在最近几个月，我们在使用新方法减少对 Claude 蒸馏攻击的有效性方面取得了重大进展，正如我们在这篇博客中所概述的。初步证据表明，这些方法已将蒸馏者收集的数据量减少了约 90% 到 99%。蒸馏攻击是 covert 的、工业规模的活动，旨在提取一个模型的能力并在另一个模型中复制这些能力，而没有原始模型开发者的授权。这些攻击通常通过虚假账户网络进行。这些攻击允许公司在相对较短的开发时间和成本内模仿前沿能力。正如我们在九月份所写，这种方法已经被广泛用于帮助海外 AI 实验室跟上美国公司的步伐。我们对非法蒸馏有两个原因的担忧。首先，蒸馏使公司能够构建接近能力前沿的模型，但在实际中，这些模型的发布并没有配备相应的安全保障。这意味着蒸馏模型可能被用于在生物学和网络安全等领域造成重大损害。例如，Zhipu 在开发 GLM-5.3 的过程中蒸馏了美国领先模型的网络能力。该公司试图蒸馏 Claude Fable 5——尽管在发现我们的网络安全保障降低了其攻击效果后，它转而使用较旧的 Claude 模型和另一实验室的模型。美国推进超级智能创新和标准中心（CAISSI）已评估 GLM-5.3 是迄今为止发布的网络能力最强的开放权重模型。我们的研究发现，GLM-5.3 的安全保障很容易被绕过，并且该模型愿意开发端到端的安全漏洞。其次，非法蒸馏模型对国家安全构成风险。蒸馏美国模型的公司将他们从蒸馏中获得的能力集成到外国的军事、情报和监控系统中。例如，我们最近报道了一个案例，Moonshot 的 Kimi 模型请求被秘密转发给 Claude，作为其蒸馏工作的部分。一项请求来自一位用户（我们认为与中国人民解放军有关），该用户试图分析对特定个人的 CCTV 监控。这些正是蒸馏者希望开发的能力。面对这些攻击的日益复杂和规模，我们扩展并大幅增强了对它们的防御。正如我们将在下文中描述的那样，这些措施取得了成功——尽管它们确实为 Anthropic 和我们的客户带来了权衡。我们拒绝了来自蒸馏者的重要收入和数万亿个令牌的支付流量，我们的研究和产品团队在这个问题上投入了大量时间和精力。我们的一些变更也要求合法用户更新他们的集成。蒸馏是每个模型开发者面临并必须面对的问题。我们希望这篇文章能帮助开发者和平台更好地理解他们如何可以防止这些攻击，这些措施可能是什么样的权衡，以及为什么这些成本值得承受。简单的防御措施远远不够。蒸馏者旨在从一个更大、更强大的模型（在本例中为 Claude）生成数百万个响应，然后利用这些响应来教一个较小的模型模仿更强大模型的行为。对于这个目的，最有价值的数据类型是 Claude 思考过程的记录——Claude 在回应之前写下的思维过程。这比它的输出更有用，因为它帮助较小的模型理解 Claude 如何得出最终答案。因此，我们对蒸馏的防御几乎完全集中在使 Claude 的推理对蒸馏者更难以访问。我们为对抗蒸馏所做的早期工作始于一些旨在阻止被动蒸馏的简单措施，在被动蒸馏中，攻击者像普通用户一样向模型发送请求，然后训练这些响应。作为我们初步反蒸馏措施之一，我们让 Claude 在展示给用户之前总结其推理。我们的评估显示，这使得 Claude 的记录对蒸馏者来说信息量大大减少。我们测试了在经过 Claude Opus 4.8 的记录进行训练后的预训练 Claude 模型在 SWE-bench Verified 编码基准上的表现。当训练在完整的记录上时，蒸馏模型达到了 80.4%；而仅在总结记录上，它达到了 71.8%。总结 Claude 的推理使其记录对于蒸馏变得不那么有用。一个基于总结推理的记录训练的模型在 SWE-bench Verified 上得分为 71.8%，而基于完整推理的模型得分为 80.4%。但是，蒸馏者是顽强而有创造力的。在此次更改之后，攻击者从被动提取转向主动提取，寻找绕过总结的方法，鼓励 Claude 揭示其...