Anthropic sagt, neue Verteidigungsmaßnahmen haben die Datenmenge, die durch Distillation-Angriffe aus Claude abgeschöpft wird, um 90 bis 99 Prozent reduziert – das geht aus dem Threat-Intelligence-Bericht des Unternehmens vom September 2026 hervor. Der Bericht details, wie Anthropic unerlaubte Versuche verfolgt, zugeordnet und unterbunden hat, Claude's Fähigkeiten zu extrahieren; der Schwerpunkt liegt vor allem auf Reasoning, Coding und Tool-Nutzung.

Distillation bezeichnet in diesem Zusammenhang eine Technik, bei der ein Wettbewerber große Mengen an Antworten eines stärkeren Modells sammelt und diese Transkripte als Trainingsdaten für das eigene System nutzt. So betrachtet ist der umstrittene Gegenwert nicht das Modell selbst, sondern der Datensatz seiner Antworten – weshalb sich Anthropics Gegenmaßnahmen darauf konzentrieren, die Modellausgaben zu kontrollieren und den Wert dieser Ausgaben für einen Datensammler zu mindern.

Fast 200 Millionen Interaktionen, eine sehr große Kampagne

Anthropic teilte mit, dass das Unternehmen in seinem jüngsten Bericht fast 200 Millionen distillationsbezogene Interaktionen fünf separaten Kampagnen zuordnete. Die größte der fünf sticht hervor: Anthropic brachte sie mit Alibaba's Qwen in Verbindung; sie umfasste mehr als 151 Millionen Interaktionen zwischen Mai und Juli 2026.

Es ist nicht das erste Mal, dass Anthropic das Thema öffentlich macht. Bereits im Februar 2026 hatte das Unternehmen frühere Kampagnen offengelegt, die mehr als 16 Millionen Interaktionen umfassten und auf rund 24000 betrügerischen Konten beruhten. Wo die Februar-Offenlegung den Kampagnen selbst Zahlen zuordnete, geht der September-Bericht weiter, indem er ein messbares Ergebnis anfügt: um wie viel weniger Daten das Unternehmen zufolge tatsächlich nach außen gelangen.

Wie die Verteidigungsmaßnahmen tatsächlich funktionieren

Anthropic beschreibt einen mehrschichtigen Ansatz statt eines Wundermittels. Kontosperren bilden eine Ebene, Metadaten-Analysen und Verhaltensklassifikatoren weitere. Darüber hinaus nutzt das Unternehmen organisatorische Attributionsmethoden, um Aktivitäten den dahinterstehenden Gruppen zuzuordnen.

Mehrere der Verteidigungsmaßnahmen kamen mit Produkt-Updates. Das Fable-5-Update brachte verstärkte Extraktionsklassifikatoren mit sich, die Nutzungsmuster kennzeichnen sollen, die wie systematisches Abschöpfen aussehen. Es führte zudem Zusammenfassungsfunktionen in Claude ein; die Zusammenfassung mindert den Nutzwert des abgeschöpften Materials: Ist das Ergebnis des Modells eine komprimierte Version statt einer vollständigen, schrittweisen Reasoning-Spur, ist das Transkript als Trainingsmaterial weit weniger wert.

Fable 5.1 fügte dann eine Funktion hinzu, die Anthropic „preserved thinking“ nennt. Sie verhindert, dass neue API-Konten den verschlüsselten Reasoning-Kontext bearbeiten. Reasoning-Spuren sind eines der wertvollsten Materialien, die ein Distiller erhalten kann – und wenn neue Konten den verschlüsselten Reasoning-Kontext nicht manipulieren können, wird eine Route verschlossen, über die das Modell dazu gebracht werden konnte, dieses Reasoning preiszugeben oder umzuformen.

Zusammengenommen wirken die Maßnahmen auf zwei Ebenen: Sie erschweren systematisches Abschöpfen unbemerkt durchzuführen und senken den Trainingswert dessen, was dennoch gesammelt wird.

Anthropic ist in diesem Kampf nicht allein

OpenAI arbeitet am selben Problem. Das Unternehmen veröffentlichte einen eigenen Bericht vom September 2026, der Techniken zur Störung ähnlicher Distillation-Versuche beschreibt – darunter eine Methode namens „encrypted reasoning replay“. Dass zwei konkurrierende Labore im selben Monat Threat-Berichte zum selben Problem veröffentlichten, unterstreicht die Verschiebung: Die Distillation-Abwehr ist als branchenweites Anliegen an die Öffentlichkeit gerückt statt eine interne Sicherheitsangelegenheit zu bleiben.

In all dem steckt auch ein Sicherheitsargument. Unerlaubte Distillation wirft die Frage auf, ob die Schutzmaßnahmen des Originalmodells auf die destillierte Kopie übertragen werden. Ein Labor kann enormen Aufwand betreiben, um einem Modell beizubringen, gefährliche Anfragen abzhnen – doch eine auf abgeschöpften Ausgaben trainierte Kopie erbt diese Schutzvorrichtungen möglicherweise nicht.

Anthropic grenzt diese Art von Aktivität von legitimer Forschungsnutzung ab. Die Unterscheidung ist wichtig, denn Distillation als Technik ist an sich nicht problematisch. Das Problem ist, sie im großen Maßstab, über betrügerische Konten und gegen die Nutzungsbedingungen eines Anbieters einzusetzen.

Anthropic selbst räumt ein, dass unerlaubte Distillation-Versuche anhalten und die Schutzmaßnahmen weiterentwickelt werden müssen. Dieser Vorbehalt macht aus der Schlagzahl einen Benchmark statt eines Endpunkts: Das Unternehmen präsentiert die Reduktion um 90 bis 99 Prozent als aktuellen Stand eines andauernden Wettbewerbs, wobei die Attributionszahlen des Berichts als Grundlage dienen, um die weitere Entwicklung dieser Bemühungen zu bewerten.