12 października Anthropic opisała zabezpieczenia, które mają utrudnić destylację modeli na podstawie rozumowania Claude’a: ograniczenia dostępu i przenoszenia kontekstu, dwustopniowy klasyfikator oraz egzekwowanie zasad wobec kont podejmujących powtarzające się próby. Firma podała, że po wprowadzeniu klasyfikatora liczba tokenów rozumowania wyciąganych na jej własnej platformie była 10–100 razy niższa. To pomiar Anthropic dotyczący ekstrakcji tokenów, a nie ogólna miara tego, czego nauczył się inny model. Anthropic opisała zabezpieczenia i ich wyniki.
Destylacja polega na trenowaniu jednego modelu na odpowiedziach innego. Wcześniejszy tekst NeoTeo dotyczył zarzutów Anthropic o wykorzystanie Claude’a w projektach wojskowych i nadzorze powiązanych z Chinami; nowe zabezpieczenia dotyczą utrudniania pozyskiwania rozumowania Claude’a do trenowania innych modeli.
Jak Anthropic utrudnia destylację
Pierwsza warstwa ogranicza dostęp do wcześniejszego kontekstu i jego przenoszenie. Dla Claude Fable 5.1 i Claude Opus 5.5 nowe konta API utworzone 31 sierpnia 2026 r. lub później nie mogą edytować wcześniejszego kontekstu Claude’a. Anthropic dodaje, że rozumowanie tych modeli nie może być odczytywane przez starsze modele z słabszymi zabezpieczeniami przed destylacją.
W przypadku Claude Sonnet 5.5 transkrypty rozumowania są dostępne wyłącznie dla organizacji, której zapytanie je wygenerowało. To ograniczenie dostępu organizacyjnego, odrębne od zasad dotyczących nowych kont API.
Kolejną warstwą jest dwustopniowy klasyfikator, który ma wykrywać próby ekstrakcji. Anthropic podaje, że aktualizowała go w reakcji na opisane techniki, takie jak proszenie Claude’a o przetłumaczenie wcześniejszego rozumowania albo umieszczenie go w znacznikach obok odpowiedzi. Firma deklaruje też testowanie klasyfikatora przez zespoły wewnętrzne i zewnętrzne.
| Zabezpieczenie | Objęte modele lub konta | Działanie opisane przez Anthropic |
| Ochrona wcześniejszego kontekstu | Nowe konta API utworzone od 31 sierpnia 2026 r.; Claude Fable 5.1 i Claude Opus 5.5 | Uniemożliwia edycję wcześniejszego kontekstu; rozumowanie tych modeli ma być niedostępne dla starszych modeli o słabszych zabezpieczeniach. |
| Dostęp do transkryptów | Claude Sonnet 5.5 | Transkrypty rozumowania są dostępne tylko dla organizacji, której zapytanie je wygenerowało. |
| Dwustopniowy klasyfikator | Claude Sonnet 5.5, Claude Opus 5, Claude Opus 5.5, Claude Fable 5 i Claude Fable 5.1 | Ma wykrywać próby ekstrakcji rozumowania. |
| Egzekwowanie zasad | Konta podejmujące powtarzające się próby ekstrakcji | Anthropic opisuje zaostrzanie limitów użycia i blokowanie kont. |
Firma podała, że zablokowała dziesiątki tysięcy kont powiązanych z destylacją; w niektórych przypadkach miało to nastąpić w czasie krótszym niż dwie godziny od rozpoczęcia kampanii. To element egzekwowania zasad wobec kont, nie kolejny pomiar skuteczności klasyfikatora.
Co oznaczają liczby Anthropic
Anthropic szacuje, że po wprowadzeniu klasyfikatora ekstrakcja tokenów rozumowania na jej platformie była 10–100 razy mniejsza niż wcześniej. Firma podaje osobno szacunek, według którego ilość danych pozyskiwanych przez osoby prowadzące destylację spadła o około 90–99 proc. Te liczby opisują powiązane, ale różne miary: pierwsza dotyczy tokenów rozumowania na platformie Anthropic, druga — szacowanej ilości pozyskiwanych danych.
Anthropic informuje, że klasyfikator ma wskaźnik fałszywych alarmów poniżej 0,1 proc., ale przyznaje, że może błędnie rozpoznać lub zablokować także nieszkodliwe zapytanie. Firma nie wie, jak długo utrzymają się raportowane wyniki, i twierdzi, że nie zaobserwowała jeszcze bardzo wyrafinowanej, uporczywej próby obejścia nowych zabezpieczeń.
Co mogą odczuć użytkownicy API
Część deweloperów musiała zaktualizować integracje po wprowadzeniu ochrony wcześniejszego kontekstu. Do tego dochodzi możliwość zablokowania nieszkodliwego zapytania. Anthropic poinformowała również o ponownym naliczaniu opłat za niektóre zapytania zablokowane przed odpowiedzią modelu w obszarach zabezpieczeń, w tym związanych z destylacją. W swoim komunikacie podała datę 24 września bez wskazania roku.
Oficjalny wpis Claude Developers na X dotyczy opłat za część zapytań blokowanych przez zabezpieczenia:
