Anthropic正在把反蒸餾從被動防禦轉向主動出擊，並首次公開披露其技術手段與商業代價。10月12日，這家AI公司表示，其針對Claude模型的最新防禦體系已將攻擊者提取的推理資料量壓縮至原先的1%至10%，降幅達90%至99%；同時已封禁數萬個與蒸餾行為相關的賬號，部分賬號在發起攻擊後不到兩小時內即被處置。

蒸餾者真正覬覦的並非模型的最終輸出，而是Claude在作答前寫出的"推理過程"。Anthropic的評測給出了一個直觀對比：在Claude Opus 4.8的完整推理記錄上訓練的蒸餾模型，在SWE-bench Verified程式設計基準測試中可拿到80.4%的得分；而若只使用經摘要處理的推理記錄，得分降至71.8%。這一差距解釋了為何攻擊者願意反覆嘗試提取原始推理內容。

為應對不斷升級的攻擊手法，Anthropic搭建了三層防禦架構。第一層是推理資料的訪問管控。針對Claude Fable 5.1和Claude Opus 5.5，公司推出"保留思維"（preserved thinking）功能：2026年8月31日之後建立的新API賬號無法編輯Claude的上下文歷史，從而切斷攻擊者借代理網路反覆試探、提取受保護推理內容的路徑。此外，較早版本模型無法讀取新模型的推理記錄，而Claude Sonnet 5.5的推理內容僅限發出請求的原始機構訪問。

第二層是雙階段分類器，用於阻止並修復提取嘗試。該分類器的誤報率低於0.1%，已接近Anthropic用於防止Claude協助生物武器研發的安全護欄水平，目前部署在Claude Sonnet 5.5、Claude Opus 5和5.5、Claude Fable 5和5.1等主力商用模型上。公司稱，該系統已攔截多種新型攻擊手法，包括要求Claude把此前推理翻譯成另一種語言，或將推理內容寫入特定標籤的嘗試。

第三層是重複嘗試的成本化機制。持續嘗試提取推理內容的賬號將面臨更嚴格的使用限額；自2026年9月24日起，Anthropic恢復對被安全護欄攔截的請求收費——前提是該護欄誤報率低於0.1%。此舉意在通過抬高經濟成本，遏制攻擊者的持續騷擾。

Anthropic並未迴避這套體系帶來的現實摩擦。公司承認，"保留思維"功能要求部分開發者更新現有整合；分類器存在極少比例的誤攔截；被攔截的請求也需照常收費，對誤觸邊界的合法使用者造成實際影響。

更顯著的代價體現在營收層面。Anthropic明確表示，因拒絕蒸餾者的付費流量，已放棄"有實質意義的收入"，涉及數以萬億計的token。公司坦言，行業內的激勵機制往往指向相反方向——防禦成本高昂，而非法蒸餾者仍是付費客戶，這使得"什麼都不做"成為更省力的選擇。

從產業視角看，這次披露把模型推理資料推到了資產保護的前台。推理記錄既是模型能力的重要來源，也是可被競爭對手低成本複製的"半成品"；當蒸餾者能借完整推理記錄顯著拉高下游模型在程式設計等基準上的表現時，防禦就不再只是安全議題，而直接關係到模型廠商的差異化與定價能力。Anthropic選擇公開方法，也帶有推動行業協同的意圖：公司表示，目的是向行業證明有效防禦並非遙不可及，並敦促其他模型開發者、平台及推理服務提供商共同建立反蒸餾防線，否則攻擊者只需轉向防護較弱的替代模型，單一廠商的努力便可能前功盡棄。

對關注AI產業的讀者而言，這條訊息的價值在於它同時呈現了攻防的技術細節與商業取捨：一方面，分類器、訪問管控與收費機制的組合確實把提取量壓低了九成以上；另一方面，拒絕付費流量意味著真金白銀的讓渡。防禦能否成為行業預設動作，取決於其他廠商是否願意承擔同樣的收入摩擦。