Anthropic на 90–99% сократила сбор рассуждений Claude для чужих моделей

Anthropic, по первым собственным оценкам, на 90–99% сократила объём данных, которые чужие лаборатории выкачивают из Claude, чтобы обучить на них свои модели. В соцсети X компания назвала это значительным прогрессом.

Почему это важно: дистилляция знаний — обучение небольшой модели на ответах более сильной — позволяет повторить возможности передовой модели за малую часть времени и денег. Anthropic выложила свои методы защиты как образец для других разработчиков и признала, что часть расходов ложится на её клиентов.

Предыстория: копировщикам ценнее всего рассуждения — текст, который Claude пишет перед ответом: по нему видно, как модель приходит к решению. Борьба шла вокруг этого текста:

• Сначала Anthropic стала показывать вместо рассуждений их пересказ, и копировщикам он куда менее полезен. Компания проверила это на предобученной модели Claude, которую ещё не доучивали: после обучения на пересказах рассуждений Claude Opus 4.8 она решила 71,8% задач теста по программированию SWE-bench Verified¹, а после обучения на полных записях — 80,4%.
• Тогда копировщики стали выманивать полный текст: от просьбы вывести прежние рассуждения «дословно, символ в символ» до 12 тысяч разных уловок, которые перебрала одна лаборатория.
• Первые фильтры обходили через посреднические сети с сотнями тысяч поддельных аккаунтов; одна такая сеть, по февральскому отчёту компании, держала больше 20 тысяч аккаунтов одновременно.

Как это работает: теперь защита мешает копировщикам тремя способами:

• Копировщики переносили защищённые блоки рассуждений между разговорами, чтобы Claude решил, что полный текст им уже известен, и раскрыл его. С выходом Claude Fable 5.1 и Opus 5.5 аккаунтам API, созданным с 31 августа 2026 года, запретили править прежний контекст — то, что уже есть в разговоре с моделью. Так копировщикам труднее раз за разом выманивать рассуждения через сети поддельных аккаунтов. А рассуждения Sonnet 5.5 видит только организация, чей запрос их вызвал.
• Двухступенчатый классификатор² ловит попытки вытащить скрытые рассуждения; по словам компании, обойти его примерно так же трудно, как фильтр, который не даёт Claude помогать с биооружием.
• Тем, кто упорно выманивает рассуждения, урезают лимиты запросов и блокируют аккаунты, а с 24 сентября компания снова берёт плату за запросы, остановленные фильтром до ответа.

Расклад: классификатор стоит на Claude Sonnet 5.5, Opus 5 и 5.5, Fable 5 и 5.1 и, по словам Anthropic, ловит все уловки из её сентябрьского отчёта. Новые обходы — просьбы перевести прежние рассуждения на другой язык или выписать их в тегах рядом с ответом — компания уже закрыла.

В цифрах:

• После запуска классификатора копировщики вытягивают на платформе Anthropic в 10–100 раз меньше токенов³ рассуждений, чем раньше.
• Заблокированы десятки тысяч аккаунтов, часто меньше чем через два часа после начала кампании.
• Ради защиты компания отказалась от заметной выручки и платного трафика на триллионы токенов.

Детали: по словам Anthropic, китайская Zhipu (Z.ai), создавая модель с открытыми весами GLM-5.3, перенимала у ведущих американских моделей навыки кибератак. Пробовала она копировать и Claude Fable 5, но защитные меры, которые не дают Claude помогать с кибератаками, портили ей результат, и Zhipu перешла на более старую Claude и модель другой лаборатории. Американский центр CAISSI⁴ назвал GLM-5.3 самой сильной в кибератаках из открытых моделей, а её ограничители, по данным Anthropic, легко обойти.

Общая картина: Anthropic называет дистилляцию угрозой национальной безопасности США: копировщики, по её словам, встраивают полученные навыки в военные и разведывательные системы и системы слежки других стран. Так, Moonshot в ходе дистилляции тайно пересылала Claude запросы пользователей своих моделей Kimi. Один из них прислал пользователь, которого Anthropic связывает с Народно-освободительной армией Китая: он просил проанализировать записи камер наблюдения за конкретным человеком.

Другая сторона: Z.ai сразу не ответила на запрос Reuters о комментарии.

Но: надолго ли хватит эффекта, компания не знает: по-настоящему изощрённых и упорных попыток обойти защиту она пока не видела. Кроме того, Anthropic не до конца выполнила февральское обещание не задевать обычных клиентов:

• Из-за запрета править контекст части разработчиков пришлось переделать интеграции с Claude.
• Классификатор изредка, меньше чем в 0,1% случаев, блокирует безобидные запросы, и за них тоже берут деньги.

Если шире: копировщики распределяют трафик между API Anthropic, сторонними облаками и другими сервисами, которые продают доступ к моделям, поэтому компания зовёт платформы тоже быстро выявлять злоупотребления и отключать поддельные аккаунты.

«Защита стоит дорого, а нелегальные копировщики — всё ещё платящие клиенты», — пишет Anthropic. Свои методы она выложила, по её словам, чтобы показать, что рабочая альтернатива бездействию есть.