Anthropic封堵数万蒸馏账号放弃万亿token护住推理

一个此前鲜为人知的战场正在AI巨头与创业公司之间爆发——不是算力竞赛，而是模型“蒸馏战争”。

10月12日，Anthropic发布研究文章，首次披露其针对Claude模型的三层反蒸馏（Anti－Distillation）防御体系。这套方案将攻击者通过API抓取的有效推理数据压缩至原来的1％到10％，降幅达90％到99％。公司已据此封禁数万个相关账号，部分账号在被发起攻击后的两小时内即遭处置。

代价同样直观：Anthropic承认，因拒绝蒸馏者的付费流量，它放弃了“有实质意义的收入”，涉及“数以万亿计”的token。

谁在偷Claude的大脑

要理解这场冲突，首先要搞清什么是“蒸馏”。

简单说，蒸馏就是用大量输入输出数据去训练一个小模型，让它尽可能模仿一个大模型的能力。就像让一个学生看老师的全部解题笔记，然后自己写出同样的答案。

问题在于，Claude系列模型的真正竞争力不是最终结论，而是它在得出结论前的推理过程。Anthropic内部数据显示，在Claude Opus 4．8上运行的SWE－bench Verified编程基准测试中，用完整推理记录训练的蒸馏模型得分达到80．4％；而若只使用经摘要处理的推理记录作为训练材料，这一分数直接掉到71．8％。差距近9个百分点，且都在同一个基准上测试。

攻击者怎么做这件事？他们不会直接破解服务器或入侵数据库，而是像普通用户一样调用了Claude API——并且是持续不断地调用，反复尝试从每次交互中提取受保护的思考链内容。这种方式的特别之处在于，攻击者在发起这些请求时，确确实实付了费。

这就带来了一个尖锐的商业悖论：不拦下来，能赚一笔钱；拦下来，保护了模型的核心资产。 过去两年里，“什么都不做”一直是更多厂商的选择。

三层盾牌：从阻断到收费

Anthropic此次公开的防御架构有三个层次，它们各自对应着蒸馏攻击的关键路径。

第一层是推理数据的访问管控。

2026年8月31日之后创建的新API账号将无法编辑Claude的上下文历史。这切断了攻击者最常用的一种手法——利用代理网络反复请求模型回答同一类问题，从而批量积累高质量的推理样本。同时，较早版本的Claude模型无法读取新模型的推理记录；Claude Sonnet 5．5的推理内容则仅限于发出请求的原始机构自行访问。

第二层是双阶段分类器。

该分类器的误报率低于0．1％——接近Anthropic用于防止Claude被诱导协助生物武器研发的安全护栏水平。系统已经拦截了多种新型攻击变种，包括那些试图让Claude将推理过程翻译成另一种语言、或将推理内容嵌入到特定HTML标签中的方法。

第三层是重复尝试的成本化机制。

自2026年9月24日起，被安全护栏拦截的请求恢复照常收费——前提是护栏误报率保持在0．1％以下。这意味着攻击者不再可以无限制地“白嫖”骚扰，每一次尝试都需要真金白银。

这套组合拳的效果如何量化？Anthropic给出的答案是：攻击者可提取的有效推理数据被压缩至原有的1％到10％。换句话说，每100份原本能被蒸馏者获取的数据，现在只剩1到10份。

万亿token背后的经济学账本

Anthropic没有回避这个选择带来的摩擦。

公司明确表示，“保留思维”功能意味着部分开发者需要更新现有集成；分类器的极低比例误拦截影响了某些合法用户的正常服务体验；而被拦截后仍需支付费用，这对边界附近的合规调用者也构成了一定困扰。

更大的财务影响体现在营收端。公司称被拒绝的蒸馏者流量涉及“数以万亿计”的token，并使用了“有实质意义的收入”这一表述来形容损失规模。需要注意的是，这里的“有意义”指的是排除掉低质量、无效请求之后的有效付费量——并非所有调用的总token数都计入在内。

这个数字为什么不精确？原因其实很现实：Anthropic至今未公开蒸馏者群体的具体画像或单个攻击主体的身份名单。它知道哪些账号被封禁，也知道总量级达到了“数万个”，但这些账号背后究竟指向哪家实验室或个人，公司没有给出明确证据链。

更关键的一点是，Anthropic在文章中坦承：“我们尚不确定这些增益能持续多久。”猫鼠游戏本质上是一场动态博弈——一旦防御模式公开，攻击者就会寻找新的路径绕过限制。因此，这次披露与其说是最终胜利宣言，更像是一个行业倡议：希望其他模型开发商、平台方和推理服务商能跟进建立统一防线，否则攻击者只需转向防护较弱的替代模型即可。

为什么此时才亮剑

一个自然的问题是：既然这套防御体系早在今年8月底就已部署，为什么直到10月12日才公开发布？

从商业角度看，有几个可能的时间窗口判断依据。首先是Claude系列产品线在秋季密集迭代——Opus 4．8、Fable 5．1、Sonnet 5．5等多个版本集中上线，使得防御能力有了覆盖更大产品矩阵的基础条件。其次是从9月底实施收费策略以来，攻击成本显著上升，双方之间的博弈态势发生了变化，公开披露时机恰好卡在这个节点。最后也是最重要的一点，当蒸馏行为开始从中小玩家蔓延到大厂级别的研究团队时，Anthropic面临的竞争压力已经从技术维护升级到了生态生存层面。

三条观察指标

对于关注AI赛道的人来说，可以从三个角度持续跟踪这场冲突的实际影响：

第一，各大模型供应商是否跟进类似的反蒸馏措施。如果有，说明行业共识正在形成；如果没有，Claude的优势窗口可能进一步拉长。

第二，蒸馏模型在编码、数学推理等重逻辑任务上的性能下降幅度是否稳定。SWE－bench的80．4％降到71．8％只是一个基线样本，长期趋势才是关键。

第三，中小AI创业公司在失去蒸馏渠道后的替代策略。它们是否会转向开源模型、自建微调数据集，还是彻底改变技术路线？