Anthropic、新たな防御策でClaudeの蒸留を90〜99%削減と発表

Anthropicは、新たな防御策によって、蒸留を行う者が同社のClaudeモデルから収集するデータが約90〜99%減ったとしています。同社は2026年10月12日付の記事で、これらの対策を説明しました。ここでいう蒸留とは、許可なくモデルの回答で新しいモデルを訓練し、そのモデルの能力をコピーすることです。防御策のいくつかはClaudeのAPIの動作を変えるため、一部の開発者はすでにコードの更新を迫られています。

Anthropicが防ごうとしているもの

Anthropicの記事は、蒸留攻撃を、モデルの能力を引き出すための「秘密裏に行われる産業規模のキャンペーン」と呼んでいます。こうした攻撃は、多くの場合、偽アカウントのネットワークを通じて行われます。攻撃者が主に狙うのは、推論のトランスクリプトです。これは、Claudeがどのように回答にたどり着くかを示す段階的な思考です。

Anthropicは、こうしたトランスクリプトがなぜ重要なのかを検証しました。同社はClaude Opus 4.8のトランスクリプトでモデルを訓練し、コーディングのベンチマークであるSWE-bench Verifiedで評価しました。結果は次のとおりです。

学習データ	SWE-bench Verifiedのスコア
推論の完全なトランスクリプト	80.4%
要約したトランスクリプト	71.8%

Anthropicはまた、コピーされたモデルが強力な安全対策なしに公開される可能性があると主張しています。そうなると、サイバー攻撃や生物学などの分野で悪用のリスクが高まります。

APIユーザーにとっての変更点

Anthropicが挙げる対策は次のとおりです。

対策	モデル	内容
思考の保持（Preserved thinking）	Claude Fable 5.1、Opus 5.5	2026年8月31日以降に作成されたAPIアカウントは、以前のコンテキストを編集できない
推論の分離	Sonnet 5.5以降のモデル	Sonnet 5.5の推論は、リクエストを送った組織にしか見えない。古いモデルは、新しいモデルの推論を読めない
2段階の分類器	Sonnet 5.5、Opus 5と5.5、Fable 5と5.1	抽出の試みを検出する。無害なリクエストをブロックするのは、0.1%未満のケース
課金	安全対策でブロックされたリクエスト	2026年9月24日から課金

Anthropicは、Claudeに以前の推論を別の言語に翻訳させる、といった手口もふさぎました。抽出を執拗に試みる場合は、現在、より厳しい利用制限とアカウント停止の対象になります。Pulse 2.0によると、Anthropicは数万件のアカウントを停止したとしています。多くの場合、キャンペーンの開始から2時間以内に停止したといいます。

Anthropicによると、分類器の導入後、攻撃者が抽出した推論トークンは、10分の1から100分の1未満にまで減りました。

Anthropicが名指しした企業

記事は、中国のAIラボ2社を名指ししています。Anthropicによると、ZhipuはGLM-5.3の開発中に、蒸留を使って米国のモデルのサイバー能力をコピーしました。Claudeの安全対策がこうした試みの効果を下げると、Zhipuは古いClaudeモデルと、別のラボのモデルに切り替えたとAnthropicは述べています。その後、米国の政府機関は、GLM-5.3をこれまでに公開されたオープンウェイトモデルの中で最もサイバー能力が高いと評価しました。8月には、GLM-5.3のオープンウェイト公開についてお伝えしました。

Anthropicはまた、Moonshot AIのKimiに送られたリクエストが、ひそかにClaudeへ転送されていたとしています。今月初めには、OpenAIが別の推論抽出キャンペーンをMoonshot AIに関連付けました。

Crypto Briefingによると、Anthropicの9月の脅威レポートは、5つのキャンペーンで蒸留に関連するやり取りを2億件近く数えました。最大のものはAlibabaのQwenに関連しており、2026年5月から7月にかけてのやり取りは1億5,100万件を超えました。

Anthropicが認めるコスト

防御策にはコストがかかります。Anthropicは、「意味のある収益と、数兆トークン分の有料トラフィック」を断ってきたと述べています。思考の保持によって、一部の開発者は連携の仕組みを変更せざるを得ませんでした。無害なリクエストがブロックされることもあり、ユーザーはそのブロックに対しても課金されます。

Anthropicは、正当なユーザーに影響を与えないという目標を、完全には達成できていないとしています。同社はいたちごっこを予想しており、高度で執拗な試みにはまだ遭遇していません。Pulse 2.0によると、同社は「これらの成果がいつまで続くかは、まだわかりません」と述べました。

開発者にとっての意味

Claude APIで開発するチームにとっての意味は次のとおりです。

• アカウントの作成日を確認しましょう。 APIアカウントを2026年8月31日以降に作成した場合、Fable 5.1やOpus 5.5では以前のコンテキストを編集できません。古いメッセージの削除や差し替えなど、過去のターンを書き換えるアプリには、別の方法が必要です。
• 推論の共有を前提にしないでください。 Sonnet 5.5の推論は、リクエストを送った組織の中にとどまります。あるモデルの思考を別のモデルに渡すパイプラインは、動かなくなる可能性があります。
• ブロックされた呼び出しの費用を見込みましょう。 安全対策でブロックされたリクエストは課金されます。0.1%未満ならコストは小さいものの、ブロックされた呼び出しを記録して、率の上昇に気づけるようにしましょう。
• 抽出に見えるプロンプトは避けましょう。 以前の推論を一字一句繰り返すようモデルに頼むことは、分類器が監視するパターンになりました。本番のプロンプトには入れないようにしましょう。
• さらなる変更に備えましょう。 Anthropicは、これを継続的な攻防と呼んでいます。推論の読み取りや再利用に関する新たな制限がないか、同社のリリースノートを確認しましょう。