Anthropic出手反蒸馏

Anthropic称推理Token提取量最高减少99%

Anthropic在10月13日公布的新防护措施，核心目标是切断攻击者批量读取Claude隐藏推理过程、再用这些数据训练竞品模型的路径。

Anthropic表示，经过新一轮防护升级后，蒸馏攻击者能够从Claude受保护推理链路中提取的推理Token数量，已经降至此前的十分之一至百分之一，换算下来，数据提取量减少约90%至99%。这不是简单的频率限制或封禁几个异常账号，而是一套针对代理网络、跨账号协同和重复探测行为设计的系统性防御。

模型蒸馏是让学生模型学习教师模型输出分布、推理轨迹或行为模式的训练方法，原本是大模型压缩和迁移能力的标准技术。问题在于，当攻击者通过大量账号和自动化请求，系统性收集闭源模型的推理数据，并将其用于复刻竞争模型能力时，合法的知识蒸馏就变成了厂商所说的蒸馏攻击。

这次升级，防的不是一次提问，而是一整套攻击链

Anthropic此次防护的重点，是识别并阻断大规模、自动化、目标明确的模型探测行为。

从单条请求来看，攻击者完全可以伪装成普通用户。例如，他们可能要求Claude以专家身份详细拆解一道数学题、编程题或安全分析任务，并尽可能输出完整推理过程。单独看，这类请求很难与正常使用区分。

但当数百个甚至数万个账号持续请求相似任务，提示词结构高度重复，访问时间彼此同步，问题集中在少数高价值能力领域，且不同账号共享相似的支付或网络特征时，行为就更像是在建设训练数据集，而不是使用聊天产品。

Anthropic披露，相关系统会重点关注以下信号：

• 大量账号在短时间内集中请求同一类能力；
• 提示词存在高度重复的模板和变体；
• 不同账号之间出现同步流量或相似访问节奏；
• 请求内容集中在代码生成、数学推理、工具调用和安全绕过等高价值任务；
• 请求结果被持续收集、切片、重组，并用于后续模型训练；
• 攻击者试图反复探测受保护推理状态的格式和边界。

这意味着，Anthropic的防御对象已经从传统的账号风控，扩展到模型行为层面的异常检测。系统不只判断一个账号是否发得太快，也判断一组账号是否在共同完成同一个数据采集任务。

Anthropic称，这套安全系统的稳健程度“大致相当于”阻止Claude协助制造生物武器的防护体系，同时误报率低于0.1%。这里的关键不在于这个比喻是否足够准确，而在于Anthropic已经把反蒸馏能力放到了与高风险内容安全相近的优先级上。

为什么完整推理比最终答案更值钱

完整推理轨迹是模型在生成答案前留下的问题拆解、候选方案、中间计算、失败路径和工具调用记录，因此比最终答案更适合训练学生模型。

只拿最终答案训练，学生模型往往只能学到“问题—结果”的映射；如果同时拿到推理过程，学生模型还能学习如何拆题、如何验证假设、何时调用工具，以及遇到错误时如何回退。对推理模型而言，这些中间步骤往往才是最昂贵、最难复现的部分。

以编程题为例，最终答案可能只是几十行代码，但推理轨迹可能包含对约束条件的分析、复杂度判断、多个错误方案、测试结果以及最终修正过程。对于训练者来说，一条高质量推理轨迹的价值，接近一份由顶级工程师完成的带过程解题样本。

这也解释了为什么前沿模型厂商不愿意直接暴露原始思维链。当前主流产品通常只向用户展示简化后的推理摘要，完整推理则被隐藏、压缩或包装成模型内部状态，以便在多轮对话和Agent任务中继续使用。

加密推理状态曾暴露新的攻击面

加密推理状态是厂商为隐藏完整思维链、同时保持多轮任务连续性而设计的内部数据结构。

在一些模型产品中，模型完成一次任务后，服务端会返回一段用户不可读的推理状态，客户端在下一轮请求中原样携带，使模型能够继续此前的工作。对于正常用户，这段数据看起来只是不可解释的密文或签名块；但如果不同型号、不同会话之间的状态兼容性处理不严密，就可能产生新的攻击面。

今年8月，来自MATS Research、图宾根大学和马克斯·普朗克智能系统研究所等机构的研究者公开了一种相关攻击思路。研究者发现，在特定条件下，攻击者可以把某个模型生成的加密推理块交给同一家族中另一个更容易被诱导的模型，再要求后者尝试读取并输出其中内容。

补充研究显示，研究者曾使用Claude Haiku 4.5、GPT-5.6 Luna和Gemini Robotics ER-1.6作为解码器，测试不同模型对隐藏推理状态的恢复能力。针对Claude的攻击相对稳定；GPT的防护更强，需要更换提示词、反复采样，并把输出拆成更短片段；Gemini则会产生更多噪声，需要生成多个版本后再校正。

研究者让不同模型回答120道Codeforces编程题，并比较API记录中的隐藏推理Token数量与恢复文本的Token数量。多数结果接近1∶1，恢复内容还出现了摘要中未披露的计算步骤、工具返回结果和具体标识符。

这说明，隐藏推理并不等于推理数据已经绝对安全。如果推理状态能够在模型之间流动，那么真正的防护边界就不只在旗舰模型本身，而在整个模型家族的兼容机制、状态验证和输出控制上。

防蒸馏的关键，是堵住“最弱模型”

模型家族中的低价、快速模型，可能成为绕过旗舰模型防护的入口。

旗舰模型通常会接受更严格的反蒸馏训练和输入检测，但同一产品线中更便宜、延迟更低的模型，防护能力未必同步。如果加密推理状态可以跨型号读取，攻击者就没有必要持续攻击最难突破的旗舰模型，而是可以先让旗舰模型正常完成高质量任务，再交给防护较弱的小模型批量解码。

这构成了明显的“最弱链路效应”：整个模型体系的推理安全上限，可能由其中防护最弱的模型决定。

| 环节 | 攻击者的目标 | 可能的防御手段 | |---|---|---| | 旗舰模型生成推理 | 获取高质量推理轨迹 | 限制高风险任务批量访问，识别异常请求集群 | | 推理状态传递 | 重放或跨会话复用隐藏状态 | 绑定会话、用户、模型和任务上下文 | | 弱模型读取状态 | 诱导模型输出隐藏内容 | 禁止跨型号解码，强化状态签名验证 | | 数据集构建 | 清洗、切片和归档推理Token | 检测批量导出、重复任务和异常流量 | | 学生模型训练 | 复刻教师模型能力与风格 | 追踪输出指纹、训练数据来源和行为相似度 |

从工程角度看，Anthropic本次更新的价值在于，它没有把反蒸馏理解为单一的提示词过滤问题，而是把身份、流量、任务内容、推理状态和模型输出放进同一套风险判断体系。

Anthropic为何把蒸馏与安全风险绑定

Anthropic认为，攻击者从前沿模型中拿走的可能不只是通用能力，还包括模型在安全对齐过程中形成的行为边界。

安全对齐是让模型在面对危险请求时遵守拒答、风险提示和安全替代方案的一组训练过程。它并不是模型外部临时加上的简单过滤器，而是通过监督微调、偏好优化和安全训练，嵌入模型参数与行为模式之中。

如果攻击者只收集模型在正常任务上的高质量回答，再使用较弱的安全训练或直接移除安全限制，最终得到的学生模型可能保留教师模型的编码、推理和规划能力，却不再保留同等强度的安全约束。

这就像把高性能汽车的发动机装进没有刹车和安全气囊的车体：动力被复制了，保护机制却没有跟着迁移。对普通应用而言，这可能表现为更容易越狱；对Agent系统而言，则可能进一步扩大恶意代码生成、敏感信息处理和自动化攻击的风险。

Anthropic还表示，已经封禁数万个与蒸馏活动相关的账号，并点名称智谱AI在研发GLM-5.3期间曾尝试从Claude蒸馏提取模型能力。该说法目前仍属于Anthropic单方面指控，不能仅凭账号封禁或模型风格相似就证明某个模型使用了特定来源的推理数据，后续仍需要公开证据、可复现实验和被指控方回应。

这点很重要。模型输出相似，可能来自相同的公开论文、相似的训练目标或行业通用的提示模板；而大规模蒸馏则需要证明数据采集行为、样本来源、时间线和训练结果之间存在可验证的因果联系。把所有能力迁移都直接称为“窃取”，会混淆正常知识蒸馏、公开数据训练与未经授权的数据采集。

这会改变闭源模型的产品设计

反蒸馏能力正在从后台风控，变成闭源模型厂商的核心产品能力。

第一，模型厂商可能进一步减少原始推理链的外露。用户仍然可以获得结论、摘要和可验证的中间结果，但难以获得逐Token、可批量收集的完整轨迹。这会牺牲一部分调试透明度，却降低高价值训练数据被复制的风险。

第二，推理状态的跨模型兼容性会受到更严格限制。未来不同型号之间可能不再共享完整推理状态，而是只共享经过裁剪、签名和权限校验的任务摘要。对于Agent开发者来说，这意味着多模型协作的设计空间会变窄，但状态泄露风险也会下降。

第三，厂商可能把“是否允许用于训练”写得更具体。过去，服务条款往往只禁止滥用、爬取或自动化访问；现在，针对批量收集隐藏推理、训练竞品模型和规避风控的条款，可能成为模型服务协议的独立部分。

第四，模型输出会出现更多可追踪的行为特征。包括特定错误模式、工具调用顺序、拒答边界和推理摘要结构在内的细节，都可能被用于判断一个学生模型是否大量吸收了教师模型的行为数据。

开发者需要关注什么

开发者使用闭源推理模型构建Agent时，不应把隐藏推理状态当作普通文本处理。

需要特别注意以下几点：

• 不要在客户端日志、公开监控平台或第三方数据仓库中长期保存未经处理的推理状态；
• 对模型返回的工具结果、文件路径、用户信息和内部系统标识符进行脱敏；
• 不要默认不同模型或不同会话之间可以安全复用推理状态；
• 对高价值任务设置并发、频率和数据导出限制；
• 将模型状态、工具调用和用户身份绑定，而不是只依赖一段可重放的字符串；
• 在训练学生模型前，确认数据来源、服务条款和用户授权范围；
• 对模型输出进行来源记录，避免未来无法解释训练数据从何而来。

Agent场景尤其危险，因为推理过程可能接触到最终回答中不会出现的内部信息，包括文件内容、数据库查询结果、用户邮箱、内部网络地址以及临时凭证。即使厂商成功阻止了大规模蒸馏，开发者自身的日志策略不当，仍可能造成更直接的数据泄露。

判断：Anthropic是在补漏洞，也是在重划行业边界

Anthropic这次升级的直接效果很明确：如果其披露的90%至99%数据提取量下降能够在真实攻击中稳定复现，依靠批量读取Claude推理Token来构建训练数据集的成本和不确定性都会显著上升。

但它并不能从根本上终结模型蒸馏。攻击者仍然可以收集最终答案、观察模型风格、设计合成任务，或者通过公开基准和用户反馈间接复刻能力。防护真正改变的是数据质量：从“拿到接近完整的推理轨迹”，退回到“只能观察结果并猜测过程”。两者对学生模型的训练价值相差很大。

更值得关注的是，Anthropic正在推动一个行业共识：模型安全不再只是拒答危险问题，也包括保护模型在推理过程中产生的中间数据。对闭源模型公司而言，推理Token是能力资产；对开发者而言，它又可能是隐私和安全风险；对监管者而言，如何区分正常蒸馏与恶意批量提取，则会成为新的争议焦点。

截至10月13日，Anthropic给出的最高99%降幅仍主要来自公司自身披露，外部还需要更多可复现实验来验证不同模型、不同任务和不同攻击路径下的实际效果。可以确定的是，前沿模型之间的竞争已经从参数规模、基准分数和推理速度，延伸到了“谁能保护自己的推理过程”。反蒸馏战，才刚进入工程化阶段。

参考来源

1. IT之家：Anthropic推出新防护措施，模型蒸馏攻击窃取数据量最高降低99% —— 报道Anthropic于2026年10月13日披露的防护升级、Token提取量下降和账号封禁信息。
2. 知乎：大厂打响反蒸馏战 —— 讨论模型蒸馏的行业背景、能力迁移与安全对齐问题。
3. GitHub —— 用于跟踪模型安全、推理状态保护和相关研究代码的公开项目入口。