一场「工业级偷数据」行动的真面目

「蒸馏」本质上是一类规模化数据窃取:有人运营上万个匿名账号,把 Claude 的输出当教材,训练一个能力相近、但安全门槛更低的「学生模型」。Anthropic 在 10 月 12 日发布的官方博客里直接摊牌——自己就是这条供应链里的「受害者源头」,并明确点名智谱 GLM-5.3 的网络能力来自这条路。

9 月威胁情报报告里已经讲了攻击形态:同一时间在线的 2 万多个欺诈账号只是基底,某家实验室曾经单日发起 1.2 万条改写过的对话,只为骗 Claude 完整复述自己的内部推理。

数据差距:80.4 与 71.8 的鸿沟

防守蒸馏的核心不在输出,而在「思考的过程」。Anthropic 让 Claude 在回答前写出详细推理,这些中间思考正是对方真正想偷的东西。对照实验给出了量化证据:同样基于 Claude Opus 4.8 的转写本训练下游模型,完整版本在 SWE-bench Verified 上拿 80.4%,摘要成几句的版本只有 71.8%——接近 9 个百分点的差,解释了攻击者为什么非完整转写不可。

最早的简单做法是让模型先消化一遍推理再展示,确实能给对手制造障碍,但对方很快换思路:用诱导词逼 Claude 输出完整思考。第一波防御就这样被突破。

三层防御:在痕迹最重的地方卡接口

10 月公告的三层矩阵,每一层对应一种不同的逃逸路径。

保留式思维(preserved thinking) 在 Claude Fable 5.1 与 Opus 5.5 上对 8 月 31 日以后开立的 API 账户生效:不允许调用方修改过往轮次的推理块,等于堵死「把不同对话、不同模型、不同账户中的推理块互相搬运」的代理网络术。同时限制这些模型的推理不能被早期模型读取,Sonnet 5.5 的推理转写只对发起请求的组织开放。

二级分类器 锁定 Sonnet 5.5、Opus 5/5.5、Fable 5/5.1,沿用 Anthropic 在生物武器方向验证过的「constitutional classifier」方案——它不仅过滤正面对抗,也覆盖「把上一段推理翻译成别的语言让它吐出来」这种近期擦边手法。官方公布的误报率低于 0.1%。

封堵与代位 是地板:对重复尝试者逐步升级,多次违规就封号;自 9 月 24 日起,在误报率 <0.1% 的细分区域里,被拦截的请求也开始收费,真账号无法再「故意踩点寻找漏洞」。

报出的数字:十倍到百倍的下滑

Anthropic 直接摊牌的结果是:分类器上线后,自营平台上 Claude 推理 token 被蒸馏方获取的量「持续在 10 到 100 倍的缩减区间」。在某些天里,可测到的泄漏小到画不出图。同一段时间,公司封禁了「数万」相关账号,大多数在攻击开始后两小时内就被处置。完整推理训练 80.4%、摘要训练 71.8% 的 9 个百分点差,是蒸馏方非要「拿全份」的根本动机。

谁被点名,与「易建模型」被依赖的怒怼

公告点名智谱、点名月之暗面,口吻少见地直接。Anthropic 写道:智谱在开发 GLM-5.3 期间蒸馏了美国头部模型的「网络能力」,先尝试 Claude Fable 5,被 Anthropic 的网络防护降到失效后,转去一个更老的 Claude 模型以及别家实验室的模型;月之暗面则出现过「把 Kimi 的请求静默转发到 Claude」的链路,其中一条与解放军有关的请求被指用来分析 CCTV 监控视频。

Anthropic 也带上产业铿锵:不是每家实验室都有能力或意愿去做这种阻断;只要有一家薄弱对手(比如「护栏能轻松绕过」的 GLM-5.3),前面所有护栏都会被绕过。配合 GLM-5.3 一同被点名的还有 NIST 旗下的 CAISSI,其评估认定 GLM-5.3 是「公开发行的最强网络能力开放权重模型」——为整段点名提供非 Anthropic 的对照源。

代价不免费:用户的买单

三层防御是有代价的。保留式思维要求一些开发者更新集成代码;分类器在 <0.1% 的情况下会拦截良性请求,而这些请求现在按 9 月 24 日起的新规同样收费;公司拒收的「有意义的收入」以及「上万亿 token 的付费流量」。Anthropic 自己承认「还不知道这些收益能维持多久」——他们也还没看到真正高复杂度、持续性的绕开尝试。

这等于把反蒸馏的摩擦搬到合法客户头上:你会被误拦,被误拦的成本也砸给你。但至少他们「卷」清楚了——付费用户碰到的安全边际,是买的不是送的。

所以呢

Anthropic 没有把这件事讲成「终局」。他们直接写这是一场「猫捉老鼠」,并公开喊话其他前沿实验室与云平台:只靠一家补不上窟窿。智谱和月之暗面被放在「欠解释」的位置上,这两家之前在 9 月也都有过公开报道——「Moonshot 转发请求到 Claude」、「GLM-5.3 的护栏在简单对抗下就崩」。

这件事的脉络不在 90–99% 这个数字本身,而在三方变化:(1)「偷推理」的边际成本被推到翻倍;(2)「跨实验室、跨云平台」的负载分散被要求进入同一战线;(3)付费用户开始承担「拦截正确」的代位成本。Anthropic 的赌注是:其他家必须跟,因为防护弱的型号会被最先输血。剩下的就是看谁先动手——或者,谁先被公布绕过细节。