Anthropic заявила о снижении кражи токенов рассуждений Claude на 90–99%

Anthropic заявила, что сократила извлечение внутренних токенов рассуждений Claude на 90–99%. Компания связывает масштабные дистилляционные атаки с китайскими Zhipu и Moonshot и сообщает о блокировке десятков тысяч аккаунтов. Сами цифры пока опираются только на слова Anthropic: в доступном нам материале нет ни базовой точки отсчёта, ни описания методики подсчёта.

Что именно пытались вынуть

Дистилляция — давняя и легальная в принципе техника: небольшую или просто другую модель обучают на ответах более сильной. Проблемы начинаются, когда «учитель» — чужая закрытая модель, а условия сервиса такое использование запрещают. Для коммерческого лидера это прямой перенос вложений в обучение на счёт конкурента.

В случае с моделями-рассуждателями ценность особенно высока. Итоговый ответ показывает результат, а цепочка рассуждений — путь к нему: какие шаги модель делает, где перепроверяет себя, как разбивает задачу. Такие трассы — готовый обучающий материал для воспроизведения похожего поведения у другой системы. Поэтому Anthropic говорит именно о токенах рассуждений, а не об обычных выходах API.

Что известно о мерах

Из заявления следует следующее:

• снижение извлечения внутренних рассуждений Claude — на 90–99%;
• заблокированы десятки тысяч аккаунтов;
• в качестве причастных названы две китайские компании: Zhipu и Moonshot;
• атаки описаны как «промышленные», то есть системные и распределённые, а не разовые эксперименты отдельных пользователей.

Масштаб в десятки тысяч аккаунтов указывает на типичную схему: запросы дробятся между множеством учётных записей, чтобы каждая по отдельности выглядела как обычный пользователь. Защита от такого строится на поведенческом анализе, а не на лимитах для одного ключа. Конкретные механизмы Anthropic в доступном тексте не раскрыты.

Чего не хватает в заявлении

Сразу несколько вопросов остаются открытыми. Разброс «от 90 до 99%» — это разница почти на порядок в остаточной утечке: при 99% проходит одна сотая трафика, при 90% — одна десятая. Неясно, к чему именно применён показатель: к числу запросов, объёму токенов или оценке полезности извлечённых данных. Не ясно и то, на каких доказательствах держится атрибуция конкретным компаниям — по инфраструктуре, по платёжным следам или по содержанию запросов. Позиции Zhipu и Moonshot в доступных материалах нет.

Есть и сдержанная оценка самой метрики. Если защита снизила утечку, но злоумышленники перешли на другие каналы — например, на посредников и перепродавцов доступа, — реальный эффект будет меньше заявленного. Такие проверки обычно делают сторонние исследователи, и пока их нет.

Практические выводы

Для команд, которые строят продукты на закрытых моделях, главный сигнал — ужесточение контроля над аккаунтами. Тем, кто работает через агрегаторы и прокси, стоит проверить, откуда у посредника доступ и не нарушает ли он условия провайдера: блокировки «по цепочке» затрагивают и честных клиентов. Компаниям, которые дообучают собственные модели, полезно вести учёт происхождения данных и прямо исключать выходы сторонних моделей, если лицензия это запрещает. А разработчикам открытых моделей из Китая, судя по заявлению, придётся отвечать не только за качество, но и за чистоту обучающих данных.

Сам спор о дистилляции будет только обостряться: чем дороже обучение передовых систем, тем сильнее соблазн получить результат дешёвым путём — и тем активнее лаборатории будут прятать и защищать свои рассуждения.