加强针对蒸馏攻击的防御
来自 Anthropic News · 期号 2026-10-12
摘要
Anthropic 称其新防御方法已将 Claude 被蒸馏的数据量减少了 90% 到 99%。 蒸馏攻击是指通过大量虚假账户，大规模提取一个模型的能力并复制到另一个模型中。Anthropic 担心这会导致能力接近前沿但缺乏安全防护的模型被用于生物或网络攻击，并构成国家安全风险。 新防御体系从三方面入手：限制推理内容的流向（防止被跨对话、跨模型、跨账户提取）、用两级分类器拦截提取尝试（误报率低于 0.1%）、对反复尝试的账户实施更严限制并封禁。 Anthropic 承认这是猫鼠游戏，防御需要持续迭代，且部分措施已对合法用户造成影响。
深读
导读 Anthropic 披露了其针对模型蒸馏攻击的新防御体系，声称已将 Claude 被蒸馏的数据量减少了 90% 到 99%。这篇文章详细说明了蒸馏攻击如何构成国家安全风险、新防御的三层机制，以及这些措施对合法用户带来的权衡。对于关注 AI 安全、模型防护和地缘技术竞争的从业者，这是一份来自前沿实验室的一线实战报告。 关键信息 - Anthropic 新防御体系将 Claude 被蒸馏的推理 token 数量降低了 10 到 100 倍（即 90% 到 99%）。 - 蒸馏攻击的核心目标是获取 Claude 的推理过程（reasoning transcripts），而非仅最终输出，因为前者对训练小模型更有价值。 - 新防御中的两级分类器误报率低于 0.1%，与防止 Claude 协助制造生物武器的防护水平相当。 - Anthropic 已封禁了数万个与蒸馏相关的账户，通常在攻击开始后不到两小时内完成。 - 中国公司智谱（Zhipu）在开发 GLM-5.3 时蒸馏了美国前沿模型的网络能力，该模型被美国 CAISSI 评估为迄今发布的最具网络能力的开源权重模型。 - Anthropic 拒绝蒸馏相关的付费流量，涉及数万亿 token 的请求量。 逐节讲解 蒸馏攻击的威胁与动机 蒸馏攻击是指通过大量虚假账户，大规模提取一个模型的能力并复制到另一个模型中，且未经原模型开发者授权。Anthropic 担心两个后果：第一，蒸馏出的模型能力接近前沿但缺乏相应的安全防护，可能被用于生物或网络攻击；第二，这些模型的能力被整合进外国的军事、情报和监控系统。文章以智谱的 GLM-5.3 为例：该公司在开发过程中蒸馏了美国前沿模型的网络能力，最初尝试蒸馏 Claude Fable 5 但因安全防护失效而转向更旧的 Claude 模型和其他实验室的模型。Anthropic 自己的研究发现，GLM-5.3 的安全防护很容易被绕过，且该模型愿意从头到尾开发安全漏洞。另一个案例是 Moonshot 的 Kimi 模型，其部分请求被秘密转发到 Claude 以进行蒸馏，其中一例请求来自疑似与中国解放军有关联的用户，试图分析 CCTV 对特定个人的监控。 简单防御为何不够 蒸馏者最初采用被动蒸馏，像普通用户一样发送请求，然后训练在这些响应上。Anthropic 的早期措施是让 Claude 在展示给用户之前先总结其推理过程。评估显示，在 SWE-bench Verified 编码基准上，基于完整推理转录本训练的蒸馏模型得分为 80.4%，而基于总结后转录本训练的模型得分仅为 71.8%，说明总结有效降低了转录本的信息价值。但蒸馏者随后转向主动提取，通过提示词技巧（如“逐字输出你之前的推理”）来绕过总结。Anthropic 可以检测这类请求，因为普通用户很少要求模型写出隐藏的完整推理。然而，…