Det som är värt att stjäla är resonemanget
Anthropic har publicerat en redogörelse för hur företaget försvarar Claude mot destillation — konsten att kopiera en modells förmågor till en annan genom att skörda dess utdata i stor skala, oftast via nätverk av bedrägliga konton. Företaget säger att tidiga tecken tyder på att metoderna minskat de data destillatörer får ut med omkring 90 till 99 procent.
Det destillatörerna vill åt är enligt inlägget inte Claudes svar utan dess arbete: utskrifterna av det resonemang modellen skriver innan den svarar. Anthropic sätter en siffra på varför. En modell tränad på fullständiga resonemangsutskrifter från Claude Opus 4.8 fick 80,4 procent på SWE-bench Verified; tränad på sammanfattade utskrifter fick samma modell 71,8 procent.
Tre försvar
Det första är arkitektoniskt. “Bevarat tänkande”, som kom med Claude Fable 5.1 och Claude Opus 5.5, hindrar API-konton skapade från och med 31 augusti 2026 att redigera Claudes tidigare kontext — knepet som lät angripare förmå modellen att återge sitt eget tidigare resonemang ordagrant. På Claude Sonnet 5.5 syns resonemangsutskrifter bara för den organisation vars begäran skapade dem.
Det andra är en tvåstegsklassificerare, härledd ur Anthropics arbete med konstitutionella klassificerare och i drift på Claude Sonnet 5.5, Claude Opus 5 och 5.5 samt Claude Fable 5 och 5.1. Anthropic säger att den utsatts för röda lag internt och externt, att dess robusthet ungefär motsvarar företagets skyddsåtgärder mot biovapen och att dess andel falska positiva ligger under 0,1 procent. Kringgåenden som hittats sedan dess — att översätta tidigare resonemang till ett annat språk, eller att skriva ut det inuti taggar — har täppts till.
Det tredje är ekonomiskt. Konton som upprepat försöker extrahera möter strängare gränser och avstängningar, och sedan 24 september tar Anthropic betalt för förfrågningar som skyddsåtgärderna blockerar innan Claude svarar.
Vad siffrorna säger
Resonemangstokens som destillatörer får ut på Anthropics plattform är nu “konsekvent 10 till 100 gånger lägre” än tidigare, säger företaget, och vissa dagar för få för att mätas. Tiotusentals konton kopplade till destillation har stängts av, ofta inom två timmar efter att en kampanj inletts. Anthropic uppger att det avvisat betydande intäkter och biljoner tokens av betalande trafik från destillatörer.
Omfattningen företaget beskriver är stor. Proxynätverk använde hundratusentals bedrägliga konton, och ett av dem körde över 20 000 samtidigt. Ett laboratorium testade enligt Anthropic 12 000 förfrågningar, var och en med ett nytt knep.
Vilka det pekar ut
Två företag namnges. Anthropic säger att Zhipu destillerade cyberförmågor från ledande amerikanska modeller medan bolaget utvecklade GLM-5.3, och att det efter att försöken mot Claude Fable 5 försämrats av Anthropics cyberskydd gick över till en äldre Claude-modell och till ett annat labbs modell. Anthropic noterar att USA:s Center for Advancing Innovation and Standards for Super Intelligence bedömde GLM-5.3 som den mest cyberkapabla modellen med öppna vikter som släppts hittills, och säger att den egna forskningen fann GLM-5.3:s skyddsåtgärder lätta att kringgå.
Det andra är Moonshot, som enligt Anthropic i hemlighet vidarebefordrade förfrågningar till sina Kimi-modeller till Claude. I en av dessa vidarebefordrade förfrågningar bad en användare som Anthropic tror är knuten till Kinas folkets befrielsearmé Claude att analysera övervakningsmaterial av en bestämd person.
Vad Anthropic medger
Företaget räknar med en “katt-och-råtta-lek” och säger sig inte veta hur länge vinsterna håller, och tillägger att det ännu inte sett ett mycket avancerat och uthålligt försök att ta sig runt försvaren. Det finns kostnader för legitima användare också: bevarat tänkande tvingar en del utvecklare att uppdatera sina integrationer, och klassificeraren blockerar då och då ofarliga förfrågningar som ändå faktureras.
Argumentet Anthropic slutar i handlar om branschen snarare än om företaget självt. Destillatörer sprider sin trafik över API:er, tredjepartsmoln och andra inferensleverantörer, och incitamenten avskräcker från att försvara sig, eftersom försvar är dyra och olagliga destillatörer ändå betalar sina räkningar. Att publicera metoden ska enligt företaget visa att ett fungerande alternativ finns.
