据Anthropic称，根据该公司2026年9月发布的威胁情报报告，新防御措施已将通过蒸馏攻击从Claude中窃取的数据量削减90%至99%。报告详细介绍了Anthropic如何追踪、归因并遏制非法提取Claude能力的尝试，重点涉及推理、编程和工具使用。

在这一语境下，蒸馏是一种技术：竞争对手收集更强大模型的大量回复，并将这些对话记录用作其自身系统的训练数据。这样来看，争议焦点并不是模型本身，而是模型回复的记录——这也是Anthropic的反制措施集中于控制模型输出，并降低这些输出对数据窃取者价值的原因。

近2亿次交互，一起规模庞大的行动

Anthropic称，在其最新报告中，该公司将近 次与蒸馏相关的交互归因于五起独立行动。其中规模最大的一起尤为突出：Anthropic将其与阿里巴巴的Qwen联系起来，该行动在2026年5月至7月期间涉及超过1.51亿次交互。

这并不是Anthropic首次公开讨论这一问题。早在2026年2月，该公司就披露了早期行动，涉及超过1,600万次交互，并依赖约24,000个欺诈账户。2月的披露为这些行动本身提供了数量数据，而9月的报告则进一步给出了可衡量的结果：该公司称实际流出的数据减少了多少。

防御措施究竟如何运作

Anthropic描述的是一种分层方法，而不是单一的万能方案。账户封禁是其中一层，元数据分析和行为分类器则位于其他层面。在此基础上，该公司还使用组织归因方法，将相关活动追溯至其背后的团体。

其中几项防御措施是随产品更新推出的。Fable 5更新引入了强化的提取分类器，用于识别看起来像系统性窃取的使用模式。该更新还在Claude中加入了摘要功能，而摘要功能会降低被窃取材料的实用性：如果模型输出的是压缩版本，而不是完整的、逐步展开的推理轨迹，那么这份对话记录作为训练材料的价值就会大幅下降。

随后，Fable 5.1加入了Anthropic称为“保留思考”的功能。该功能禁止新的API账户编辑加密的推理上下文。推理轨迹是数据蒸馏者能够获得的最有价值的材料之一；如果新账户无法篡改加密的推理上下文，那么通过操纵模型来暴露或重塑这些推理的一条路径就被切断了。

综合来看，这些措施从两个方面发挥作用：让系统性数据窃取更难在不被察觉的情况下进行，同时降低仍被收集的对话记录的训练价值。

Anthropic并非唯一应对这一问题的公司

OpenAI也一直在处理同样的问题。该公司于2026年9月发布了自己的报告，介绍了扰乱类似蒸馏行动的技术，其中包括一种名为“加密推理重放”的方法。同月有两家竞争性实验室针对同一问题发布威胁报告，这凸显了一个变化：防御模型蒸馏已经从内部安全事务进入公众视野，成为整个行业共同关注的问题。

这一切背后也存在安全层面的考量。非法蒸馏引发了这样的问题：原始模型内置的安全防护，是否会延续到蒸馏后的复制模型中。一个实验室可能投入巨大精力训练模型，使其拒绝危险请求，但基于窃取输出训练的复制模型可能不会继承这些防护措施。

Anthropic将这类活动与合法的研究用途区分开来。这一区分很重要，因为蒸馏作为一种技术本身并非天然有问题。问题在于通过欺诈账户，以大规模方式进行蒸馏，并违反服务提供商的条款。

Anthropic本身也承认，非法蒸馏活动仍在继续，其防护措施需要不断演进。这一限定使标题中的数字成为一个基准，而不是结论：该公司将90%至99%的降幅描述为这场持续较量的当前状态，而报告中的归因数据则为评估这一努力如何发展提供了基线。