美国人工智能公司Anthropic 10月12日发文说，过去几个月用新方法防范针对Claude模型的“蒸馏攻击”，取得了实质进展，早期证据显示，蒸馏者取得的数据减少了约90%至99%。蒸馏攻击是在未经原开发商授权的情况下，隐蔽、大规模地提取一个模型的能力，复制到另一个模型里，通常借助大批假账户进行。
正常用户也要付出代价：Anthropic说，部分开发者为此要更新接入Claude的方式，分类器在不到0.1%的情况下会误判或拦下正常请求，被拦下的请求现在也要收费。Anthropic还说，为了防范蒸馏，公司放弃了可观的收入和来自蒸馏者的数万亿token的付费流量。
Anthropic点名中国的智谱：智谱开发GLM-5.3时，蒸馏了美国领先模型的网络能力，还试过蒸馏Claude Fable 5，发现Anthropic的网络安全防护削弱了攻击效果之后，改用较旧的Claude模型和另一家实验室的模型。Anthropic说，美国推进超级智能创新与标准中心（CAISSI）后来评估，GLM-5.3是迄今网络能力最强的开放权重模型；Anthropic自己的研究则发现，GLM-5.3的防护很容易被绕过，这个模型愿意从头到尾开发安全漏洞的利用程序。智谱在海外用的品牌是Z.ai，没有立即回应置评请求。
Anthropic 9月10日发布的威胁情报报告说，智谱曾在10天里轮流使用273个假账户，对Claude Opus 4.8运行提取“思维链”的程序，也就是Claude作答之前写下的推理过程；6月和7月的17天里，可以归到智谱名下的蒸馏交互超过三百四十万次。Anthropic说，推理过程是蒸馏者最想要的数据：用Claude Opus 4.8的完整记录训练出来的模型，在SWE-bench Verified编程测试中得分80.4%，只用摘要过的记录，得分是71.8%。
Anthropic还说，蒸馏美国模型的公司正把得到的能力用进外国的军事、情报和监控系统。Anthropic在9月的报告里举例说，开发Kimi模型的月之暗面把客户请求悄悄转给Claude处理；其中一名Anthropic认为很可能与中国人民解放军有关的用户，以为自己在用Kimi，让模型分析一份监控录像档案，看一名被追踪的人有没有异常举动，档案里是成都数百个摄像头的画面，包括解放军设施、中国电子科技集团下属研究所和一家大型国有企业门外的摄像头。
新措施有三项：一是从Claude Fable 5.1和Claude Opus 5.5开始推出“保留思考”，让8月31日或以后开设的新API账户不能修改Claude此前的上下文；二是用两阶段分类器拦截提取推理过程的请求，Anthropic说这套防护大致和防止Claude协助制造生物武器的防护一样可靠，误报率低于0.1%；三是对一再尝试提取推理过程的账户收紧使用限制，持续尝试的就封号。Anthropic说，引入分类器以后，蒸馏者取得的推理内容一直比以前少10到100倍；公司已经封禁了数万个与蒸馏有关的账户，往往在账户开始蒸馏后不到两小时就封掉。Anthropic也说，还不知道这些成效能维持多久，预计蒸馏会一直是“猫捉老鼠的游戏”，公司也还没有遇到高度复杂、持续的规避尝试。
| 项目 | 数字 | 口径 |
|---|---|---|
| 蒸馏者取得的数据 | 减少约90%至99% | 早期证据 |
| 蒸馏者取得的推理内容 | 比以前少10到100倍 | 引入分类器以后 |
| 分类器误报率 | 低于0.1% | |
| 封禁的蒸馏账户 | 数万个 | 截至10月12日 |
| 智谱轮流使用的假账户 | 273个 | 10天里 |
| 可归到智谱名下的蒸馏交互 | 超过三百四十万次 | 6月和7月的17天 |
数据：Anthropic 10月12日的文章和9月10日的威胁情报报告
茉莉花观察
这一节是茉莉花的看法，依据是上文的事实。
我们的分析Anthropic这次把蒸馏说成安全问题，而不只是生意上的事。被蒸馏出来的模型能力接近前沿，防护却跟不上，GLM-5.3就被评为网络能力最强的开放权重模型，防护又很容易绕过。Anthropic的防护再有效，也只管得住自己的平台：蒸馏者把流量分散到Anthropic的API、第三方云平台和其他推理服务商，Anthropic自己也说，攻击者只要还能轻易用上能力相近、却没有同样有力的防蒸馏防护的模型，自家的努力就会被抵消。
不同看法北京否认这类指控。中国商务部9月说，美国政府指控中国企业大规模蒸馏美国模型“于事无凭，于法无据”，是把蒸馏这一业内正常的技术和商业问题“政治化、工具化”；中国外交部则说不了解Anthropic的报告，反对歪曲事实、抹黑中国。我们同意，蒸馏本身是业内常用的训练方法，用自己的模型或事先获得授权并不违法；但Anthropic指的是用假账户和代理网络规避限制、大规模提取别家的模型，这和正常的蒸馏是两回事。
前瞻Anthropic会不会再点名中国公司蒸馏Claude。我们判断，到2026年12月31日（含当天），Anthropic会再发表文章或报告，点名至少一家中国公司蒸馏Claude。蒸馏者过去每被挡一次就换一种办法，从被动收集回答，到诱导Claude交出完整的推理过程，再到用控制几十万个假账户的代理网络；Anthropic自己也说，防护要一直跟着改。推理过程是训练模型最有用的数据，Anthropic这次让蒸馏者取得的数据减少了约90%至99%，蒸馏者想要的东西却没有变。
