Anthropic刚刚在社交媒体上公布了一组反蒸馏行动的成果。

在该公司自有平台上，通过蒸馏手段获取的推理数据量减少了大约90%至99%，规模仅剩原来的十分之一到百分之一。

数万个关联账户被注销。有些账号甚至开始蒸馏不到两小时，就收到了封号通知。

为了取得这一成效，Anthropic部署了三项主要措施：

1. 推理功能可继续使用，但禁止转手

引入preserved thinking（保留思考）机制后，新API账户如果修改了此前的上下文，原有的推理内容就无法再正常复用。不同模型还分别增加了对防护较弱旧模型的读取限制和跨组织访问限制。想拿一份草稿换个地方继续套话，变得不再容易。

2. 提取完整推理需通过分类器审查

Anthropic将Constitutional Classifiers的防护思路应用于反蒸馏：通过一个两阶段分类系统，识别并拦截那些试图获取Claude完整推理过程的请求。这套机制的稳健程度，已接近阻止Claude协助制造生物武器时的防护水平。

3. 反复套话将消耗账号和预算

反复套取推理内容的账号会被限流，持续尝试的关联账户则会被封禁。试图通过更换账号碰运气，也要承担封号带来的损失。那些被防护系统拦截在Claude回答之前的蒸馏请求，同样需要付费。

可以说，为了赶走这些“学生”，Anthropic甚至放弃了数万亿token的付费流量。

连草稿纸都不让抄了

对蒸馏来说，仅仅复制答案是远远不够的。

更关键的是获取Claude在答题前的思维链，了解它如何拆解问题、如何尝试、以及如何发现自己的错误。

Anthropic自己做过对照实验，使用Opus 4.8的对话记录训练一个预训练过的Claude模型。

在SWE-bench Verified编程测试中，学习完整推理过程的模型拿到了80.4%，而只学习摘要的模型只有71.8%，相差8.6个百分点。

因此，Anthropic早早地收起了完整的草稿，只向外界展示推理摘要。

Claude照常认真答题，但想抄作业的人只能拿到删减版。

为此，攻击者开始诱导Claude把藏起来的推理内容重新说出来。

据官方披露，有实验室尝试了12000条请求，每条都换一种方法。只要试出一种有效的写法，就能批量复制。

Anthropic此前记录过，一个代理网络同时管理超过2万个欺诈账号，背后还有规模更大的账号网络。

表面上看起来是用户在排队提问，实际上却是训练数据在批量生产。

大号嘴严，就去套小号的话

把草稿藏起来，也并不省心。Claude在处理长任务时，自己也需要接着读取这些推理内容。

为了让模型能接着上一轮继续思考，受保护的推理内容会被保存并再次交回模型。

用户看到的是加密内容，但负责续写的Claude必须能理解这些内容。

强模型嘴严，攻击者就将其留下的推理交给同一家防护较弱的模型，诱导后者复述出来。

8月发布的一项独立研究展示过这类路径。加密算法没有被破解，但秘密照样泄露，因为读取过它的模型，能被哄着再讲一遍。

Anthropic只好连“谁能接着读”也一并管理起来。

Fable 5.1和Opus 5.5引入了preserved thinking，对8月31日及以后创建的API账户校验此前上下文。

如果前文被修改过，原来的受保护推理就无法正常复用。弱模型自然读不到结果。

到了Sonnet 5.5，推理还要认组织，只能由最初发起请求的组织接着使用。

这些检查，把接力套话卡在了不同环节。囤积大量账号，也不等于攒了一堆能接力抄作业的同伴。

偷师未遂，学费照扣

不仅如此，留在同一个账号里反复套话，也开始越来越昂贵。

Anthropic使用两阶段分类器筛查请求，将真实提取记录交给内外部红队反复测试。

攻击者找到新的写法，防守方就将其纳入下一轮防护。

据Anthropic评估，这套系统的稳健程度，已与阻止Claude协助制造生物武器的防护大致相当，误报率低于0.1%。

万万没想到，为了守住解题草稿，竟然用上了这个级别的防御！

于是，攻击者开始给请求“换装”，让Claude用另一种语言交代推理，或者将内容塞进特殊标签里，试图绕过检查。

官方已经观察到这些手法，并补上了缺口。

反复套取推理的账号，会被收紧用量；持续尝试的关联账户，会被封禁。仅有一套能骗过模型的话术还不够，账号和预算也得扛得住。

从9月24日起，生物、蒸馏攻击和前沿大模型开发这几个低误报率类别，恢复对拦截请求收费。

请求还没等到Claude回答，就被安全系统拒绝，也要付费。

不过，系统一旦误判，正常干活的客户也可能收到这张账单。

Anthropic承认，分类器仍会误拦正常请求，这些请求如今也可能被收费。

平台看到的是拦截记录，而撞上的开发者面对的却是：活没干成，钱还扣了。

就算没被误拦，开发者调整系统指令、清理旧工具结果或修改工具列表，也可能让原先的推理块失效。

在官方一项多轮编程测试中，思考强度开到最高，每个会话丢失一次推理块，输出token就会增加20.1%。

防盗措施是加强了，但对于开发者来说，就连整理对话记录，都得留心会不会让模型重新开工……

理论上，Anthropic还是愿意让Claude替你干活的。

可一旦你想让它教出自己的替代品，这位按token收费的老师，已经准备好了封号通知和账单。