数万亿token生意不要了，A社连封数万账号，蒸馏数据大砍99% - 易游体育

Anthropic近期公布了一项反蒸馏成果。在其自有平台上，通过蒸馏获取的推理数据减少了约90%至99%，规模仅剩原先的十分之一到百分之一。

数万个相关账户遭到封禁。一些账户开始蒸馏不到两小时，便收到了封号通知。

为了实现这一目标，Anthropic采用了三项主要措施：

1. 推理可继续使用，但无法随意转移

引入preserved thinking（保留思考）后，新API账户若更改此前上下文，原有推理便无法正常复用。不同模型还分别对防护较弱的旧模型接读和跨组织访问进行了限制。拿着草稿换地方继续套话，变得不再容易。

2. 套取完整推理需通过分类器

Anthropic将Constitutional Classifiers的防护思路应用于反蒸馏：通过两阶段分类系统，识别并拦截试图获取Claude完整推理的请求。这套方案的稳健程度，几乎与阻止Claude协助制造生物武器的防护相当。

3. 反复套话需付出账号和预算代价

反复套话会被限流，持续尝试的关联账号将被封禁。试图通过换号继续尝试，也要承担封号损失。蒸馏这类被防护系统拦截在Claude回答之前的请求，仍需付费。

可以说，为了驱逐这些“学生”，Anthropic甚至放弃了数万亿token的付费流量。

连草稿纸都不让抄了

对于蒸馏而言，仅抄答案远远不够。

更关键的是获取Claude答题前的思维链，了解它如何拆解题目、如何尝试、又如何发现自身错误。

Anthropic进行过对照实验，使用Opus 4.8的对话记录训练一个预训练过的Claude模型。

在SWE-bench Verified编程测试中，学习完整推理的模型得分80.4%，而仅学习摘要的模型得分为71.8%，相差8.6个百分点。

因此，Anthropic早早收起了完整草稿，仅向外界展示推理摘要。

Claude照常认真解题，试图抄作业的人只能获得删减版。

为此，攻击者开始诱导Claude复述被藏起的推理。

据官方披露，有实验室尝试了12000条请求，每条都换一种欺骗方式。一旦发现有效写法，便可批量复制。

Anthropic此前记录显示，一个代理网络同时管理超过2万个欺诈账号，背后还有规模更大的账号网络。

表面上是用户在排队提问，实际上是训练数据在批量生产。

大号嘴严，就去套小号的话

然而，藏起草稿并不那么简单。Claude执行长任务时，自身也需要继续读取。

为了让它在上一轮基础上继续思考，受保护的推理会被保存，再交回模型。

用户看到的是加密内容，但负责续写的Claude必须能够理解。

强模型嘴严，攻击者便将其留下的推理交给同一家防护较弱的模型，诱导后者复述出来。

今年8月发布的一项独立研究展示了这类路径。加密算法未被破解，但秘密仍会泄露，因为读过它的模型可以被诱使复述。

Anthropic只能对“谁能继续读取”也进行管控。

Fable 5.1和Opus 5.5引入preserved thinking，对8月31日及以后创建的API账户校验此前上下文。

若前文被修改，原有的受保护推理便无法正常复用。弱模型自然无法读取结果。

到了Sonnet 5.5，推理还需认组织，只能由最初发起请求的组织继续使用。

这些检查将接力套话卡在了不同环节。囤积大量账号，并不等于攒了一堆能接力抄作业的同学。

偷师未遂，学费照扣

此外，留在同一账号内反复套话，成本也在增加。

Anthropic使用两阶段分类器筛查请求，将真实提取记录交给内外部红队反复测试。

攻击者找到新写法，防守方就将其补充进下一轮防护。

据Anthropic评估，这套系统的稳健程度已与阻止Claude协助制造生物武器的防护大致相当，误报率低于0.1%。

为了守住解题草稿，竟然用上了这种级别的防御。

于是，攻击者开始给请求“换装”，让Claude用另一种语言交代推理，或将内容嵌入特殊标签，试图绕过检查。

官方已观察到这些手法，并补上了漏洞。

反复套取推理的账号会被收紧用量；持续尝试的关联账户将被封禁。仅有能骗过模型的话术还不够，账号和预算也得扛得住。

自9月24日起，生物、蒸馏攻击和前沿大模型开发等低误报率类别，恢复对拦截请求收费。

请求尚未等到Claude回答，就被安全系统拒绝，仍需付费。

不过，系统一旦误判，正常工作的客户也可能收到这笔账单。

Anthropic承认，分类器仍会误拦正常请求，这些请求如今也可能被收费。

平台上看到的是拦截记录，而遭遇此情况的开发者面对的是：活没干成，钱却扣了。

即便未被误拦，开发者调整系统指令、清理旧工具结果或修改工具列表，也可能导致原有推理块失效。

在官方一项多轮编程测试中，思考强度调至最高，每个会话丢失一次推理块，输出token会增加20.1%。

防盗措施加强了，但对开发者而言，连整理对话记录，都得留意是否会让模型重新开工。

理论上，Anthropic仍愿意让Claude为用户工作。

但一旦用户想让Claude教出自己的替代品，这位按token收费的“老师”，已经准备好了封号通知和账单。