加强对抗蒸馏攻击的防御
来自 Anthropic Research · 期号 2026-10-12
摘要
Anthropic 公布了对抗模型蒸馏的新防御措施，称已将 Claude 被提取的推理 token 量减少了 90% 到 99%。 蒸馏攻击是指通过大量伪造账户，批量提取大模型的推理过程，再用这些数据训练一个能力接近但安全防护薄弱的小模型。Anthropic 认为这带来了两重风险：一是蒸馏出的模型缺乏同等安全措施，可能被用于生物或网络攻击；二是这些能力被整合进外国的军事与监控系统。 新防御从三个方向入手。第一，限制推理内容的流向：新 API 账户无法编辑 Claude 的上下文，推理记录只对生成它的组织可见。第二，用两级分类器拦截提取尝试，误报率低于 0.1%，并持续修补新出现的绕过手法（如要求 Claude 把推理翻译成另一种语言）。第三，对反复尝试提取的账户施加更严的使用限制，并恢复对拦截请求的计费。 Anthropic 承认这些措施有代价：部分开发者需要更新集成，不到 0.1% 的正常请求会被误拦并收费。公司表示蒸馏是每个模型开发者都要面对的问题，防御会是一场持续的猫鼠游戏。
深读
导读 Anthropic 公布了对抗模型蒸馏攻击的新防御体系，声称已将 Claude 推理 token 被提取的量减少了 90% 到 99%。蒸馏攻击通过大量伪造账户批量提取大模型的推理过程，再用这些数据训练一个能力接近但安全防护薄弱的小模型，Anthropic 认为这带来了生物/网络安全与国家安全两重风险。读完本文可以了解蒸馏攻击的具体手法、Anthropic 的三层防御机制及其代价，以及为什么这个问题需要整个行业共同应对。 关键信息 - Anthropic 的新防御措施使蒸馏者从 Claude 提取的推理 token 量减少了 10 到 100 倍（即 90% 到 99%），部分天数提取量低至无法测量。 - 新防御的核心是两级分类器系统，误报率低于 0.1%，其鲁棒性已接近阻止 Claude 帮助构建生物武器的防护水平。 - 蒸馏攻击的典型案例：智谱在开发 GLM-5.3 时蒸馏了美国领先模型的网络能力，CAISSI 评估 GLM-5.3 为迄今发布的最具网络能力的开源权重模型，且 Anthropic 发现其安全防护极易被绕过。 - 另一案例：Moonshot 的 Kimi 模型将用户请求秘密转发给 Claude 进行蒸馏，其中一次请求来自疑似解放军关联用户，试图分析特定个人的 CCTV 监控画面。 - Anthropic 已封禁了数万个与蒸馏相关的账户，通常在账户开始蒸馏活动后不到两小时内完成封禁。 - 早期防御措施（将推理内容摘要化后再展示）使蒸馏模型在 SWE-bench Verified 上的得分从 80.4%（使用完整推理）降至 71.8%。 逐节讲解 蒸馏攻击的威胁与风险 蒸馏攻击是指通过大量伪造账户，秘密提取一个模型的推理过程，再用这些数据训练另一个模型，从而以极低的开发时间和成本复制前沿能力。Anthropic 认为这带来了两重风险。第一，蒸馏出的模型缺乏同等的安全防护，可能被用于生物或网络攻击领域。例如，智谱在开发 GLM-5.3 时蒸馏了美国领先模型的网络能力，CAISSI 评估 GLM-5.3 是迄今发布的最具网络能力的开源权重模型，且 Anthropic 发现其安全防护极易被绕过。第二，蒸馏出的能力被整合进外国的军事、情报和监控系统。Anthropic 报告了一个案例：Moonshot 的 Kimi 模型将用户请求秘密转发给 Claude 进行蒸馏，其中一次请求来自疑似解放军关联用户，试图分析特定个人的 CCTV 监控画面。 早期防御的不足 蒸馏者最看重的是 Claude 的推理过程（即写出答案前的思考过程），因此防御几乎全部聚焦于让推理更难被获取。Anthropic 最初的措施是让 Claude 在展示推理前先进行摘要化处理。评估显示，使用完整推理训练的蒸馏模型在 SWE-bench Verified 上得分为 80.4%，而使…