Anthropic обвинила Alibaba, DeepSeek и Moonshot в дистилляции Claude

Anthropic обвинила семь лабораторий из Китая в скрытом копировании возможностей Claude, говорится в её отчёте о противодействии злоупотреблениям за период с декабря 2025 года по август 2026 года. В списке — Alibaba (Qwen/Tongyi Lab), DeepSeek, Moonshot AI, Z.ai¹, Xiaomi, SenseTime и MiniMax. Самую крупную кампанию компания связала с Alibaba: с мая по июль — более 151 млн обменов сообщениями с Claude, на пике почти 3 млн в сутки с более 3 500 поддельных аккаунтов.

Сама дистилляция — обычный метод обучения: крупная модель-«учитель» генерирует ответы, на них обучают меньшую модель-«ученика». Незаконной Anthropic называет промышленное скрытое извлечение возможностей без разрешения, обычно через сети фиктивных аккаунтов, оформленных на украденные карты, пароли и ключи API. По данным отчёта, Alibaba подставляла в каждый запрос инструкцию, которая заставляла Claude выписывать цепочку рассуждений² в теге, а собранные расшифровки использовала при обучении Qwen 3.5, 3.6 и 3.7.

DeepSeek и Moonshot, как утверждает Anthropic, действовали иначе: они молча перенаправляли запросы собственных клиентов в Claude и показывали им ответы Claude как ответы своих моделей. Moonshot за десять дней передала около 300 000 запросов, в основном к Opus, через сеть из 5 380 поддельных аккаунтов. В этом трафике Anthropic увидела чужие секреты: у Moonshot — разбор записей с сотен камер видеонаблюдения в Чэнду по одному человеку от пользователя, предположительно связанного с китайской армией, у DeepSeek — действующие учётные данные к базе российского ведомства, связанного с Минобороны. Уведомляли ли компании своих клиентов о переадресации, Anthropic не знает.

Z.ai за десять дней июня провела через свой конвейер обработки рассуждений 770 609 обменов, используя 273 поддельных аккаунта. Перед выпуском GLM 5.3 она пыталась извлечь из Claude навыки работы с уязвимостями, но, по наблюдениям Anthropic, отказалась от Fable из-за её защитных мер и переключилась на Opus 4.6 и передовую модель другой американской лаборатории, посчитав их защиту слабее. Xiaomi отправила в Claude более 400 тыс. запросов через 1 500 аккаунтов, а MiniMax, по версии отчёта, создала через фирму-прослойку сервис доступа, который продаёт только модели Anthropic и OpenAI и не предлагает китайских, включая собственные.

Против этого Anthropic ввела несколько слоёв защиты. Claude теперь пересказывает свои рассуждения перед ответом, так что украденные расшифровки хуже годятся для обучения. В Fable 5.1, вышедшей в начале сентября, появилось сохранение рассуждений: новым аккаунтам API запрещено менять системный запрос, инструменты и предыдущие сообщения в многоходовом диалоге. При подозрении на перепродажу доступа или работу из Китая, России и Ирана система требует подтвердить личность, а отказавшихся блокирует.

Отдельный раздел отчёта посвящён кибероперациям. Группу, атрибуцию которой Anthropic считает совпадающей с публичными данными о Midnight Blizzard³, компания застала за автоматизацией шпионажа: агенты следили, не обнаружили ли их программы антивирусы, и переделывали их, пока обнаружение не прекращалось. В планах и операциях группы нашлось больше 20 организаций — министерства, посольства, оборонные предприятия, в основном в Украине и Европе. Отдельный интерес злоумышленники проявляли к поставщикам компонентов для военных дронов, а у технического ведомства одной из стран Северной Африки вывели более 300 тыс. записей национального удостоверения личности и данные коммерческого реестра более чем полумиллиона компаний.

Впервые Anthropic опубликовала и случаи биологического характера — пять примеров, где Claude помогал исследователям в работе двойного назначения. В одном из них платформа-посредник обходила региональные блокировки для вирусологов, работавших по государственному гранту, и перенаправляла отклонённые Claude запросы к модели конкурента с более мягкими ограничениями. В другом исследователь месяцами обсуждал планы экспериментов, но классификаторы удержали переписку на самых слабых моделях — Sonnet 4 и Haiku 4.5. Вывод компании: одними классификаторами такую область не закрыть, безопасный доступ к передовым биологическим возможностям возможен только через программы для проверенных пользователей.

Прошлые отчёты о злоупотреблениях Anthropic выпускала в марте, августе и ноябре 2025 года, а о первых случаях незаконной дистилляции сообщила в феврале 2026 года. В этот раз, по её данным, злоупотребления шли через Haiku, Sonnet и Opus; на Fable и Mythos не нашлось ни одного случая, кроме одной попытки дистилляции.