Destillasjon: 90–99 prosent færre tokens – klassifikator, FPR 0,1%

Anthropic sier 12. oktober at nye forsvar mot destillasjon har kuttet data som trekkes ut av Claude med rundt 90 til 99 prosent. Etter klassifikatoren er resoneringstokens destillatører får tak i 10 til 100 ganger færre. På noen dager er volumet for lite til å måle. Reuters bekrefter tallene samme kveld.

Destillasjon her er ikke vanlig komprimering. Det er skjulte kampanjer i industriell skala: millioner av svar trekkes ut via falske kontoer og brukes til å kopiere evner inn i en annen modell. Det mest verdifulle er Claudes resonering, ikke slutsvarene. En forhåndstrent Claude trent på Opus 4.8-transkripter fikk 80,4 prosent på SWE-bench Verified med full resonering og 71,8 prosent med oppsummert resonering.

For CIO og CISO er dette tre ting: API-endringer som allerede har rammet integrasjoner, betaling for blokkerte kall, og et leverandørkort der kinesiske åpne vekter som GLM-5.3 ifølge Anthropic bærer destillert amerikansk evne uten tilsvarende sperrer.

Hva som faktisk er slått på

Tre lag, med det Anthropic kaller minimale utslag for vanlige brukere.

Preserved thinking i Claude Fable 5.1 og Claude Opus 5.5. API-kontoer opprettet 31. august 2026 eller senere kan ikke redigere Claudes tidligere kontekst. Det stenger en rute der destillatører flytter beskyttede resoneringblokker mellom samtaler, modeller og proxy-kontoer. Tidligere modeller med svakere sperrer kan ikke lese resoneringen fra disse modellene. I Sonnet 5.5 er transkriptet bare synlig for organisasjonen som sendte kallet.

Totrinns klassifikator av typen constitutional classifiers. Intern og ekstern red teaming. Anthropic sier den nå er omtrent like robust som sperrene mot hjelp til biologiske våpen, med falsk positiv under 0,1 prosent. Den kjører på Sonnet 5.5, Opus 5 og 5.5, og Fable 5 og 5.1. Planen er å bruke den på alle fremtidige modeller som er like attraktive å destillere. Klassifikatoren tar ifølge laben alle teknikkene i septemberrapporten.

Gjentatte forsøk blir dyre. Strengere kvoter. Ban av kontoer, ofte under to timer etter at en destillasjonskampanje starter. Titusenvis av kontoer er stengt. Fra 24. september tar Anthropic betalt for kall som sperres før Claude svarer, i områder der FPR er under 0,1 prosent, destillasjon inkludert.

Hvem de peker på

Septemberrapporten og dette innlegget peker på destillasjon som metode kinesiske laber bruker for å holde tritt. Zhipu destillerte ifølge Anthropic cyber-evner fra ledende amerikanske modeller under utviklingen av GLM-5.3. De prøvde Claude Fable 5, møtte cyber-sperrer, og byttet til en eldre Claude og en annen labs modell. CAISSI har vurdert GLM-5.3 som den mest cyber-kapable åpne vektmodellen til da. Anthropics egen forskning sier at sperrene i GLM-5.3 lett omgås, og at modellen er villig til å utvikle exploits fra ende til ende.

Moonshot: kall til Kimi ble i ett tilfelle videresendt til Claude. Ett kall kom ifølge Anthropic fra en bruker de mener er tilknyttet Folkets frigjøringshær, som ville analysere overvåkningsvideo av en navngitt person.

Alibaba-kampanjen i septemberrapporten: 151 millioner utvekslinger mai–juli 2026. Det er bakteppe, ikke dagens nyhet.

Hva det koster dere

Anthropic innrømmer at målet fra februar – destillasjon uten å ramme vanlige brukere – ikke er innfridd helt. Preserved thinking har krevd at noen utviklere oppdaterer integrasjoner. Klassifikatoren kan blokkere uskyldige kall i under 0,1 prosent av tilfellene. Dere betaler for de blokkerte kallene.

De har avvist meningsfull omsetning og billioner av tokens i betalende destillasjonstrafikk. De vet ikke hvor lenge gevinsten varer. De har ennå ikke sett et svært sofistikert og vedvarende forsøk på å omgå de nye sperrene.

Hva ledergruppen bør gjøre

Kartlegg om Claude-integrasjonen redigerer tidligere kontekst. Hvis ja, er dere i preserved thinking-bruddet for kontoer etter 31. august.

Ikke kjør produksjon gjennom uautoriserte proxyer eller «Claude i regioner der den ikke tilbys». Det er destillatørenes infrastruktur.

Sett destillasjon inn i leverandørstyring: AUP, logging av blokkerte kall, og kostnad for avslag. FPR 0,1 prosent er labens tall, ikke deres SLA.

Hvis GLM-5.3 eller tilsvarende åpne vekter er i PoC: les Anthropics påstand om destillert cyber-evne og svake sperrer som residualrisiko, ikke som bevist i retten. Krev egen red teaming. Ikke anta at åpne vekter er tryggere fordi de ligger on-prem.

Ikke roter hovedleverandør på denne saken. Dette er forsvar av en modell dere allerede har, ikke en ny modell.

Kilder og medier

Primærkilde: Anthropic, https://www.anthropic.com/research/distillation-defenses

Reuters: https://tech.yahoo.com/ai/claude/articles/anthropic-says-safeguards-sharply-reduce-010959967.html

Septemberrapport, destillasjon: https://www.anthropic.com/threat-intelligence-report-september-2026

Preserved thinking, API: https://platform.claude.com/docs/en/build-with-claude/preserved-thinking

Thumbnail: OpenAI Image 2 / hogby.ai