Anthropic 10 月 12 日發表最新研究，披露過去數月與中國 AI 模型開發商之間的蒸餾攻防戰。報告點名智譜（Z.ai）旗下 GLM-5.3，以及月之暗面（Moonshot AI）的 Kimi，指相關模型開發過程涉及擷取 Claude 的能力。Anthropic 表示，新防禦措施已令蒸餾活動取得的資料減少約 90% 至 99%，並封鎖數萬個相關帳戶。這些數字來自 Anthropic 自身監測，仍屬初步結果。
智譜被指轉用舊版 Claude 避開網絡安全防線
Anthropic 指控智譜開發 GLM-5.3 時，曾嘗試從美國頂尖 AI 模型取得網絡安全相關能力。智譜最初選用 Claude Fable 5，但發現其安全防護影響擷取效果，於是轉用較舊版本 Claude，以及另一間 AI 公司的模型。Anthropic 認為，這反映對手已開始根據不同模型的防禦能力調整方法，遇到防線較嚴密的模型便改找其他入口。
報告亦提及 Moonshot AI 的 Kimi，指部分原本發送給 Kimi 的用戶請求，曾在用戶不知情下轉交 Claude 處理。
上述涉及中國公司的指控主要來自 Anthropic，公開報告未提供足以讓外界獨立重現整個蒸餾過程的資料。外媒 Reuters 向智譜查詢後，截稿時尚未收到回應。
攻擊者將推理內容搬往其他帳戶 甚至要求 Claude 改用外語輸出
最新研究詳細披露雙方在 Claude 推理內容上的攻防。Anthropic 原先限制用戶取得完整推理過程，但攻擊者其後改變手法，把受保護的推理內容移到另一段對話，試圖令 Claude 誤以為用戶早已獲得該資料，可以再次提供。
部分攻擊者亦嘗試將較新模型的推理內容交給防護較弱的舊模型處理，或者透過不同帳戶反覆測試。Anthropic 表示，對手曾要求 Claude 把先前的推理過程翻譯成其他語言，甚至將內容藏在特定標籤之內，藉此繞過原有的輸出限制。
官方新三類防禦措施
針對這些手法，Anthropic 已部署 3 類防禦措施。第一類限制推理內容在對話、模型及帳戶之間轉移。Claude Fable 5.1 和 Opus 5.5 引入 Preserved Thinking，令 2026 年 8 月 31 日起建立的 API 帳戶無法修改模型先前的對話內容。Sonnet 5.5 的推理紀錄亦只容許產生該請求的機構存取，減少不同帳戶之間交換資料的機會。
第二類是新增兩階段偵測系統，專門識別企圖套取 Claude 受保護推理內容的請求。Anthropic 使用先前蒸餾攻擊的紀錄測試系統，並持續修補被發現的漏洞。公司表示，這套防線已可攔截要求翻譯推理內容、以標籤包裝推理內容等攻擊方法，誤判正常請求的比率低於 0.1%。
第三類措施直接針對帳戶及成本。反覆嘗試擷取推理內容的帳戶會面對更嚴格的使用限制，持續發動蒸餾攻擊者則可能遭封鎖。自 9 月 24 日起，Anthropic 亦恢復對部分被安全系統攔截、尚未取得 Claude 回覆的請求收費，適用於包括蒸餾在內、誤判率低於 0.1% 的防護範圍。換言之，攻擊者即使未能取得資料，仍可能要支付請求費用。
數萬個帳戶被封鎖 新防線仍未經最強攻擊考驗
Anthropic 表示，新措施全面部署後，攻擊者在其平台成功取得的 Claude 推理 Token 數量，較之前減少約 10 至 100 倍，部分日子甚至低至難以量度。公司亦已封鎖數萬個涉及蒸餾的帳戶，不少帳戶在開始發動攻擊後不足 2 小時便被發現及停用。
防禦措施同時令 Anthropic 付出代價。公司表示，已拒絕來自相關帳戶、涉及數以兆計 Token 的付費流量；部分正常開發者則需要修改 API 整合方式。即使誤判率低於 0.1%，仍可能有合法請求遭到攔截並收費。
Anthropic 承認，目前尚未遇到極為複雜而且持續不斷的攻擊，因此無法確定新防線能維持多久。公司亦指出，蒸餾活動可以經由其他雲端服務和模型供應商進行，單靠 Claude 自身的防禦不足以完全阻止。今次公布的成效主要反映 Anthropic 平台內觀察到的變化，未能證明所有外部蒸餾活動已同步減少。
–
