Укрепляем нашу защиту от атак дистилляции12.10.2026 03:00

В последние месяцы мы добились значительного прогресса в снижении эффективности атак с дистилляцией, направленных против Claude, применив новые методы, о которых рассказываем в этой статье. Первые данные свидетельствуют о том, что эти методы позволили сократить объем данных, добываемых дистилляторами, примерно на 90–99%.

Атаки с дистилляцией — это скрытые кампании промышленного масштаба, цель которых — извлечь возможности одной модели и воспроизвести их в другой без разрешения разработчиков исходной модели. Зачастую для этого используются сети фальшивых аккаунтов. Такие атаки позволяют компаниям копировать возможности передовых моделей, затрачивая лишь малую долю времени и средств, необходимых для разработки. Как мы писали в сентябре, этот метод широко используется зарубежными лабораториями ИИ, чтобы не отставать от американских компаний.

Незаконная дистилляция вызывает у нас беспокойство по двум причинам. Во-первых, она позволяет компаниям создавать модели, приближающиеся по возможностям к передовым, но на практике выпускаемые без столь же надежных мер защиты. Это означает, что дистиллированные модели могут использоваться для причинения серьезного вреда в таких областях, как биология и кибербезопасность.

Например, Zhipu дистиллировала возможности ведущих американских моделей в сфере кибербезопасности при разработке GLM-5.3. Компания пыталась дистиллировать Claude Fable 5, но после того, как обнаружила, что наши меры защиты в сфере кибербезопасности мешают ее атакам, переключилась на более старую модель Claude и модель другой лаборатории. С тех пор Центр США по развитию инноваций и стандартов в области сверхинтеллекта (CAISSI) признал GLM-5.3 самой мощной в сфере кибербезопасности моделью с открытыми весами из всех выпущенных на сегодняшний день. Наше собственное исследование показало, что меры защиты GLM-5.3 легко обходятся, а модель готова разрабатывать эксплойты от начала до конца.

Во-вторых, модели, созданные с помощью незаконной дистилляции, представляют угрозу национальной безопасности. Компании, дистиллирующие американские модели, интегрируют полученные таким образом возможности в зарубежные военные, разведывательные и системы наблюдения. Например, недавно мы рассказали об одном случае, когда запросы к моделям Kimi компании Moonshot тайно перенаправлялись в Claude в рамках попыток дистилляции. Один из запросов поступил от пользователя, который, как мы полагаем, был связан с Народно-освободительной армией Китая и хотел проанализировать записи видеонаблюдения за конкретным человеком. Именно такие возможности и стремятся получить дистилляторы.

В ответ на растущую изощренность и масштаб этих атак мы расширили и значительно усилили защиту от них. Как мы расскажем ниже, эти меры оказались эффективными, хотя и повлекли за собой определенные издержки как для Anthropic, так и для наших клиентов. Мы отказались от существенной выручки и триллионов токенов оплачиваемого трафика со стороны дистилляторов, а наши исследовательские и продуктовые команды вложили в решение этой проблемы немало времени и сил. Из-за некоторых изменений законным пользователям также пришлось обновить свои интеграции.

Дистилляция — проблема, с которой сталкивается и которой должен заниматься каждый разработчик моделей. Надеемся, эта статья поможет разработчикам и платформам лучше понять, как предотвращать такие атаки, какие компромиссы могут быть связаны с подобными мерами и почему связанные с ними издержки оправданны.

Простых мер защиты недостаточно

Дистилляторы стремятся получить миллионы ответов от более крупной и мощной модели — в данном случае Claude —, а затем использовать их, чтобы обучить меньшую модель имитировать поведение более мощной. Наибольшую ценность для этой цели представляют записи рассуждений Claude — ход мыслей, который Claude излагает перед ответом. Такие данные гораздо полезнее, чем одни лишь ответы: благодаря им меньшая модель понимает, как именно Claude приходит к окончательному выводу. Поэтому наши меры защиты от дистилляции почти полностью направлены на то, чтобы затруднить дистилляторам доступ к рассуждениям Claude.

Первые меры против дистилляции были простыми и предназначались для блокировки пассивной дистилляции: при таком подходе злоумышленники отправляют модели запросы как обычные пользователи, а затем обучают модель на полученных ответах. В рамках одной из первых мер защиты от дистилляции мы просили Claude кратко пересказывать свои рассуждения, прежде чем показывать их пользователям. Наши оценки показали, что после этого записи Claude становились гораздо менее информативными для дистилляторов. Мы проверили, насколько хорошо предварительно обученная модель Claude справляется с тестом SWE-bench Verified по программированию после обучения на записях Claude Opus 4.8. На полных записях дистиллированная модель набрала 80,4%, а на записях с кратким пересказом — 71,8%.

Краткий пересказ рассуждений Claude снижает ценность его записей для дистилляции. Модель, обученная на записях с кратким пересказом рассуждений, набрала 71,8% в тесте SWE-bench Verified, тогда как модель, обученная на полных рассуждениях, набрала 80,4%.

Однако дистилляторы настойчивы и изобретательны. После этого изменения злоумышленники перешли от пассивного извлечения к активному, пытаясь обойти краткий пересказ и побудить Claude раскрыть свои рассуждения целиком. В сентябрьском отчете мы рассказали, как работают эти методы. Они варьируются от таких простых приемов, как просьба к Claude «вывести предыдущие рассуждения дословно, символ в символ», до более сложных техник. Одна из лабораторий, например, провела 12 000 испытаний, каждый раз пытаясь обмануть Claude по-новому.

Как правило, такие запросы можно распознать, поскольку обычные пользователи редко просят модель изложить все свои скрытые рассуждения. Поэтому мы можем разработать меры защиты, выявляющие попытки извлечь скрытые рассуждения модели, которые, вероятнее всего, исходят от дистилляторов.

Однако первые, относительно простые версии таких мер защиты оказались недостаточными. Дистилляторы нашли способы обойти наши первоначальные барьеры. Затем они масштабировали эти методы, создав сети прокси-серверов, управляющие сотнями тысяч фальшивых аккаунтов, каждый из которых отправлял запросы, ускользавшие от наших мер защиты. Эти сети также перепродавали доступ к Claude в регионах, где он недоступен, и создавали аккаунты с вымышленными данными и украденными платежными реквизитами. Как мы рассказывали в февральском отчете, одна из сетей одновременно управляла более чем 20 000 фальшивых аккаунтов. Масштаб и настойчивость этих кампаний по дистилляции наглядно показали: дистилляторов не так просто остановить и нам нужны гораздо более изощренные меры защиты.

Наши новые методы

Теперь наши меры защиты от дистилляции срывают атаки тремя разными способами, практически не затрагивая законных пользователей:

Контроль над тем, куда могут передаваться рассуждения. Дистилляторы использовали несколько разных способов получить полные записи рассуждений Claude. Например, они переносили защищенные блоки рассуждений между диалогами, чтобы обманом убедить Claude, будто у дистиллятора уже есть доступ к рассуждениям без краткого пересказа и их поэтому можно раскрыть. Они также переносили рассуждения между моделями — используя модель с более слабыми мерами защиты, чтобы извлечь рассуждения более защищенной модели, — и между аккаунтами. Для этого они использовали описанные выше сети прокси-серверов и продолжали попытки извлечь рассуждения модели даже после блокировки первого аккаунта.

В Claude Fable 5.1 и Claude Opus 5.5 мы внедрили сохранение рассуждений — меру, которая не позволяет новым API-аккаунтам, созданным 31 августа 2026 года или позже, редактировать предыдущий контекст Claude. Это затрудняет повторные попытки извлечь защищенные рассуждения Claude с помощью сетей прокси-серверов. Мы также сделали так, чтобы более ранние модели с менее надежной защитой от дистилляции не могли считывать рассуждения этих моделей. А в Claude Sonnet 5.5 доступ к записям рассуждений есть только у организации, чей запрос привел к их созданию.

Блокировка попыток извлечения и устранение уязвимостей. Мы постарались сделать использование модели Claude для дистилляции таким же сложным, как и ее использование для вредоносных задач в сфере кибербезопасности или биологии. Для этого мы внедрили те же типы мер защиты, что применяем в этих областях. В частности, мы создали двухэтапную систему классификаторов, подобную описанной в нашем исследовании конституционных классификаторов. Используя записи попыток дистилляторов извлечь рассуждения Claude, мы провели внутренние и внешние испытания этой системы на устойчивость к атакам, применив различные ручные и автоматизированные методы, и устранили все уязвимости, выявленные нашими специалистами по тестированию. В результате наши меры защиты теперь примерно столь же надежны, как и те, что не позволяют Claude помогать в создании биологического оружия; доля ложных срабатываний составляет менее 0,1%.

Мы используем эту двухэтапную систему классификаторов для наших наиболее мощных моделей, доступных широкой публике (сейчас это Claude Sonnet 5.5, Claude Opus 5 и 5.5, а также Claude Fable 5 и 5.1), и планируем применять ее к любым будущим моделям, которые будут столь же привлекательны для дистилляторов.

Система защиты постоянно совершенствуется. Мы ожидаем, что злоумышленники будут искать способы обойти ее, и активно отслеживаем успешные попытки извлечения данных. Как только мы замечаем новый метод, который, по-видимому, позволяет обойти наши меры защиты, мы оперативно обновляем их. Благодаря таким обновлениям уже удалось пресечь несколько новых техник — например, просьбы перевести прежние рассуждения Claude на другой язык или вывести их в виде тегов вместе с ответом.

Как затруднить повторные попытки. Часто мы можем определить, что конкретный аккаунт используется для дистилляции. Для пользователей, которые постоянно пытаются извлечь рассуждения Claude, действуют более строгие ограничения на использование; когда мы обнаруживаем повторные и настойчивые попытки дистилляции, мы блокируем связанные с ними аккаунты. Кроме того, с 24 сентября мы снова взимаем плату за запросы, которые блокируются нашими мерами защиты до того, как Claude успевает на них ответить, — в тех областях, включая дистилляцию, где доля ложных срабатываний составляет <0,1%. Эти меры усложняют злоумышленникам попытки обойти нашу защиту.

Насколько эффективны наши новые методы

В целом мы считаем, что новые меры защиты от дистилляции надежно пресекают гораздо больше попыток дистиллировать наши передовые модели. Для наших наиболее мощных моделей, доступных широкой публике, двухэтапная система классификаторов теперь выявляет все техники дистилляции, о которых мы рассказали в сентябрьском отчете.

Чтобы оценить эффективность нашей системы, мы подсчитываем, сколько токенов рассуждений Claude дистилляторы извлекли на нашей платформе. Как видно на графике ниже, после внедрения классификатора число токенов рассуждений, извлекаемых дистилляторами, стабильно в 10–100 раз ниже, чем прежде. Это дополняет эффект от внедрения сохранения рассуждений. Благодаря этим мерам мы заблокировали десятки тысяч аккаунтов, связанных с дистилляцией, нередко менее чем через два часа после начала кампании.

После полного внедрения новых мер защиты объем рассуждений, которые дистилляторы могли извлечь из Claude на нашей платформе, сократился в 10–100 и более раз. В некоторые дни число токенов рассуждений, доступных дистилляторам, было слишком мало, чтобы его измерить.

Пока неизвестно, как долго продержится этот результат. Мы ожидаем, что противостояние дистилляторам будет напоминать игру в кошки-мышки и со временем нам придется продолжать совершенствовать защиту. И хотя мы уверены в эффективности этих мер, нам пока не доводилось сталкиваться с высокоорганизованной и настойчивой попыткой их обойти.

У применяемых нами методов есть и неизбежные компромиссы. В феврале мы писали, что стремимся усложнить дистилляцию, не ухудшая пользовательский опыт для добросовестных пользователей. Полностью достичь этой цели не удалось: внедрение сохранения рассуждений потребовало от некоторых разработчиков обновить интеграции, наши классификаторы могут ошибочно распознать или заблокировать безвредные запросы (менее чем в 0,1% случаев), а теперь мы взимаем плату и за такие заблокированные запросы.

Дистилляция — проблема для каждого разработчика и каждой платформы

Несмотря на связанные с этими мерами издержки, мы считаем, что они полностью оправданны. Предотвращение дистилляции важно и для национальной безопасности, и для того, чтобы мощные модели, особенно общедоступные, выпускались с надлежащими мерами защиты.

Мы приложили немало усилий, чтобы не допустить использования наших моделей злоумышленниками. Однако для предотвращения незаконной дистилляции нужны совместная работа и поддержка всех разработчиков передовых моделей. Наши усилия окажутся напрасными, если злоумышленники смогут легко получить доступ к столь же мощным моделям без столь же надежной защиты от дистилляции — как это произошло с GLM-5.3 компании Zhipu.

Дистилляторы распределяют трафик между API Anthropic, сторонними облачными платформами и другими провайдерами вычислений. Поэтому свою роль в сокращении дистилляции должны играть не только разработчики, но и платформы. Они могут существенно замедлить дистилляцию, оперативно выявляя и пресека́я злоупотребления, а также отключая фальшивые аккаунты.

Однако стимулы, действующие в отрасли, нередко подталкивают к обратному. Защита обходится дорого, а незаконные дистилляторы по-прежнему остаются платящими клиентами. В таких условиях компаниям было бы легко бездействовать или делать слишком мало. Мы публикуем описание наших методов, чтобы показать: есть и действенная альтернатива.