Anthropic ogranicza destylację Claude’a. Za część zabezpieczeń zapłacą programiści

Anthropic szacuje, że nowe zabezpieczenia Claude’a zmniejszyły liczbę tokenów rozumowania przechwytywanych w celu trenowania konkurencyjnych modeli o 90–99 proc. Spadek rzędu 10–100 razy dotyczy jednak wyłącznie pomiarów prowadzonych na własnej platformie firmy. Twórcy Claude’a przyznają zarazem, że walka z destylacją bezpośrednio wpływa na legalnych klientów API: zmienia zasady integracji, a w określonych przypadkach wiąże się z opłatą za zablokowane zapytanie, na które model w ogóle nie odpowiedział.

Próby destylacji polegają na masowym odpytywaniu zaawansowanego modelu, aby na podstawie uzyskanych danych wytrenować własny, tańszy system. Już w lutym Anthropic zgłaszała masowe próby destylacji prowadzone przez zewnętrzne podmioty za pośrednictwem dziesiątek tysięcy fałszywych kont, a w kolejnych miesiącach opisywała rosnącą skalę tego zjawiska.

Dlaczego zapisy rozumowania są cenniejsze niż odpowiedzi

Celem prób wydobycia danych coraz częściej stają się nie tyle ostateczne odpowiedzi modelu, ile wewnętrzne zapisy toku rozumowania generowane przed sformułowaniem tekstu. Z danych przedstawionych przez Anthropic wynika, że surowe ślady myślenia są znacznie bardziej wartościowe podczas trenowania innych systemów. W programistycznym benchmarku SWE-bench Verified model trenowany na pełnych zapisach rozumowania Claude’a Opus 4.8 osiągnął wynik 80,4 proc., podczas gdy ten sam model trenowany wyłącznie na ich skróconych podsumowaniach uzyskał 71,8 proc.

Gdy firma zaczęła stosować streszczenia, podmioty pozyskujące dane próbowały wymuszać przepisywanie rozumowania znak po znaku lub przenosiły wygenerowane bloki między różnymi rozmowami i kontami. W odpowiedzi Anthropic wdrożyła trzystopniowy system ochronny oparty na ograniczeniach technicznych, klasyfikatorach oraz blokadach kont.

Klasyfikatory, limity i opłaty za brak odpowiedzi

W opublikowanym przez firmę opisie zabezpieczeń przed destylacją kluczową rolę odgrywa dwuetapowy klasyfikator monitorujący zapytania kierowane do modeli Claude Sonnet 5.5, Opus 5 i 5.5 oraz Fable 5 i 5.1. Anthropic deklaruje, że w wybranych obszarach odsetek fałszywych alarmów wynosi poniżej 0,1 proc. — jest to jednak wyłącznie własna ocena firmy, a nie wynik niezależnego audytu.

Zabezpieczenia niosą za sobą konkretne konsekwencje dla legalnych twórców oprogramowania:

• Ograniczenia w przesyłaniu kontekstu: Nowe konta API nie mogą w modelach Claude Fable 5.1 i Opus 5.5 modyfikować wcześniejszego kontekstu przed ponownym przesłaniem bloku rozumowania — taka próba kończy się błędem 400. Z kolei bloki pochodzące z modelu Sonnet 5.5 są usuwane, jeśli trafią z niepowiązanego konta.
• Płatności za zablokowane żądania: Od 24 września Anthropic pobiera opłaty za część zapytań zablokowanych jeszcze przed wygenerowaniem odpowiedzi, jeśli dotyczą obszarów o deklarowanym odsetku fałszywych alarmów poniżej 0,1 proc. Oznacza to, że legalny użytkownik, którego nietypowe zapytanie zostanie błędnie sklasyfikowane jako próba destylacji, może zapłacić mimo braku odpowiedzi.
• Zaostrzanie limitów i blokady: W przypadku powtarzających się podejrzanych zapytań system automatycznie ogranicza przepustowość konta lub nakłada natychmiastową blokadę.

Wstępny wynik z ograniczeniami

Anthropic zaznacza, że odnotowany spadek liczby przechwytywanych tokenów nie oznacza definitywnego powstrzymania destylacji. Pomiar obejmuje wyłącznie własną platformę Anthropic, podczas gdy podmioty pozyskujące dane rutynowo rozpraszają ruch między zewnętrzne chmury i pośredników. Firma sama przyznaje, że nie wie, jak długo utrzymają się obecne rezultaty, i nie zaobserwowała dotąd próby, która byłaby jednocześnie wysoce zaawansowana technicznie i prowadzona długofalowo.