Anthropic 详解 Claude 反蒸馏防护：两级分类器 + Preserved Thinking，推理 token 被盗量降约 10–100 倍

核心背景与行业痛点

蒸馏攻击把前沿模型的能力「抄」进未授权学生模型：攻击者用海量欺诈账号拉取回复——尤其是 完整推理链——再训练更小模型。Anthropic 称这类攻击已帮助海外实验室追赶美方前沿，并点名开源权重模型在网络攻防能力上的蒸馏案例（文中讨论 GLM-5.3 等）。2026-10-12 的 研究博客 把反蒸馏从「总结思维链」升级成可对标生物/网络安全护栏强度的系统工程，并承认会牺牲部分合法开发者体验与收入。

架构亮点与底层机制

1. 弱化可蒸馏信号：早期做法是展示前先总结 Claude 推理；内部评测显示，用完整转录蒸馏到 SWE-bench Verified 约 80.4%，仅用总结转录约 71.8%。
2. Preserved Thinking：自约 2026-08-31 起的新 API 账号起，限制编辑先验上下文，阻挠代理网络反复拼接/搬移受保护推理块；并限制弱防护旧模型读取强模型推理、按组织隔离转录可读性（如 Sonnet 5.5）。
3. 两级分类器：用蒸馏攻击转录做红队，把「索要逐字隐藏推理」等请求按有害任务同级拦截，宣称误报率 <0.1%，覆盖当前主力一般可用型号。
4. 经济与账号摩擦：对反复提取账号加严限额并封禁；自 2026-09-24 起，对误报率已压到阈值的拦截类请求（含蒸馏）在模型未响应前也重新计费。

权威 Benchmark 与实测跑分对比

文中可核验的量化结果几乎都是 Anthropic 自测/平台遥测：总结推理使蒸馏后 SWE-bench Verified 从 80.4% 降到 71.8%；新防护后平台上可提取推理 token「持续低一个数量级到两个数量级」（约 10–100×）；整体收获数据口径为约 90%–99% 下降。文中 没有 给出第三方复现实验或跨厂商横向对比表。对读者：把这些数字读成「自家平台观测到的攻击流量与内部蒸馏实验」，而不是行业统一标准分。

开发者实战落地与开箱指南

• 若你的集成会改写历史消息、跨会话搬运 assistant/thinking 块，或依赖旧模型读新模型推理，优先对照 Preserved Thinking 与组织隔离规则做回归。
• 误拦虽宣称极低，但被拦请求可能计费：监控 4xx/策略拒识码，准备重试与人工申诉路径。
• 安全与合规团队可读该文作为「为何推理默认不可完整导出」的产品依据；同时跟踪 Anthropic 九月蒸馏报告与相关威胁情报，勿把单一厂商叙事当成全部事实来源。
• 若你运营推理网关：文中明确呼吁检测欺诈账号与代理网络——平台侧清号与实验室侧分类器同样关键。