Anthropic twierdzi, że nowe zabezpieczenia ograniczyły ilość danych pozyskiwanych z Claude w wyniku ataków destylacji o 90–99%, zgodnie z wrześniowym raportem firmy dotyczącym analizy zagrożeń z 2026 roku. Raport opisuje, w jaki sposób Anthropic śledziło, przypisywało i zakłócało nielegalne próby wyodrębnienia możliwości Claude, przy czym główny nacisk położony był na rozumowaniu, programowaniu i korzystaniu z narzędzi.

Destylacja w tym kontekście to technika, w której konkurent zbiera duże ilości odpowiedzi silniejszego modelu i wykorzystuje te transkrypcje jako dane treningowe dla własnego systemu. W tym ujęciu przedmiotem sporu nie jest sam model, lecz zapis jego odpowiedzi — dlatego środki zaradcze Anthropic koncentrują się na kontrolowaniu tego, co model emituje, oraz na obniżaniu wartości tych danych wyjściowych dla osoby je pozyskującej.

Prawie 200 milionów wymian, jedna bardzo duża kampania

Anthropic podało, że w najnowszym raporcie przypisało blisko 200 milionów wymian związanych z destylacją do pięciu oddzielnych kampanii. Największa z nich wyróżnia się szczególnie: Anthropic powiązało ją z modelem Qwen firmy Alibaba, a obejmowała ona ponad 151 milionów wymian między majem a lipcem 2026 roku.

To nie pierwszy raz, kiedy Anthropic publicznie zajmuje stanowisko w tej sprawie. Już w lutym 2026 roku firma uawniła wcześniejsze kampanie, które objęły ponad 16 milionów wymian i opierały się na około 24 000 oszukańczych kont. Tam, gdzie lutowe ujawnienie przypisało liczby samym kampaniom, wrześniowy raport idzie o krok dalej, dodając mierzalny rezultat: o ile mniej danych — według firmy — faktycznie wycieka na zewnątrz.

Jak faktycznie działają zabezpieczenia

Anthropic opisuje podejście warstwowe, a nie jedno uniwersalne rozwiązanie. Blokady kont stanowią jeden poziom, analiza metadanych i klasyfikatory behawioralne — kolejne. Dodatkowo firma stosuje metody przypisywania na poziomie organizacji, aby powiązać działalność z grupami, które się za nią kryją.

Część zabezpieczeń trafiła do produktów wraz z ich aktualizacjami. Aktualizacja Fable 5 przyniosła wzmocnione klasyfikatory ekstrakcji, zaprojektowane tak, aby wykrywać wzorce użycia wyglądające na systematyczne pozyskiwanie danych. Wprowadziła ona również funkcje podsumowywania w Claude, a właśnie podsumowywanie ogranicza użyteczność pozyskanego materiału: jeśli z modelu pochodzi skondensowana wersja, a nie pełny, krok po kroku przebieg rozumowania, transkrypcja staje się znacznie mniej wartościowa jako materiał treningowy.

Fable 5.1 dodało następnie funkcję, którą Anthropic nazywa „preserved thinking”. Uniemożliwia ona nowym kontom API edycję zaszyfrowanego kontekstu rozumowania. Przebiegi rozumowania to jedne z najcenniejszych danych, jakie może uzyskać osoba prowadząca destylację, a jeśli świeże konta nie mogą manipulować zaszyfrowanym kontekstem rozumowania, jedna z dróg wpływania na model w celu ujawnienia lub przekształcenia tego rozumowania zostaje zablokowana.

Czytane łącznie środki te działają na dwóch frontach: utrudniają niezauważalne przeprowadzanie systematycznego pozyskiwania danych oraz obniżają wartość treningową transkrypcji, które mimo wszystko zostaną zebrane.

Anthropic nie jest w tej walce samo

OpenAI pracuje nad tym samym problemem. Opublikowało we wrześniu 2026 roku własny raport opisujący techniki zakłócania podobnych działań destylacyjnych, w tym metodę zwaną encrypted reasoning replay. Fakt, że dwa konkurujące ze sobą laboratoria opublikowały w tym samym miesiącu raporty o zagrożeniach dotyczące tego samego problemu, podkreśla zmianę: obrona przed destylacją wyszła na jaw jako problem całej branży, a nie pozostaje wyłącznie wewnętrzną sprawą bezpieczeństwa.

Kryje się w tym także argument dotyczący bezpieczeństwa. Nielegalna destylacja rodzi pytania, czy zabezpieczenia wbudowane w oryginalny model przenoszą się na jego skopiowaną wersję. Laboratorium może włożyć ogromny wysiłek w wytrenowanie modelu tak, by odawiał realizacji niebezpiecznych poleceń, ale kopia wytrenowana na pozyskanych danych wyjściowych może nie odziedziczyć tych zabezpieczeń.

Anthropic rozgranicza tego rodzaju działalność od uzasadnionego wykorzystania badawczego. To rozróżnienie ma znaczenie, ponieważ destylacja jako technika nie jest z natury problematyczna. Problemem jest prowadzenie jej na dużą skalę, za pomocą oszukańczych kont i wbrew warunkom korzystania z usługi.

Sam Anthropic przyznaje, że nielegalne działania destylacyjne trwają, a jego zabezpieczenia będą musiały być stale rozwijane. To zastrzeżenie zamienia nagłówkową liczbę w punkt odniesienia, a nie wniosek: firma przedstawia redukcję o 90–99% jako obecny stan trwającego sporu, a dane o przypisaniu zawarte w raporcie służą jako baza do oceny, jak ten wysiłek będzie się rozwijał.