就在近日，Anthropic公开发布了他们在对抗模型蒸馏方面取得的最新成果。
在其自有平台上，通过蒸馏手段获取的推理数据量减少了大约90%至99%，规模仅剩原先的十分之一到百分之一。
数万个涉及蒸馏行为的账户被注销。有些账户在开始蒸馏操作后不到两小时，就收到了封禁通知。
为了实现这一效果，Anthropic部署了三项关键防护措施：
1. 推理过程可继续使用，但禁止转移
引入“保留思考”（preserved thinking）机制后，新API账户若修改了先前对话的上下文，原有的推理内容将无法正常复用。同时，不同模型也对防护较弱的旧模型读取和跨组织访问设置了限制。试图将一段对话内容复制到另一处进行套取，已不再容易。
2. 提取完整推理前，需通过分类器筛查
Anthropic将“宪法分类器”（Constitutional Classifiers）的防护思路应用于反蒸馏领域：通过一个两阶段的分类系统，识别并拦截那些试图获取Claude完整推理过程的请求。这套方案的稳健性，已接近阻止Claude协助制造生物武器的防护水平。
3. 反复套取信息，账号和预算均需付出代价
反复尝试套取推理内容的账号将被限制流量，持续进行此类操作的关联账户则会被封禁。即使更换账号继续尝试，也面临封号损失。被防护系统拦截在Claude回答之前的蒸馏请求，同样会被计费。
可以说，为了将这些“学生”驱逐出平台，Anthropic甚至放弃了数万亿token的付费流量。
连草稿纸都不让抄了
对于模型蒸馏而言，仅仅获取最终答案远远不够。
更为关键的是拿到Claude在答题前的思维链，了解它如何拆解题目、如何尝试、又如何发现自己出错。
Anthropic自身进行过对照实验，利用Opus 4.8的对话记录训练一个预训练过的Claude模型。
在SWE-bench Verified编程测试中，学习完整推理过程的模型得分80.4%，而仅学习摘要的模型得分仅为71.8%，两者相差8.6个百分点。
因此，Anthropic早早地收起了完整的推理草稿，只对外展示推理摘要。
Claude照常认真解题，但想要抄袭作业的人只能获得删减版内容。
为此，攻击者开始诱导Claude将隐藏的推理过程重新表述出来。
根据官方披露，有实验室尝试了12000条请求，每一条都采用不同的诱导方式。只要找到一种有效的方法，就能批量复制使用。
Anthropic此前记录过，一个代理网络同时管理着超过2万个欺诈账号，背后还有规模更大的账号网络。
表面上看起来是用户在排队提问，实际上是训练数据在批量生产。
大号嘴严，就去套小号的话
然而，隐藏草稿并非万无一失。Claude在执行长任务时，自身也需要持续读取这些内容。
为了让它能继续上一轮的思考，受保护的推理内容会被保存，再交回模型。
用户看到的是加密内容，但负责续写的Claude必须能够理解。
强势模型守口如瓶，攻击者便将其留下的推理内容交给同一家公司防护较弱的模型，诱导后者复述出来。
今年8月发布的一项独立研究展示了这类攻击路径。加密算法并未被破解，但秘密依然泄露，因为能够读取秘密的模型，可以被哄骗着再次讲述。
Anthropic因此不得不对“谁能接着读”也进行管控。
Fable 5.1和Opus 5.5引入了preserved thinking，对8月31日及之后创建的API账户校验历史上下文。
如果前文被修改，原有的受保护推理内容便无法正常复用。弱模型自然无法读取到结果。
到了Sonnet 5.5，推理内容还需识别组织归属，只能由最初发起请求的组织继续使用。
这些检查措施，成功地将接力套话行为拦截在不同环节。囤积大量账号，并不意味着拥有了一堆能够接力抄袭的“同学”。
偷师未遂，学费照扣
不仅如此，在同一个账号内反复套话的成本也越来越高。
Anthropic使用两阶段分类器筛查请求，并将真实提取记录交给内外部红队反复测试。
攻击者找到新的诱导方式，防守方就将其补充进下一轮防护。
根据Anthropic的评估，这套系统的稳健程度已与阻止Claude协助制造生物武器的防护大致相当，误报率低于0.1%。
令人意外的是，为了守护解题草稿，竟然启用了如此高级别的防御！
官方估算，在新防护措施上线后，自有平台上被提取的推理token数量持续下降。
于是，攻击者开始给请求“换装”，让Claude改用另一种语言交代推理过程，或者将内容嵌入特殊标签中，试图绕过检查。
官方已经观察到这些手法，并补上了漏洞。
反复套取推理内容的账号，会被收紧用量；持续尝试的关联账户，会被封禁。仅凭一套能骗过模型的话术还不够，账号和预算也得能承受住。
从9月24日起，生物、蒸馏攻击和前沿大模型开发这几个低误报率类别，恢复对拦截请求进行收费。
请求还未等到Claude回答，就被安全系统拒绝，同样需要付费。
不过，系统一旦误判，正常工作的客户也可能收到这笔账单。
Anthropic承认，分类器仍会误拦正常请求，这些请求如今也可能被收费。
平台看到的是拦截记录，而遭遇此事的开发者面临的情况是：活没干成，钱还扣了。
即使未被误拦，开发者调整系统指令、清理旧工具结果或修改工具列表，也可能导致原先的推理块失效。
在官方一项多轮编程测试中，思考强度开到最高，每个会话丢失一次推理块，输出token会增加20.1%。
防盗措施虽然加强了，但对于开发者而言，就连整理对话记录，都得注意是否会让模型重新开始计算……
理论上，Anthropic仍然愿意让Claude为用户工作。
但一旦你想让它教出能替代自己的模型，这位按token收费的“老师”，已经准备好了封号通知和账单。