Anthropic 把蒸馏防护抬到生化物同级：拒收流量也是产品决策

10 月 12 日，Anthropic 研究页用一句量级开场：新方法把蒸馏者从自家平台抽走的数据压掉约 90% 到 99%；分类器上线后，被抽走的 reasoning token 量级落到原先的十分之一到百分之一。同页后半段却更刺——他们主动拒掉了「有意义的收入」和「数万亿 token 的付费蒸馏流量」。蒸馏者不是白嫖客；他们往往在付钱，而且愿意用成规模的欺诈账号网络把请求摊薄到难以封停。

两周前，OpenAI 把一场对受保护推理的协调抽取归因到「与 Moonshot 关联的个人」。Anthropic 这篇不按同一把尺子写：它把 distillation 写成工业级、隐蔽、常靠欺诈账号网络的能力复制，并明确两层担忧——蒸馏模型逼近前沿却不带上成比例的护栏（生物、网络伤害）；以及这些能力被并入境外军事、情报与监视系统。点名段落里有智谱与 GLM-5.3、有 Moonshot Kimi 请求被暗转 Claude、有一例 Anthropic「相信」与解放军相关的 CCTV 分析。这些都是 Anthropic 的主张，不是独立审计结论。

TL;DR：防的是 reasoning 被规模化抽走，不是权重文件失窃。三根柱子——preserved thinking 锁 prior context 与跨模型可读性、两段 constitutional-style 分类器（自称 FP <0.1%、稳健度约等于生化物拒答）、更严限额 + 封号 + 自 9-24 起对被挡蒸馏类请求恢复计费——合起来把「拒收付费客户」做成产品决策。接 #31：OpenAI 写「关联个人」与手法；Anthropic 写供应链、开源网络护栏缺口，以及合法集成必须跟着改 API 契约的代价。激励与防御相反：防护贵，蒸馏者仍是付费流量；别家护栏松，自家就会被绕开。

一、蒸馏抽的是「怎么想」，不是可见答案

Anthropic 对 distillation attacks 的定义很硬：隐蔽、工业级地抽取一个模型的能力，再复制进另一个模型，未经原开发者授权；常用欺诈账号网络。目标数据几乎全是 Claude 的 reasoning transcripts——回答前写出来的思考过程。相对最终输出，这一层更能教会小模型「怎么走到答案」。

早期被动防护是摘要：先把推理压成摘要再给用户看。他们用预训练 Claude 在 Opus 4.8 的 transcripts 上做蒸馏对照，SWE-bench Verified：全文 transcript → 80.4%；仅摘要 → 71.8%。摘要让被动抄变得更不值。

攻击者随即改成主动抽取：从「把先前的 reasoning 原样、逐字符打出来」，到某一实验室测过 1.2 万条各不相同的诱骗请求。普通用户几乎不会要求模型吐出完整隐藏推理，因此这类请求可被当成蒸馏信号。但第一代简单护栏不够：蒸馏者搭起代理网络，掌控数十万欺诈账号；二月报告里，一个网络同时管着超过 2 万个号，还在禁售地区转售接入、用假身份与被盗支付信息开户。规模本身说明：恐吓式封号挡不住工业级套利。

flowchart TD
  R["Claude reasoning<br/>高价值蒸馏原料"] --> P["被动：正常请求抄输出"]
  P --> S["摘要 reasoning<br/>SWE-bench 80.4%→71.8%"]
  S --> A["主动抽取<br/>逐字复述 / 1.2万条诱骗"]
  A --> N["代理网络<br/>数十万欺诈账号"]
  N --> D1["柱1：preserved thinking<br/>锁 prior / 跨模型 / 组织边界"]
  N --> D2["柱2：两段分类器<br/>自称≈生化物拒答强度"]
  N --> D3["柱3：限额·封号·挡请求计费"]
  D1 --> Out["平台侧被抽 reasoning<br/>降至 1/10～1/100"]
  D2 --> Out
  D3 --> Out

二、三根柱子：锁去向、挡抽取、抬重复成本

一、控制 reasoning 能去哪。 攻击面包括：把受保护推理块挪到别的会话，诱使模型以为「对方已持有未摘要推理，可以再露」；把推理挪到护栏更弱的旧模型上读；借代理网络在封号后换号继续抽。Fable 5.1 与 Opus 5.5 引入 preserved thinking：2026 年 8 月 31 日及之后新建的 API 账号，不能再编辑 Claude 的 prior context。同时阻止更早、反蒸馏更弱的模型去读这些模型的推理；Sonnet 5.5 上，reasoning transcript 仅对其产生请求的组织可读。这是 API 契约层改动：合法集成若依赖改写 prior / 跨账号搬运上下文，必须跟着改。

二、挡并补丁抽取。 Anthropic 写得很直：希望「用 Claude 做蒸馏」和「用 Claude 干生化物或网络伤害」一样难。做法是两段 constitutional-style 分类器（接他们既有 constitutional classifiers 研究），用蒸馏者抽取尝试的 transcripts 做内外部红队，修掉红队找到的洞。结果自称：稳健度大致相当于防助建生物武器的那套，误报率低于 0.1%。覆盖目前最吸引蒸馏者的一般可用模型：Sonnet 5.5、Opus 5 / 5.5、Fable 5 / 5.1。已切断的新手法包括「把先前推理翻译成另一种语言」「用标签把推理写在答案旁边」等。

三、让重复尝试变贵。 持续抽推理的账号会吃更严限额；反复、顽固则封号——文中称已封数万相关账号，常在活动开始后不到两小时。自 9 月 24 日起，在误报率已压到 <0.1% 的领域（含蒸馏）恢复对被挡请求计费：请求在 Claude 回应前就被护栏挡住，仍收费。这把「试一万次找漏」从接近免费的搜索，变成持续烧钱。

合起来之后，他们估计自家平台上被蒸馏者抽走的 reasoning token，稳定落在引入分类器前的 1/10 到 1/100；有些日子低到几乎测不出。九月报告里写过的那些抽取手法，在最强一般可用模型上自称已被两段分类器全抓住。同时承认：猫鼠游戏会继续；尚未见过一次「高度复杂且持久」的绕过尝试落成。

三、点名段落：按 Anthropic 自述读，不升格成已决事实

第一层担忧：蒸馏让公司以远低于自研的时间与成本逼近前沿能力，却「实际上」带着不成比例的护栏发布——生物与网络安全伤害是点名场景。Anthropic 称智谱在 GLM-5.3 开发中蒸馏过美国头部模型的网络能力；曾试 Claude Fable 5，发现自家网络护栏把攻击打残后，改攻更旧的 Claude 与另一家实验室的模型。CAISSI（文中全称 Center for Advancing Innovation and Standards for Super Intelligence）随后把 GLM-5.3 评为迄今最强网络向开源权重；Anthropic 自己的研究则称其护栏易绕、模型愿意端到端写安全 exploit。

第二层担忧：国安。蒸馏所得能力被并入境外军事、情报与监视。例子：Moonshot 的 Kimi 请求曾被秘密转发到 Claude 作为蒸馏的一部分；其中一请求来自 Anthropic「相信」与中国人民解放军有关联的用户，要分析某个具体个人的 CCTV。这是 Anthropic 的归因措辞，证据包未在此页公开；写进产品叙事时，必须保留「相信 / 报告称」这一层，不能写成法庭事实。

对读本站已见刊的 OpenAI Moonshot 蒸馏稿：OpenAI 钉的是「individuals associated with Moonshot」、峰值请求量与跨会话复用加密推理的手法，并强调未证明材料进入任一版 Kimi 训练。Anthropic 钉的是供应链（转发到 Claude）、开源权重侧网络护栏缺口（GLM-5.3），以及国安用例。两边都是公司安全叙事下的主张；Moonshot 截至本稿写作，对 OpenAI 9-30 归因仍未见公开逐条回应——也勿写成两家已对质。

四、拒收付费流量，才是这篇真正的产品句

二月他们写过目标：让蒸馏变难，同时尽量不动合法用户体验。这篇承认没完全做到。preserved thinking 逼开发者改集成；分类器仍有 <0.1% 误伤；被误挡的请求现在还要付钱。换来的是：拒掉有意义的收入与数万亿 token 的付费蒸馏流量，以及研发与产品团队的大量投入。

行业激励往往反向。防护贵；非法蒸馏者仍是付费客户。流量还摊在 Anthropic API、第三方云与别的推理提供方上——平台侧不一起检测滥用、清退欺诈账号，单家封号会被换通道对冲。Anthropic 写得更狠的一句是：若攻击者能轻易摸到能力相近、却缺少同等反蒸馏护栏的模型（他们举智谱对 GLM-5.3 的路径），自家努力会被架空。反蒸馏因此不是一家博客里的护城河修辞，而是前沿模型与托管平台的共同脆弱面；谁先拒付费蒸馏客户，谁就先付短期收入税。

这和自家网络能力三档 CVP、评测 unintended actions 落在同一条线上：门口政策管「谁能用多强的网络能力」，评测断网管「训练与评测还碰不碰真网」，蒸馏防护管「reasoning 还能否被工业级搬走」。三扇门开合不一致时，能力会从最松的那扇渗出去——开源权重侧护栏若显著弱于 API 侧，渗出口就不在 Anthropic 仪表盘上。

五、读法与边界

90–99% 数据收获下降、reasoning token 降至 1/10～1/100、SWE-bench 80.4% / 71.8%、FP <0.1%、9-24 起挡请求计费、8-31 后新账号 preserved thinking——均按 Anthropic 2026-10-12 原文。
智谱 / GLM-5.3 / CAISSI 评估、Moonshot 转发、疑似 PLA CCTV——均为 Anthropic 主张与「相信」措辞，非独立核验结论。
不把「adversarial distillation」与合法的可见输出微调混为一谈；争议在受保护 reasoning、欺诈账号与服务条款。
不推断任一开源权重版本的训练数据构成；不把「拒收付费蒸馏」写成普遍行业已执行的规范——文中承认激励常切向相反方向。

把蒸馏防护抬到「约等于生化物拒答」的强度，表面是分类器工程，底下是产品会计：哪些付费流量值得留、哪些必须赶走，以及赶走之后合法用户要付多少集成税。OpenAI 的 Moonshot 稿把故事停在归因与手法；Anthropic 这篇把故事推到国安、开源护栏缺口，以及「付钱的客户也可以不是客户」。后一句若只有一家愿写进公开发版日志，猫鼠游戏的均衡就不会只由技术决定。