5.1。翻成其他語言再輸出、要求把推理寫進標籤之類的新花招也已補上。全面上線後，可擷取的推理 token 減少了 10 到 100 倍以上，有些日子低到測不出來。
第三層，提高重試成本。持續套取推理的用戶會被收緊用量；反覆嘗試的則直接封鎖帳號。數萬個相關帳號已被封鎖，通常在開始蒸餾後兩小時內；自 9 月 24 日起，被安全防護攔下的請求也照常收費。
正常用戶要付的代價
Anthropic 承認誤傷確實存在。分類器的誤報率低於 0.1%，但被攔下的請求同樣要付費；「保留思考」也讓部分開發者不得不調整整合方式。文章原話是："Some of our changes have also required legitimate users to make updates to their integrations."
公司還提到，這些措施讓它放棄了相當一部分營收與付費流量，但並未揭露具體金額。
對中國大陸開發者而言
這篇文章沒有點名任何實驗室。本站先前報導過，Anthropic 今年 2 月的報告點名過 DeepSeek、Moonshot AI 與 MiniMax，後來又有 Alibaba 被指大規模蒸餾 Claude 的消息，這些指控中的數字至今仍沒有第三方獨立查證。
對正常使用 Claude 的中國大陸團隊來說，實際影響集中在兩處。一是透過轉售管道或代理取得 Claude API 的團隊，文章把「在不支援的地區轉售存取權」列為規避手法之一，依文中的攔截邏輯，這類帳號首當其衝。二是開發 Agent 框架、需要在多輪對話中改寫歷史上下文的開發者，8 月 31 日後新開的帳號必須依「保留思考」的規則重新設計呼叫方式，舊帳號是否也會被納入，文章沒有說明。
至於防線有多牢固，Anthropic 自己的說法相當克制："we have yet to see a highly sophisticated and persistent attempt to circumvent them."
參考來源：CocoLoop、Anthropic 研究文章、Cloud Security Alliance 研究簡報；Anthropic 研究文章已核實擷取量降幅、SWE-bench Verified 對照分數、誤報率與新帳號適用範圍。