Anthropic 於 2026 年 10 月 12 日發布政策更新，指出其針對模型蒸餾攻擊（Distillation Attacks）的新防禦措施已將蒸餾者提取的數據量減少約 90% 至 99%。Anthropic 將蒸餾攻擊定義為未經授權、大規模提取模型能力以複製到另一模型的工業級行動，通常透過虛假帳戶網絡進行。該公司基於兩點擔憂採取行動：一是蒸餾模型可能缺乏足夠的安全防護，在生物學和網絡安全等領域造成危害；二是蒸餾模型被整合進外國軍事、情報和監控系統，構成國家安全風險。
Anthropic 點名智譜（Zhipu）在開發 GLM-5.3 時曾嘗試蒸餾 Claude Fable 5，但因安全防護干擾而轉向較舊的 Claude 模型及其他實驗室模型。此外，Anthropic 報告稱月之暗面（Moonshot）的 Kimi 模型曾將請求秘密轉發給 Claude 進行蒸餾，其中一個請求來自疑似中國人民解放軍用戶，要求分析特定個人的 CCTV 監控畫面。
為應對蒸餾，Anthropic 實施了三項主要防禦措施： 1. **控制推理流向**：在 Claude Fable 5.1 和 Claude Opus 5.5 中引入「保留思維」（preserved thinking）機制，防止 2026 年 8 月 31 日後創建的新 API 帳戶編輯先前上下文，並限制推理記錄僅供產生該記錄的組織存取。 2. **阻擋與修補提取嘗試**：部署兩階段分類器系統，其穩健性類似於防止 Claude 協助製造生物武器的防護措施，誤報率低於 0.1%。該系統應用於 Claude Sonnet 5.5、Claude Opus 5/5.5 及 Claude Fable 5/5.1 等模型。 3. **增加重複嘗試難度**：對持續嘗試提取推理的帳戶施加更嚴格的使用限制，並在偵測到持續蒸餾行為時封禁帳戶。自 2026 年 9 月 24 日起，對被安全防護阻擋的請求恢復收費。
Anthropic 表示，這些措施導致蒸餾者提取的推理 Token 數量減少 10 到 100 倍以上，並已封禁數萬個相關帳戶。然而，公司承認這些措施存在權衡，包括拒絕了來自蒸餾者的可觀收入與流量，且部分合法用戶需更新其整合方式。Anthropic 預期蒸餾將持續是一場「貓捉老鼠」的遊戲，需不斷迭代防禦技術。
事件背景
模型蒸餾（Distillation）是一種技術，透過讓較小的模型在較大、能力更強的模型輸出上進行訓練，以模擬其行為。Anthropic 指出，對蒸餾最有價值的數據是模型的推理記錄（reasoning transcripts），即模型在回應前寫出的思考過程，這比最終輸出更能幫助小模型理解如何得出答案。早期的防禦措施包括讓 Claude 在顯示給用戶前摘要其推理，這使得蒸餾模型在 SWE-bench Verified 編碼基準測試上的表現從 80.4% 降至 71.8%。然而，蒸餾者隨後轉向「主動提取」（active extraction），透過指示 Claude 逐字輸出先前推理或使用代理網絡（proxy networks）控制數十萬個虛假帳戶來繞過防護。Anthropic 提到，智譜（Zhipu）在開發 GLM-5.3 時曾嘗試蒸餾 Claude Fable 5，但因網絡安全防護干擾而轉向較舊的 Claude 模型。美國先進創新與超級智能標準中心（CAISSI）評估 GLM-5.3 為迄今發布的最具網絡能力的開放權重模型。
社群觀察
社群討論呈現兩極化觀點。部分用戶批評 Anthropic 對「未經授權使用」的立場自相矛盾，指出 Anthropic 自身也使用蒸餾技術，並質疑將蒸餾稱為「攻擊」的合理性，認為這如同學生向老師提問被指控為「學習攻擊」。另一部分用戶則認為，保護中國開源模型對於維持市場競爭和防止政府過度干預至關重要，並指出這可能解釋了為何在西方新模型湧現時，中國 AI 表現相對沉寂。還有用戶對防禦措施的長期有效性表示懷疑，認為 90-99% 的下降意味著「採集成本更高」而非問題已解決，堅定的攻擊者會透過分散請求和接受較雜訊的數據來變通，關鍵挑戰在於阻擋蒸餾而不讓正常 API 使用變得痛苦。
