Anthropic megerősítette védelmét a distillációs támadások ellen

Anthropic október 12., 2026-án közölte, hogy új módszerekkel jelentősen csökkentette a Claude modellek elleni distillációs támadások hatékonyságát. A vállalat korai becslése szerint ezek a lépések a distillerek által begyűjtött adatmennyiséget körülbelül 90–99%-kal mérsékelték a saját platformján, és a megőrzött „reasoning” (gondolkodási) tokenek kinyerése 10–100-szor kevesebb lett a korábbi szinthez képest.

Mi az a distillációs támadás és miért veszélyes

A distillációs támadások ipari méretű, titkos kampányok, amelyek célja egy nagyobb, képességes modell belső válaszainak, különösen a modellek által leírt gondolkodási folyamatok (transzkriptek) kinyerése, majd ezen adatokkal egy kisebb modell betanítása úgy, hogy az utánzó képessége elérje a frontier-modellekét — a jogosult fejlesztők engedélye nélkül. Ezeket gyakran csaló fiókok hálózatai hajtják végre. Anthropic felhívja a figyelmet arra, hogy így külföldi kutatóintézetek viszonylag alacsony költséggel és időráfordítással utolérhetik az amerikai cégek fejlett képességeit.

Két fő aggálya van a vállalatnak:

• Biztonsági aggályok: a distillációval létrehozott modellek gyakran nem rendelkeznek ugyanazon biztonsági korlátokkal, mint az eredeti, így komoly kockázatot jelenthetnek például biológiai és kiberbiztonsági visszaélések terén. Anthropic példaként említi, hogy Zhipu a GLM-5.3 fejlesztése során leszívta vezető amerikai modellek kibercsapás-képeségeit; a CAISSI vizsgálata szerint a GLM-5.3 az eddig nyilvános súlyú modellek közül a leginkább kibercélú.
• Nemzetbiztonsági kockázat: az illicit distilláció eredményeit katonai, hírszerzési és megfigyelési rendszerekbe építik be. Anthropic korábbi jelentéseiben beszámolt esetről, amikor Moonshot Kimi modelljéhez érkező kéréseket titokban Claude-hoz továbbítottak distillációs célból; az egyik kérelem állítólag a Kínai Népi Felszabadító Hadsereghez köthető felhasználótól érkezett, és CCTV-felvételek elemzésére irányult.

Korábbi, egyszerűbb védekezések elégtelennek bizonyultak

A distillerek számára legértékesebb adat a Claude gondolkodási folyamata — nem csupán a végső válasz. Anthropic kezdetben egyszerűbb intézkedésekkel próbált védekezni: például a Claude által írt részletes gondolatmenetet rövidített összegzésként mutatta csak meg a felhasználónak. Belső tesztek szerint egy prediktált Claude-modell SWE-bench Verified kódolási mérőjén az összefoglalt transzkriptekből tanult változat 71.8%-ot ért el szemben a teljes transzkriptekből tanult 80.4%-kal — vagyis az összefoglalás csökkentette a distillált modell teljesítményét.

A támadók azonban átálltak aktív extrakcióra, trükkös kérésekkel próbálták kinyerni a teljes gondolkodást (például utasításokkal, hogy „írd ki az előző gondolatmeneted karakterről karakterre”). Egy labor 12 000 különböző kérésben próbálkozott teszteléssel. A distillerek elterjedték módszereiket proxy hálózatokon keresztül, amelyek száz-, illetve több százezer hamis fiókot vezéreltek, lopott fizetési adatokkal és hamis identitásokkal. Egy ilyen hálózatról Anthropic februári jelentése szerint egyszerre több mint 20 000 csaló fiókról számoltak be. A skála és állhatatosság azt mutatta, hogy sokkal fejlettebb védelmi megoldások szükségesek.

Új, összetett védelmi módszerek

Anthropic három irányban fejlesztette védelmét úgy, hogy az visszafogott hatással legyen a jogos felhasználókra:

1. Hová kerülhet a gondolkodás — „preserved thinking"

• Az ellenségek különböző taktikákat alkalmaztak: gondolkodási blokkok mozgatása beszélgetések között, gyengébb védelmű modellekhez való áttérés, illetve fiókok közti átjátszás proxy hálózatokon keresztül.
• A vállalat bevezetett egy „preserved thinking” intézkedést, amely megakadályozza, hogy új API-fiókok (azok, amelyeket 2026. augusztus 31. vagy azt követően hoztak létre) szerkeszthessék Claude korábbi kontextusát. Ez megnehezíti, hogy a proxy-hálózatok ismétlődően próbálkozzanak megkapni a védett gondolatmeneteket.
• Emellett megakadályozták, hogy korábbi, gyengébb védelmi beállításokkal rendelkező modellek olvashassák az erősebb modellek gondolkodási transzkriptjeit; Claude Sonnet 5.5 esetén a transzkriptekhez csak az a szervezet fér hozzá, amely az adott kérést küldte.

2. Kinyerési próbálkozások blokkolása és javítása

• Anthropic kétlépcsős osztályozót épített (a cég által korábban leírt „constitutional classifiers” megközelítéshez hasonlóan). Ezen osztályozót distillerek korábbi kísérleteinek transzkriptjein és belső/extern red‑teaminggel tesztelték, és az észlelt hibákat javították.
• A vállalat azt állítja, hogy az új osztályozó most nagyjából olyan szintű robosztussággal bír, mint amellyel Claude-tól megakadályozzák biológiai fegyverek vagy kibertámadások előállításának segítését. Az osztályozó hamis pozitív aránya 0.1% alatt van.
• A rendszert a vállalat a legképességesebb, általánosan elérhető modelljein futtatja (jelenleg Claude Sonnet 5.5, Claude Opus 5 és 5.5, Claude Fable 5 és 5.1), és tervezi, hogy hasonlóan vonja be a jövőben megjelenő, distillerek számára vonzó modelleket.
• A rendszer folyamatosan frissül: amikor új megkerülési technikát észlelnek (például arra való kérés, hogy a korábbi gondolkodást fordítsa le más nyelvre, vagy mellékszövegként címkézve írja ki), gyorsan javítanak.

3. Ismétlődő próbálkozások megnehezítése

• Ha egy fiókot distillációra használnak, azt gyakran fel lehet ismerni; ismétlődő kísérletek esetén szigorúbb használati korlátokat alkalmaznak, és felhasználói fiókokat tiltanak.
• 2026. szeptember 24. óta Anthropic újra felszámolja a blokkolt kéréseket azon területeken (köztük a distillációban), ahol az osztályozó hamis pozitív aránya <0.1%. Ez is megnehezíti a támadásokat, mivel a distillerek fizető ügyfelek, és a blokkolt kérések költséget jelentenek számukra.

Milyen hatékonysággal működnek az új intézkedések

• Anthropic szerint az új védelmi vonalak megbízhatóan megakadályozzák a legtöbb ismert distillációs technikát; a kétlépcsős osztályozó a szeptemberben leírt módszereket mind észleli a cég legsokoldalúbb elérhető modelljein.
• A platformjukon kinyert gondolkodási tokenek száma az osztályozó bevezetése után egyenletesen 10–100-szor alacsonyabb, mint korábban. Egyes napokon a kinyerhető tokenek mennyisége olyan kicsi volt, hogy mérni sem lehetett.
• A vállalat több tízezer, distillációval összefüggő fiókot tiltott le, gyakran kevesebb mint két óra alatt, miután egy kampány elindult.
• Ugyanakkor Anthropic óvatossággal kezeli az eredmények tartósságát: számítanak rá, hogy a distilláció macska-egér játékká válik, és további iterációkra lesz szükség, ha támadók új módszereket találnak.

Mellékhatások és kompromisszumok

• A megoldások bevezetésének ára van: Anthropic visszautasított jelentős bevételt és trilliárdoknyi token fizetős forgalmát a distillerekből, és kutatási, termék- és működési csapatok sok időt fordítottak a problémára. Néhány változtatás frissítést követelt meg jogos integrációkban is.
• A vállalat elismeri, hogy nem tudta teljesen elérni célját — vagyis a distilláció nehezítése anélkül, hogy a legitim felhasználók tapasztalata sérülne. Az osztályozó ritkán (<0.1%) tévesen azonosíthat vagy blokkolhat jóindulatú kéréseket, és a blokkolt kérések díjkötelesek.

Következtetések: együttműködésre van szükség

Anthropic szerint a distilláció minden frontier‑modell fejlesztőjének közös problémája. A cég hangsúlyozza, hogy az ő lépései hasznosak, de részben hatástalanok maradnának, ha más szereplők nem alkalmaznának hasonló, robosztus védelmi intézkedéseket. A distillerek forgalmukat szétosztják API‑kon, harmadik fél felhőszolgáltatókon és egyéb inferencia‑szolgáltatókon, így a platformok szerepe is kulcsfontosságú: gyors detektálással, visszatartással és a csaló fiókok eltávolításával jelentősen lassíthatják a distillációt.

A cég ezért nyilvánosságra hozta módszereit, hogy bemutassa: működőképes alternatíva létezik azzal szemben, hogy a szereplők ne tegyenek semmit, vagy gazdasági okokból visszafogják a beavatkozást.

Idővonal, említett dátumok és számok (összegzés)

• Közzététel: 2026. október 12.
• Új API-fiókokra vonatkozó „preserved thinking” szabály: 2026. augusztus 31. és azután létrehozott fiókok.
• Blokkolt kérések újraszámlázása: 2026. szeptember 24.
• Becsült csökkenés a distillerek által begyűjtött adatmennyiségben: ~90–99% a platformon.
• Kinyert gondolkodási tokenek csökkenése a platformon: 10–100×.
• Osztályozó hamis pozitív aránya: <0.1%.
• Több tízezer distillációval összefüggő fiók tiltva, gyakran kevesebb mint 2 óra alatt.

Anthropic világos üzenete: a distilláció elleni védelem technikai és üzleti kompromisszumokkal jár, de elengedhetetlen mind a biztonság, mind a nemzetbiztonság szempontjából, és a hatékony fellépéshez az iparág széles körű együttműködésére van szükség.