Anthropic正在把反蒸馏从被动防御转向主动出击，并首次公开披露其技术手段与商业代价。10月12日，这家AI公司表示，其针对Claude模型的最新防御体系已将攻击者提取的推理数据量压缩至原先的1%至10%，降幅达90%至99%；同时已封禁数万个与蒸馏行为相关的账号，部分账号在发起攻击后不到两小时内即被处置。

蒸馏者真正觊觎的并非模型的最终输出，而是Claude在作答前写出的"推理过程"。Anthropic的评测给出了一个直观对比：在Claude Opus 4.8的完整推理记录上训练的蒸馏模型，在SWE-bench Verified编程基准测试中可拿到80.4%的得分；而若只使用经摘要处理的推理记录，得分降至71.8%。这一差距解释了为何攻击者愿意反复尝试提取原始推理内容。

为应对不断升级的攻击手法，Anthropic搭建了三层防御架构。第一层是推理数据的访问管控。针对Claude Fable 5.1和Claude Opus 5.5，公司推出"保留思维"（preserved thinking）功能：2026年8月31日之后创建的新API账号无法编辑Claude的上下文历史，从而切断攻击者借代理网络反复试探、提取受保护推理内容的路径。此外，较早版本模型无法读取新模型的推理记录，而Claude Sonnet 5.5的推理内容仅限发出请求的原始机构访问。

第二层是双阶段分类器，用于阻止并修复提取尝试。该分类器的误报率低于0.1%，已接近Anthropic用于防止Claude协助生物武器研发的安全护栏水平，目前部署在Claude Sonnet 5.5、Claude Opus 5和5.5、Claude Fable 5和5.1等主力商用模型上。公司称，该系统已拦截多种新型攻击手法，包括要求Claude把此前推理翻译成另一种语言，或将推理内容写入特定标签的尝试。

第三层是重复尝试的成本化机制。持续尝试提取推理内容的账号将面临更严格的使用限额；自2026年9月24日起，Anthropic恢复对被安全护栏拦截的请求收费——前提是该护栏误报率低于0.1%。此举意在通过抬高经济成本，遏制攻击者的持续骚扰。

Anthropic并未回避这套体系带来的现实摩擦。公司承认，"保留思维"功能要求部分开发者更新现有集成；分类器存在极少比例的误拦截；被拦截的请求也需照常收费，对误触边界的合法用户造成实际影响。

更显著的代价体现在营收层面。Anthropic明确表示，因拒绝蒸馏者的付费流量，已放弃"有实质意义的收入"，涉及数以万亿计的token。公司坦言，行业内的激励机制往往指向相反方向——防御成本高昂，而非法蒸馏者仍是付费客户，这使得"什么都不做"成为更省力的选择。

从产业视角看，这次披露把模型推理数据推到了资产保护的前台。推理记录既是模型能力的重要来源，也是可被竞争对手低成本复制的"半成品"；当蒸馏者能借完整推理记录显著拉高下游模型在编程等基准上的表现时，防御就不再只是安全议题，而直接关系到模型厂商的差异化与定价能力。Anthropic选择公开方法，也带有推动行业协同的意图：公司表示，目的是向行业证明有效防御并非遥不可及，并敦促其他模型开发者、平台及推理服务提供商共同建立反蒸馏防线，否则攻击者只需转向防护较弱的替代模型，单一厂商的努力便可能前功尽弃。

对关注AI产业的读者而言，这条消息的价值在于它同时呈现了攻防的技术细节与商业取舍：一方面，分类器、访问管控与收费机制的组合确实把提取量压低了九成以上；另一方面，拒绝付费流量意味着真金白银的让渡。防御能否成为行业默认动作，取决于其他厂商是否愿意承担同样的收入摩擦。