Anthropic、蒸留攻撃対策でデータ抽出9割減

Anthropicは蒸留を両面の問題として捉えている。一方では企業が最先端モデルを使って、元のモデルに近い性能の安価な自社モデルを訓練できるが、模倣される側は負荷を負う。もう一方でAnthropicは、不正に蒸留されたモデルが国家安全保障上のリスクになり得るとし、過去に中国企業Moonshot AIのKimiシリーズへのリクエストがClaudeに転送され、監視映像から特定の個人を分析しようとする兆候があった事例を挙げている。Anthropicはこれらのリクエストを行ったユーザーが中国人民解放軍と関係があると考えている。

Anthropicによると、蒸留を試みる側にとって最も価値が高いデータは推論プロセスの記録、つまりClaudeが回答前に書き出す思考だという。そのため防御策はほぼすべて、その推論を入手しにくくすることに集中している。第1の対策はユーザーに表示する前に推論を要約するもので、生の推論を蒸留した場合と比べてベンチマークスコアが80.4％から71.8％に下がったという。蒸留を試みる側は、そのまま推論を求める単純な手法から、1万件を超えるリクエストで引き出そうとする方法まで対抗策を講じた。Anthropicは、蒸留を試みる側が数十万件の不正アカウントを運用しており、従来の防御策では対応できなかったとしている。

新しい対策にはClaude Fable 5.1とClaude Opus 5.5の「held-out thinking」が含まれ、2026年8月31日以降に作成されたAPIアカウントがClaudeの過去のコンテキストを編集できないようにし、Claude Sonnet 5.5では元のリクエストを送った組織だけが推論記録を閲覧できる。Anthropicはまた、入力と出力を検査する「constitutional classifier」も適用している。これは2026年1月に生物学などの分野向けに導入し、生物兵器や核兵器に関するリクエストを遮断するもので、蒸留への防御もほぼ同程度に強固だとしている。Anthropicは蒸留をめぐる競争は続くと見ており、同様の能力を持つモデルに容易にアクセスできる攻撃者によって取り組みが損なわれ得るため、食い止めるには最先端モデルを開発するすべての企業の努力と協力が必要だと主張している。