跳至正文返回首页Anthropic 公布三层反蒸馏防御：推理 token 窃取量降 90%-99%，点名智谱与月之暗面
- 前情提要：FT 此前报道 Anthropic 向投资者披露，模型蒸馏相关收入占其营收的 5%-7%，Q3 已「大幅」削减；Simon Willison 按 Q2 营收估算，其他实验室当季为蒸馏 Anthropic 模型支付的金额在 5.75 亿至 8.05 亿美元区间。
- 最新披露：Anthropic 发布反蒸馏研究文章，称攻击者从 Claude 平台窃取的推理 token 量下降 90%-99%，并将蒸馏定性为国家安全问题——被蒸馏出的模型接近前沿能力，却未配备相称的生物与网络安全防护，且可能被整合进外国军事、情报与监控系统。
- 关键发现：攻击面集中在推理链本身。被动蒸馏用正常回复做训练数据，主动提取则诱导模型泄露完整思维链，报告中提到有实验室测试了 1 万多种诱导话术。硬数据支撑在于：在完整 Opus 4.8 推理记录上训练的模型，SWE-bench Verified 得分 80.4%，仅用摘要版记录则降至 71.8%。
- 三层防御：第一层为推理摘要，早期方案，已被「翻译成另一种语言」「写进特殊标签」等方式绕过；第二层为随 Fable 5.1 与 Opus 5.5 推出的保留思考机制——2026 年 8 月 31 日后新建 API 账号无法编辑先前上下文，推理内容不能被防护更弱的早期模型读取，Sonnet 5.5 的推理记录仅对产生该记录的组织可见，直接切断跨对话、跨模型、跨账号搬运内容的代理网络套路；第三层为两阶段宪法式分类器加账号级执法，误报率低于 0.1%，已覆盖 Sonnet 5.5、Opus 5/5.5、Fable 5/5.1，账号侧收紧限额并在检测后两小时内批量封号，累计数万个。
- 经济手段：自 9 月 24 日起，Anthropic 对被安全拦截的请求恢复收费，官方称这是刻意抬高攻击成本，且仅在误报率低于 0.1% 的领域执行。
- 具名案例一：Anthropic 点名智谱在 GLM-5.3 开发中蒸馏了美国领先模型的网络攻击能力。报告细节显示，智谱曾尝试蒸馏 Claude Fable 5，发现安全防护削弱了攻击效果后，转向更老的 Claude 版本与另一家实验室的模型；CAISSI 评估 GLM-5.3 为迄今网络能力最强的开放权重模型，Anthropic 自身测试发现其防护「很容易被绕过」。
- 具名案例二：月之暗面 Kimi 的用户请求被秘密转发给 Claude 作为蒸馏数据源，其中一个请求来自 Anthropic 认为与军方有关联的用户，目的是分析针对特定个人的电视台监控画面。
🔗 Anthropic 研究文章 | 原帖汇总
