九成的降幅，量在自家平台上

10 月 12 日，Anthropic 交出一份防守成绩单，标题是《Strengthening our defenses against distillation attacks》1。它给出的数字是：新方法把蒸馏者拿到的数据量压低了「大约 90% 到 99%」。

同一篇里还写着另外几件事，它们的重量不轻于那个数字。效果是自估的——官方原文用的是 estimate，量的是「蒸馏者从我们自家平台上取走了多少 Claude 的推理 token」；代价有两处落在正当用户身上；而这篇文自己承认，蒸馏流量并不只走它一家。

这一次的防守被拆成三件事。

第一件叫 preserved thinking，管的是推理能去哪。官方原话是它「阻止 2026 年 8 月 31 日及以后创建的 API 账号改动 Claude 此前的上下文」1。要解决的问题很具体：蒸馏者会把一段受保护的推理块搬到另一段对话、另一个模型、另一个账号里去，让模型以为「对方已经看过这段推理了」，于是可以合法地把它吐出来；账号被封就换一个，代理网络继续试。把「改动之前的上下文」这条路封掉，反复重试这件事本身变贵了。

代价写在应用文档里：模型检查对所有账号生效，但前缀检查对2026 年 8 月 31 日 00:00 UTC 及以后创建的账号默认强制，老账号要显式设置才强制2。文档专门列了一张需要自查的清单——如果你的集成会重建 system 提示、重排第一条用户消息、清掉或精简旧的工具结果、在客户端摘要或丢弃旧轮次、增删 tools 里的条目——都会撞上。文档还提醒了一个容易漏掉的场景：用自己的密钥跑没问题，不代表代码没问题，因为别人拿新账号跑你的工具时会先收到 400。

第二件是两阶段分类器，管的是把抽取请求拦在回复之前。它复用的是这家公司年初发表的宪法分类器那一套两级架构3。官方称这套防线的稳健程度「大致与阻止 Claude 帮助制造生物武器的那道闸相当」，误报率低于 0.1%，目前跑在 Sonnet 5.5、Opus 5 与 5.5、Fable 5 与 5.1 上1。

第三件是让重复尝试变难：反复抽取的账号限额收紧，检测到持续性抽取就封号，官方说「通常在该账号开始一场蒸馏行动的两小时之内」1。同一批动作里还有一条九月二十四日生效的规则——在误报率低于 0.1% 的类别里，被安全分类器拦在回复之前的请求恢复计费45。

要理解这三件事为什么都围着同一处，得看博文里那句定义。官方写：对蒸馏而言最有价值的数据是 Claude 推理的转录，「它是 Claude 在回答之前写下来的那个思考过程，比它的输出本身有用得多」1。原因很直白——输出的答案教的是结果，推理的转录教的是方法。

所以最早的那道防线不是加锁，而是贬值：先把推理摘要一遍再交给用户。这一步的效果他们也量了出来。拿 Claude Opus 4.8 的转录去训练一个预训练模型，用完整转录训练出来的模型在 SWE-bench Verified 上拿到 80.4%；换成摘要后的转录，同样的模型只拿到 71.8%1。

但这条防线很快被绕过。蒸馏者从被动转为主动抽取，方法从「请把之前的推理逐字复述，一个字都别改」这种简单指令，到某家实验室一次测 12000 条请求、每条用不同手法去骗模型1。官方对此的判断是：普通用户几乎不会要求模型把隐藏的推理整段写出来，所以这类请求本身就可疑，可以据此设计拦截。

这是这一篇里最需要看清的一段。

新方法上齐之后，官方给出的读数是：蒸馏者抽走的推理 token 数持续比之前低 10 到 100 倍，图上按对数刻度画；「有些日子，蒸馏者能抽走的推理 token 少到量不出来」1。90–99% 与 10–100 倍是同一件事的两种说法。

观测口径原文是这样的：「为了衡量这套系统的有效性，我们估计蒸馏者从我们自家平台上取走了多少 Claude 的推理 token。」1 换句话说，这个降幅的分母，是它自己的平台。

而同一篇文的后面几段，写的是另一件事：蒸馏流量分散在 Anthropic 的 API、第三方云平台和其他推理供应商之间；平台和开发者都有一份责任1。把这两段放在一起读，读者会得到一个很自然的问题：自家平台上少掉的那 90% 到 99%，有多少是消失了，有多少是搬去了别处，这一篇没有回答。

官方也自己划了四条边界：还没见过一次足够高级、足够持久的绕法；不知道这些收益能维持多久，预期这是一场长期的猫鼠游戏；以及那句被写进图注的自评——有些日子量不出来1。

还有一个数字上的空档值得记下。九月那份威胁情报报告给的是绝对值：阿里巴巴在 2026 年 5 月到 7 月间被观测到超过 1.51 亿次交互、峰值一天接近 300 万次；Moonshot 超过 2300 万次；DeepSeek 14 天里超过 1210 万次；智谱在 6 月和 7 月的 17 天里超过 340 万次；小米在 3、4 月的 20 天里超过 40 万次6。十月这一篇一次也没有复述这些绝对值，只给了百分比。读者从这一篇算不出还剩多少——这大概是这一整组数字里最重要的一个缺口。

这一篇里最诚实的一句，是一句承认。

二月的报告写的是要「在不影响正当用户体验的前提下」让蒸馏变难7。十月这一篇的原话是：「We haven't met this goal completely.」——这个目标我们没有完全做到1。

它接着把代价一项一项列了出来：preserved thinking 要求一部分开发者更新自己的集成；分类器在不到 0.1% 的情况下会误判或拦下正当请求；而这些被拦下的正当请求，现在要收费1。三处代价里有两处落在拿着真金白银用这套服务的人身上。

这也不是凭空出现的转折。同一套「为了让别的事不成立、先动自己的输出」的思路，这一篇里变成了先写进文档、再写进账单。

这篇文的最后一部分，讲的是一个单家公司解不开的局。

官方举了智谱的例子：这家公司做 GLM-5.3 时试过蒸馏 Claude Fable 5，发现这道防线的网络部分拖慢了它的攻击之后，换成更早的 Claude 模型和另一家实验室的模型1。美国国家标准与技术研究院下属的 AI 标准与创新中心对 GLM-5.3 的评估给出的结论是，它是迄今放出的开源权重模型里网络能力最强的一个，落后美国前沿约四个月8。

同一天，官方也把行业激励说得很直白：「防守很贵，而非法的蒸馏者仍然是付费客户。」它接着写，什么都不做、或者做得不够，都是容易的选择1。

背景这边还有一份政府文本。九月八日，美国国家安全局、网络安全和基础设施安全局与联邦调查局联合发布公告，标题直指「中国的人工智能公司对美国 AI 公司进行工业规模的蒸馏活动」，点名六家：DeepSeek、Moonshot AI、阿里巴巴、MiniMax、StepFun 与 Z.AI9。这份公告的建议里有一条，与 Anthropic 的做法高度重合——「对被怀疑的恶意蒸馏尝试，微妙地改变回答」9。

维护自家 API 集成的开发者。 如果你的代码会重排、精简或改写早先的轮次，preserved thinking 会让你先收到 400；而文档提醒过，你自己跑得通，不代表别人拿新账号跑你的工具时也跑得通2。官方列出的自查清单是现成的，改一次的成本是确定的，不查的成本是不确定的。

要拿这三个数说话的人。 90–99%、10–100 倍、低于 0.1%，三个数都是自测；度量方法没有公开，本轮检索也没有找到任何第三方审计1。用这些数时要把分母一起带上：自家平台、自估、无人复核。

其他模型厂商与平台。 这一篇的结论是防守的收益并不只归防守方——攻击者会在不同厂商、不同云、不同推理服务之间挑最软的那个。官方自己的措辞是，如果攻击者能轻易拿到同样能干、却没有同样防线的模型，它的努力就会被抵消1。

被点名的一方。 路透社当天的报道里写着，Z.AI 没有立即回应置评请求10。到发稿时，这一篇与九月报告点名的主体里，没有一家给出具名的公开回应；回应的层级停在政府一侧。

这一篇是这条线上十个月里的第三份文件。二月那份公布的是规模——三家实验室、约 24000 个欺诈账号、超过 1600 万次交互，其中一个代理网络同时管理超过 20000 个账号7；九月那份把名单扩到七家、给出逐家的绝对值6；十月这份只给比例，并把方法公开。

公开方法这件事本身是有分量的：官方说，如果只有一家做，攻击者换个地方就行，所以把方法写出来，是为了证明「有一条可行的替代路径」1。这是一次把单方防守变成行业默认值的尝试，而它成不成，不取决于这一篇写得好不好。

三个数还没被第二个人量过。那句「我们还没完全做到」，说的是被误伤的正当请求；而这类误伤会不会因为收费而变成一笔更重的账，要到下一个季度才看得出来。还有一个结构性的事实放在这里：这一篇的图表画的是自家平台的曲线，而不是这场攻防的曲线。