Det, der er værd at stjæle, er ræsonnementet
Anthropic har offentliggjort en redegørelse for, hvordan selskabet forsvarer Claude mod destillation — praksissen med at kopiere én models evner over i en anden ved at høste dens output i stor skala, som regel gennem netværk af falske konti. Selskabet siger, at tidlige tegn tyder på, at metoderne har skåret de data, destillatørerne får ud, med omkring 90 til 99 procent.
Det, destillatørerne vil have, er ifølge indlægget ikke Claudes svar, men arbejdet bag: udskrifterne af det ræsonnement, modellen skriver, før den svarer. Anthropic sætter et tal på hvorfor. En model trænet på fulde ræsonnementsudskrifter fra Claude Opus 4.8 fik 80,4 procent på SWE-bench Verified; trænet på sammenfattede udskrifter fik den samme model 71,8 procent.
Tre forsvar
Det første er arkitektonisk. “Bevaret tænkning”, der kom med Claude Fable 5.1 og Claude Opus 5.5, forhindrer API-konti oprettet fra og med 31. august 2026 i at redigere Claudes tidligere kontekst — tricket, der lod angribere få modellen til at gengive sit eget tidligere ræsonnement ordret. På Claude Sonnet 5.5 er ræsonnementsudskrifter kun synlige for den organisation, hvis forespørgsel skabte dem.
Det andet er en totrinsklassifikator, afledt af Anthropics arbejde med konstitutionelle klassifikatorer og i drift på Claude Sonnet 5.5, Claude Opus 5 og 5.5 samt Claude Fable 5 og 5.1. Anthropic siger, at den er testet af røde hold internt og eksternt, at dens robusthed omtrent svarer til selskabets sikkerhedsforanstaltninger mod biovåben, og at dens andel af falske positive ligger under 0,1 procent. Omgåelser fundet siden — at oversætte tidligere ræsonnement til et andet sprog eller skrive det ud inde i tags — er lukket.
Det tredje er økonomisk. Konti, der gentagne gange forsøger udtræk, møder strammere grænser og udelukkelse, og siden 24. september opkræver Anthropic betaling for forespørgsler, som sikkerhedsforanstaltningerne blokerer, før Claude svarer.
Hvad tallene siger
De ræsonnementstokens, destillatører henter ud på Anthropics platform, er nu “konsekvent 10 til 100 gange færre” end før, siger selskabet, og nogle dage for få til at måle. Titusinder af konti knyttet til destillation er lukket, ofte inden for to timer efter at en kampagne er begyndt. Anthropic siger, at selskabet har afvist betydelige indtægter og billioner af tokens betalende trafik fra destillatører.
Omfanget, selskabet beskriver, er stort. Proxynetværk brugte hundredtusinder af falske konti, og ét af dem kørte over 20.000 på én gang. Ét laboratorium testede ifølge Anthropic 12.000 forespørgsler, hver med et nyt trick.
Hvem det nævner
To selskaber nævnes. Anthropic siger, at Zhipu destillerede cyberevner fra førende amerikanske modeller, mens selskabet udviklede GLM-5.3, og at det efter at forsøgene mod Claude Fable 5 blev svækket af Anthropics cybersikring gik over til en ældre Claude-model og til et andet laboratoriums model. Anthropic bemærker, at det amerikanske Center for Advancing Innovation and Standards for Super Intelligence vurderede GLM-5.3 som den mest cyberkapable model med åbne vægte, der er udgivet til dato, og siger, at selskabets egen forskning fandt GLM-5.3’s sikringer lette at omgå.
Det andet er Moonshot, som ifølge Anthropic i hemmelighed videresendte forespørgsler til sine Kimi-modeller til Claude. I en af de videresendte forespørgsler bad en bruger, som Anthropic mener er knyttet til Kinas Folkets Befrielseshær, Claude om at analysere overvågningsoptagelser af en bestemt person.
Hvad Anthropic indrømmer
Selskabet venter en “kat-og-mus-leg” og siger, at det ikke ved, hvor længe gevinsterne holder, og tilføjer, at det endnu ikke har set et meget avanceret og vedholdende forsøg på at komme uden om forsvarene. Der er også omkostninger for legitime brugere: bevaret tænkning tvinger nogle udviklere til at opdatere deres integrationer, og klassifikatoren blokerer en gang imellem harmløse forespørgsler, som alligevel nu faktureres.
Argumentet, Anthropic slutter af med, handler om branchen snarere end om selskabet selv. Destillatører spreder deres trafik over API’er, tredjepartsskyer og andre inferensudbydere, og incitamenterne modvirker forsvar, fordi forsvar er dyre, og ulovlige destillatører alligevel betaler deres regninger. At offentliggøre metoden skal ifølge selskabet vise, at et brugbart alternativ findes.
