Anthropic: Neue Abwehrmaßnahmen senken Claude-Destillation um 90-99 %

Anthropic sagt, neue Abwehrmaßnahmen hätten die Daten, die per Destillation aus seinen Claude-Modellen abgegriffen werden, um rund 90 bis 99 % gesenkt. Das Unternehmen beschrieb die Maßnahmen in einem Beitrag vom 12. Oktober 2026. Destillation bedeutet hier, die Fähigkeiten eines Modells ohne Erlaubnis zu kopieren, indem man ein neues Modell mit seinen Antworten trainiert. Mehrere der Abwehrmaßnahmen ändern das Verhalten der Claude-API, daher mussten einige Entwickler ihren Code bereits anpassen.

Wogegen sich Anthropic wehrt

Der Beitrag von Anthropic bezeichnet Destillationsangriffe als „verdeckte Kampagnen im industriellen Maßstab“, mit denen die Fähigkeiten eines Modells abgeschöpft werden sollen. Sie laufen oft über Netzwerke gefälschter Konten. Die Angreifer wollen vor allem Reasoning-Transkripte, also das schrittweise Denken, das zeigt, wie Claude zu einer Antwort kommt.

Anthropic hat getestet, warum diese Transkripte wichtig sind. Das Unternehmen trainierte ein Modell mit Transkripten von Claude Opus 4.8 und bewertete es mit SWE-bench Verified, einem Coding-Benchmark:

Trainingsdaten	Ergebnis in SWE-bench Verified
Vollständige Reasoning-Transkripte	80,4 %
Zusammengefasste Transkripte	71,8 %

Anthropic argumentiert außerdem, dass kopierte Modelle ohne starke Schutzmechanismen ausgeliefert werden können. Das erhöht das Missbrauchsrisiko in Bereichen wie Cyberangriffen und Biologie.

Was sich für API-Nutzer geändert hat

Anthropic nennt diese Maßnahmen:

Maßnahme	Modelle	Wirkung
Preserved Thinking	Claude Fable 5.1, Opus 5.5	API-Konten, die am oder nach dem 31. August 2026 erstellt wurden, können früheren Kontext nicht bearbeiten
Reasoning-Isolierung	Sonnet 5.5 und neuere Modelle	Das Reasoning von Sonnet 5.5 ist nur für die Organisation sichtbar, die die Anfrage gestellt hat; ältere Modelle können das Reasoning neuerer Modelle nicht lesen
Zweistufiger Klassifikator	Sonnet 5.5, Opus 5 und 5.5, Fable 5 und 5.1	Markiert Extraktionsversuche; blockiert harmlose Anfragen in weniger als 0,1 % der Fälle
Abrechnung	Von Schutzmechanismen blockierte Anfragen	Seit dem 24. September 2026 kostenpflichtig

Anthropic hat außerdem Tricks unterbunden, etwa die Bitte an Claude, sein früheres Reasoning in eine andere Sprache zu übersetzen. Hartnäckige Extraktionsversuche treffen jetzt auf strengere Nutzungslimits und Sperren. Anthropic sagt, es habe Zehntausende Konten gesperrt, oft innerhalb von zwei Stunden nach Beginn einer Kampagne, berichtet Pulse 2.0.

Nachdem der Klassifikator live ging, sanken die von Angreifern extrahierten Reasoning-Tokens laut Anthropic um den Faktor 10 bis über 100.

Wen Anthropic nennt

Der Beitrag nennt zwei chinesische KI-Labore. Laut Anthropic nutzte Zhipu Destillation, um beim Bau von GLM-5.3 die Cyber-Fähigkeiten von US-Modellen zu kopieren. Als die Schutzmechanismen von Claude diese Versuche beeinträchtigten, wechselte Zhipu laut Anthropic zu einem älteren Claude-Modell und zum Modell eines anderen Labors. Eine US-Regierungsstelle stufte GLM-5.3 später als das Open-Weights-Modell mit den stärksten Cyber-Fähigkeiten ein, das bisher veröffentlicht wurde. Wir haben im August über die Open-Weights-Veröffentlichung von GLM-5.3 berichtet.

Anthropic sagt außerdem, dass Anfragen an Kimi von Moonshot AI heimlich an Claude weitergeleitet wurden. OpenAI brachte Anfang dieses Monats eine separate Kampagne zur Reasoning-Extraktion mit Moonshot AI in Verbindung.

Der Bedrohungsbericht von Anthropic aus dem September zählte fast 200 Millionen Interaktionen mit Bezug zu Destillation in fünf Kampagnen, berichtet Crypto Briefing. Die größte, die mit Qwen von Alibaba in Verbindung gebracht wird, überstieg von Mai bis Juli 2026 151 Millionen Interaktionen.

Die Kosten, die Anthropic einräumt

Die Abwehrmaßnahmen haben ihren Preis. Anthropic sagt, es habe „nennenswerte Umsätze und zahlenden Traffic im Wert von Billionen Tokens“ abgewiesen. Preserved Thinking zwang einige Entwickler, ihre Integrationen zu ändern. Harmlose Anfragen werden manchmal blockiert, und den Nutzern werden diese Blockierungen berechnet.

Anthropic sagt, es habe sein Ziel, legitime Nutzer unbehelligt zu lassen, nicht vollständig erreicht. Das Unternehmen erwartet ein Katz-und-Maus-Spiel und hat noch keinen hochentwickelten, hartnäckigen Versuch erlebt. „Wir wissen noch nicht, wie lange diese Fortschritte anhalten werden“, sagte das Unternehmen laut Pulse 2.0.

Was das für Entwickler bedeutet

Für Teams, die auf der Claude-API aufbauen:

• Das Erstellungsdatum des Kontos prüfen. Wenn Ihr API-Konto am oder nach dem 31. August 2026 erstellt wurde, können Sie früheren Kontext bei Fable 5.1 oder Opus 5.5 nicht bearbeiten. Apps, die vergangene Turns umschreiben, etwa durch Kürzen oder Austauschen alter Nachrichten, brauchen einen anderen Ansatz.
• Nicht auf geteiltes Reasoning setzen. Das Reasoning von Sonnet 5.5 bleibt bei der Organisation, die die Anfrage gestellt hat. Eine Pipeline, die das Denken eines Modells an ein anderes Modell weitergibt, funktioniert womöglich nicht mehr.
• Blockierte Aufrufe einplanen. Von Schutzmechanismen blockierte Anfragen werden berechnet. Bei weniger als 0,1 % sind die Kosten gering, aber verfolgen Sie blockierte Aufrufe, damit Sie bemerken, wenn die Rate steigt.
• Prompts vermeiden, die wie Extraktion aussehen. Ein Modell zu bitten, sein vorheriges Reasoning Wort für Wort zu wiederholen, ist jetzt ein Muster, auf das der Klassifikator achtet. Halten Sie das aus Produktions-Prompts heraus.
• Mit weiteren Änderungen rechnen. Anthropic nennt das einen andauernden Wettlauf. Verfolgen Sie die Release Notes von Anthropic auf neue Grenzen dafür, wie Reasoning gelesen oder wiederverwendet werden kann.