根據 Anthropic 2026 年 9 月的威脅情報報告，該公司表示新的防禦機制已將透過蒸餾攻擊從 Claude 竊取的數據量削減 90% 至 99%。報告詳細說明 Anthropic 如何追蹤、歸因並瓦解竊取 Claude 能力的非法嘗試，重點主要集中在推理、程式編寫與工具使用。

此處的蒸餾是指競爭對手大量收集一個更強大模型的回應，並將這些對話記錄作為自身系統訓練數據的技術。從這個角度來看，爭奪的核心資產並非模型本身，而是其回應的紀錄——這也是為什麼 Anthropic 的反制措施集中在控制模型輸出的內容，並降低這些輸出對竊取者的價值。

近 2 億次互動，一個規模極大的行動

Anthropic 表示，在最新報告中，該公司將近 2 億次與蒸餾相關的互動歸因於五個獨立的行動。其中規模最大的一個格外突出：Anthropic 將其與阿里巴巴的 Qwen 聯繫起來，該行動在 2026 年 5 月至 7 月間涉及超過 1.51 億次互動。

這並非 Anthropic 首次就此議題公開發聲。早在 2026 年 2 月，該公司就曾揭露涉及超過 1,600 萬次互動的早期行動，這些行動依賴約 24,000 個欺詐帳號。如果說 2 月的揭露是為這些行動本身提供了具體數字，那麼 9 月的報告則更進一步，給出了可衡量的成果：該公司表示實際流出的數據減少了多少。

防禦機制實際上如何運作

Anthropic 描述一種多層次的方法，而非單一靈丹妙藥。帳號封禁是其中一層，元數據分析與行為分類器則位於其他層面。在此之上，該公司還運用組織歸因方法，將相關活動與背後的團體連結起來。

其中幾項防禦措施是隨產品更新一同推出的。Fable 5 更新帶來了強化的萃取分類器，專門用於標記看似系統性竊取的使用模式。它也在 Claude 中引入了摘要功能，而摘要功能降低了被竊取材料的可用性：如果模型輸出的是濃縮版本，而非完整的逐步推理過程，這些對話記錄作為訓練材料的價值就會大幅下降。

Fable 5.1 隨後新增了 Anthropic 稱之為「保留思考」的功能。此功能防止新的 API 帳號編輯加密的推理上下文。推理痕跡是蒸餾者能取得的最有價值的材料之一，如果新帳號無法竄改加密的推理上下文，操縱模型以暴露或重塑推理內容的一條途徑就被封死了。

綜合來看，這些措施在兩個層面發揮作用：使系統性竊取更難在不被察覺的情況下進行，並降低即使仍被收集的對話記錄的訓練價值。

Anthropic 在這場戰役中並不孤單

OpenAI 一直在處理同樣的問題。該公司發布了自己的 2026 年 9 月報告，概述了瓦解類似蒸餾行動的技術，包括一種稱為加密推理重放的方法。兩家相互競爭的實驗室在同一個月內就同一問題發布威脅報告，凸顯了這一轉變：蒸餾防禦已從內部安全事務躍升為公開的、整個業界關注的議題。

這一切的背後還有安全層面的論述。非法蒸餾引發了一個問題：原始模型內建的安全防護是否能延續到蒸餾出的副本上。一個實驗室可以投入大量精力訓練模型拒絕危險請求，但以竊取的輸出訓練出來的副本未必繼承這些防護機制。

Anthropic 將這類活動與合法的研究用途區分開來。這種區分很重要，因為蒸餾作為一種技術本身並無問題。問題在於以大規模、透過欺詐帳號、並且違反服務條款的方式進行。

Anthropic 本身也承認，非法蒸餾行動仍在持續，其防禦機制需要不斷演進。這一告誡使頭條數字成為一個基準而非結論：該公司將 90% 至 99% 的降幅呈現為這場持久的當前狀態，報告中的歸因數據則作為評估後續演變的基準。