Anthropic 在 2026 年 10 月 12 日公布了一组针对模型蒸馏攻击的新防护，并给出了效果数字：按其自报口径，被攻击者提取走的推理 token 已降到此前的十分之一到百分之一，折算成被窃取的数据量约减少 90% 至 99%。路透社同日报道了这一消息。需要先说清的是，这些数字来自 Anthropic 单方披露，尚无第三方复核。
蒸馏攻击偷的不是权重，是推理过程
模型蒸馏本身是正经的训练技术：用大模型的输出去教小模型，成本远低于从头训练。出问题的是大规模提取——攻击者用代理网络批量向 Claude 提问，专门套取受保护的推理内容，再拿去训练竞品模型。Anthropic 的说法是，这类做法绕过了它为模型能力设置的安全限制，被提取的能力可能被用于削弱防护的场景，因此它把这件事同时定义为知识产权问题和安全问题。
三道防线分别堵在哪里
这次公布的措施可以拆成三层。第一层是收紧推理内容的可见度，让单次回答里可直接复用的推理信息变少。第二层是针对代理网络的识别与拦截：反复换出口、批量探测受保护推理的行为会被系统盯上并阻断，Anthropic 称其检测误报率低于 0.1%。第三层是账号处置，其表示已封禁数万个与蒸馏活动相关的账号。三层叠加的目的，是把提取的单位成本抬到攻击者算不过账的程度，而不是宣称从此无法被蒸馏。
被点名的智谱，与还没落定的争议
Anthropic 在披露中点名中国公司智谱（Z.ai），称其在开发 GLM-5.3 时曾试图从 Claude 蒸馏能力。截至路透社发稿，智谱没有立即回应这一指控。这意味着目前公众能看到的只有单方说法：Anthropic 没有公开完整的提取样本和判定细节，被点名方也没有给出对照解释。读者对这部分宜按一方指控、尚待回应来读，不要把点名当作已被独立证实的结论。
普通用户和开发者会受到什么影响
对绝大多数正常使用 Claude 的人，这组防护的直接影响有限，误报率低于 0.1% 是 Anthropic 给普通用户的主要安抚。但两类使用方式要留意：一是通过代理或共享账号池高频调用 API 的团队，行为模式与提取攻击接近时更容易触发拦截；二是依赖长推理输出做二次开发的应用，推理内容可见度收紧后，需要重新评估输出是否还够用。下一步值得看的是，智谱是否回应，以及其他前沿实验室会不会公布各自的防蒸馏口径——这正在变成模型公司之间一项新的标配竞赛。
