Anthropic 称新防护让蒸馏攻击少拿走九成以上数据

从封号到让数据变得不值钱

今年 2 月 23 日，Anthropic 第一次公开点名蒸馏：DeepSeek、Moonshot AI、MiniMax 三家被指通过约 2.4 万个欺诈账号、累计超过 1600 万次对话批量采集 Claude 的输出，用来训练自家模型。其中 MiniMax 一家就超过 1300 万次，Moonshot 约 340 万次。当时 Anthropic 自己也承认一个尴尬事实：攻击方用商业代理搭出所谓「九头蛇」式账号集群，封掉一个，新的马上顶上，单靠封号收效有限。

这次的说法换了重心。按照 Anthropic 的表述，新机制主要做两件事：一是限制推理内容在会话、模型和账号之间流转，二是用两阶段分类器识别蒸馏式的请求模式。前者针对的正是蒸馏最想要的东西——模型的思考过程。一条最终答案对训练小模型的价值有限，带完整推理链的样本才是「教材」。把推理内容锁在单次会话里，攻击者就很难把成千上万个账号拿到的片段拼回一套成体系的数据。

两小时这个数字意味着什么

「部分账号在攻击开始两小时内被封」，比数万这个总量更值得看。蒸馏是一门算成本的生意：注册账号、绕过地区限制、维持代理池都要花钱，只有当每个账号能稳定吐出足够多的有效样本，整套投入才划算。如果一个新账号刚跑出规模化请求就被识别，它能贡献的数据就从几万条压到几百条，账号成本几乎原封不动，产出却塌了下来。

所以 90% 到 99% 这个区间，与其说是「抓了多少人」，不如说是 Anthropic 在宣称攻击的投入产出比被打穿了。不过要注意，这是官方口径，且明确说是初步证据；它和什么基线比较、怎么估算「被抽走的数据量」，目前没有公开细节，外界暂时无法独立核实。

账单落在谁头上

任何分类器都有误伤。Anthropic 给出的误报率低于 0.1%，这个数字放在单个用户身上很小，放在 Claude 的 API 调用量上就不是零。更敏感的是计费：据外媒援引其开发者账号此前的说明，9 月下旬起，被安全机制在模型回复前拦下的部分请求（涉及生物、蒸馏攻击和前沿模型研发等类别）会恢复计费，理由正是误报已经足够低；同一说明称，绝大多数 Claude Code、Claude.ai 用户从未触发这类拦截。

需要改集成的主要是另一类人：在多个模型、多个会话之间来回传递思考内容的开发者。比如把 Claude 的推理片段交给另一个模型做复核，或者在长任务里跨会话复用上一轮的思考块。此前已有报道提到 Messages API 对 thinking block 的处理方式会因反蒸馏而调整，这类正常的工程做法，在新规则下和蒸馏的「搬运推理」在形态上很难区分。

• 2 月 23 日：首次公开蒸馏调查，约 2.4 万账号、1600 万次以上对话
• 9 月下旬：据报道恢复对部分拦截请求计费，称误报率低于 0.1%
• 10 月 12 日：称新防护使被抽取数据减少约 90%–99%，封禁数万账号

剩下的那 1% 到 10%

防守方能把成本抬高，却很难把门彻底关上。分类器认的是模式，攻击者会去学怎样让请求看起来像普通开发；推理内容被锁住，就有人转向只蒸馏最终答案、再用自家模型补推理。Anthropic 这次把「误伤率」和「计费」一起摆上桌，某种程度上也是在承认：反蒸馏不再是安全团队的内部事务，而是要由一部分正常客户分摊成本的产品决策。这笔账到底划不划算，取决于那个 0.1% 落在谁身上，以及剩下没被拦住的那部分，究竟还值多少钱。