آنتروپیک سرقت از طریق تقطیر مدل‌های هوش مصنوعی را تا ۹۹ درصد کاهش می‌دهد

آنتروپیک در ۱۲ اکتبر ۲۰۲۶ اعلام کرد که سه دفاع فنی جدید ساخته است که میزان داده‌ای را که توسعه‌دهندگان رقیب می‌توانند از کلود از طریق «حملات تقطیر» استخراج کنند، حدود ۹۰ تا ۹۹ درصد کاهش می‌دهد. این شرکت در یادداشتی پژوهشی منتشرشده در وب‌سایت خود اعلام کرد که این اقدامات برای مقابله با استخراج اطلاعات از مدل‌هایش طراحی شده‌اند. این خبر که رسانه‌هایی مانند The Economic Times و IBTimes Singapore نیز آن را پوشش داده‌اند، در زمانی منتشر شده است که مسئله اینکه چه کسی و چگونه می‌تواند از یک مدل پیشرفته هوش مصنوعی یاد بگیرد، به یکی از بحث‌برانگیزترین موضوعات صنعت تبدیل شده است.

تقطیر، یعنی آموزش یک مدل کوچک‌تر یا رقیب با استفاده از خروجی‌های یک مدل قدرتمندتر، از اوایل سال ۲۰۲۵ از یک روش نسبتاً تخصصی یادگیری ماشین به موضوعی ژئوپلیتیکی تبدیل شده است. دفاع‌های جدید آنتروپیک که از Claude Fable 5.1، Claude Opus 5.5 و Claude Sonnet 5.5 محافظت می‌کنند، جزئی‌ترین توضیح عمومی این شرکت تاکنون درباره تلاش برای جلوگیری از کپی ارزان‌قیمت توانایی‌های استدلالی مدل‌هایش توسط رقبا، از جمله آزمایشگاه‌های چینی مانند Zhipu AI، محسوب می‌شود؛ توانایی‌هایی که برای ساخت آن‌ها میلیاردها دلار و سال‌ها تحقیق صرف شده است.

آنتروپیک در ۱۲ اکتبر دقیقاً چه چیزی اعلام کرد؟

یادداشت پژوهشی آنتروپیک با عنوان «تقویت دفاع‌های ما در برابر حملات تقطیر» توضیح می‌دهد که شرکت سه سازوکار جداگانه را به کار گرفته است که در کنار هم تلاش‌ها برای استخراج فرایند استدلال داخلی کلود را مختل می‌کنند. به گفته خود شرکت، «شواهد اولیه نشان می‌دهد این روش‌ها میزان داده برداشت‌شده توسط تقطیرکنندگان را حدود ۹۰ تا ۹۹ درصد کاهش داده‌اند.» آنتروپیک این رقم را شواهد اولیه داخلی می‌داند، نه یک معیار مستقل و حسابرسی‌شده. BusinessLine گزارش کرده است که این کاهش مشخصاً به حجم داده‌های استدلالی مربوط می‌شود که تقطیرکنندگان می‌توانند از پاسخ‌های کلود استخراج کنند، نه کل ترافیک API.

به بیان دیگر، آنتروپیک می‌گوید تعداد توکن‌های استدلالی که یک تقطیرکننده می‌تواند از کلود استخراج کند اکنون ۱۰ تا ۱۰۰ برابر کمتر از قبل از فعال شدن این تدابیر است. این موضوع اهمیت زیادی دارد، زیرا اقتصاد تقطیر به حجم داده وابسته است: یک رقیب بالقوه برای آموزش مدلی کوچک‌تر که سبک استدلال مدل پیشرفته را تقلید کند، به مجموعه بزرگی از زنجیره‌های فکری آن نیاز دارد. کاهش این حجم داده، هزینه ساخت یک مدل مشابه را به‌شدت افزایش می‌دهد، حتی اگر مهاجم کاملاً مسدود نشود.

سه دفاع جدید آنتروپیک در برابر تقطیر

آنتروپیک در صفحه پژوهشی خود توضیح داده است که این دفاع‌ها حملات تقطیر را «از سه مسیر جداگانه» مختل می‌کنند. نخستین و مهم‌ترین اقدام از نظر ساختاری چیزی است که شرکت آن را تفکر حفظ‌شده می‌نامد. این قابلیت همراه با Claude Fable 5.1 و Claude Opus 5.5 معرفی شد و اجازه نمی‌دهد حساب‌های API که از ۳۱ اوت ۲۰۲۶ به بعد ساخته شده‌اند، زمینه استدلالی قبلی کلود را ویرایش کنند. این اقدام راهکاری را می‌بندد که تقطیرکنندگان از آن استفاده می‌کردند: بازگرداندن زنجیره فکری مدل به درخواست‌های بعدی برای بازسازی سیگنال آموزشی کامل‌تر از یک پاسخ منفرد.

دفاع دوم یک طبقه‌بندی‌کننده دومرحله‌ای است که بر همان رویکردی ساخته شده که آنتروپیک در کارهای قبلی خود درباره طبقه‌بندی‌کننده‌های قانون اساسی استفاده کرده بود. گزارش‌های مربوط به این اعلامیه می‌گویند نرخ مثبت کاذب این سیستم کمتر از ۰.۱ درصد است؛ یعنی توسعه‌دهندگان معمولی که برای برنامه‌نویسی یا پژوهش از کلود استفاده می‌کنند، به ندرت اشتباهاً علامت‌گذاری می‌شوند. این طبقه‌بندی‌کننده تلاش‌های استخراج استدلال را هنگام ورود درخواست‌ها شناسایی می‌کند، نه پس از وقوع.

دفاع سوم بیشتر یک اهرم سیاستی است تا یک قطعه کد: اجرای محدودیت در سطح حساب و میزان استفاده. حساب‌هایی که بارها تلاش کنند استدلال کلود را استخراج کنند، با محدودیت‌های شدیدتر نرخ استفاده یا حتی مسدود شدن روبه‌رو می‌شوند. همچنین گزارش شده است که آنتروپیک از ۲۴ سپتامبر ۲۰۲۶ برای درخواست‌هایی که سیستم‌هایش مسدود می‌کنند هزینه دریافت می‌کند. تبدیل تلاش ناموفق برای تقطیر از یک عملیات رایگان به رویدادی هزینه‌دار، هزینه حملات پرتعداد را افزایش می‌دهد.

نگاهی به سه دفاع آنتروپیک

کدام مدل‌های کلود واقعاً محافظت می‌شوند؟

آنتروپیک سه مدل مشخص را تحت معماری جدید معرفی کرده است: Claude Fable 5.1، Claude Opus 5.5 و Claude Sonnet 5.5. این شرکت می‌گوید محافظت‌های مبتنی بر طبقه‌بندی‌کننده برای «قدرتمندترین مدل‌هایش» نیز گسترش یافته‌اند، اما فهرست کاملی ارائه نکرده است. این موضوع درباره اینکه آیا نسخه‌های قدیمی‌تر یا کوچک‌تر کلود نیز همین سطح محافظت را دارند، ابهام ایجاد می‌کند. اولین سازوکارهای عمومی ضدتقطیر آنتروپیک همراه با عرضه Fable 5.1 و Mythos 5.1 در اول سپتامبر ۲۰۲۶ ارائه شده بودند؛ بنابراین اعلامیه اکتبر بیشتر ادامه و تشدید یک برنامه موجود است تا واکنشی ناگهانی به یک حمله جدید.

محدودیت دسترسی به رونوشت‌ها نیز بخش دیگری از این تغییرات است. در Claude Sonnet 5.5، رونوشت‌های استدلالی تولیدشده برای درخواست یک سازمان فقط در اختیار همان سازمان قرار می‌گیرد؛ اقدامی که مسیر احتمالی اشتراک‌گذاری دسترسی یا فروش مجدد سرویس برای مشاهده زنجیره‌های استدلال استخراج‌شده مشتریان دیگر را می‌بندد.

چرا رقم ۹۰ تا ۹۹ درصد نیازمند بررسی دقیق است؟

عبارت «شواهد اولیه» که آنتروپیک استفاده کرده، اهمیت زیادی دارد. هیچ‌یک از گزارش‌های منتشرشده درباره این اعلامیه، از جمله گزارش‌های Enterprise AI و IBTimes Singapore، به یک معیار قابل بازتولید، حجم نمونه اعلام‌شده، دوره اندازه‌گیری پایه یا حسابرسی مستقل برای بازه ۹۰ تا ۹۹ درصد اشاره نکرده‌اند. این موضوع به معنی نادرست بودن عدد نیست، اما نشان می‌دهد باید آن را به‌عنوان برآورد اولیه داخلی شرکت از اثربخشی دفاع خود خواند؛ مشابه ادعاهایی که شرکت‌ها درباره ویژگی‌های امنیتی جدید پیش از آزمون‌های مستقل مطرح می‌کنند.

همچنین فاصله زیادی میان کاهش ۹۰ درصدی و ۹۹ درصدی وجود دارد. کاهش ۹۰ درصدی همچنان به معنی باقی ماندن یک‌دهم توکن‌های استدلالی قابل دسترس است، در حالی که کاهش ۹۹ درصدی این مقدار را به حدود یک‌صدم می‌رساند. آنتروپیک مشخص نکرده است که کدام بخش این بازه مربوط به کدام مدل، نوع حمله یا دوره زمانی است؛ بنابراین این ادعا باید نشانه‌ای از بهبود واقعی تلقی شود، نه تضمینی دقیق برای هر مدل.

چرا تقطیر به تهدیدی حیاتی برای آزمایشگاه‌های هوش مصنوعی پیشرفته تبدیل شد؟

اقتصاد این موضوع ساده است. ساخت یک مدل پیشرفته از صفر نیازمند هزینه عظیم برای محاسبات آموزشی، آزمایش‌های ناموفق، آموزش پس از توسعه، ارزیابی ایمنی و حقوق پژوهشگران است؛ هزینه‌ای که برای بزرگ‌ترین سامانه‌ها از صدها میلیون دلار تا میلیاردها دلار برآورد شده است. تقطیر تقریباً همه این مراحل را دور می‌زند. یک رقیب فقط باید برای دسترسی API هزینه کند، حجم زیادی خروجی از مدل پیشرفته تولید کند و سپس با آن خروجی‌ها مدلی کوچک‌تر و ارزان‌تر بسازد که رفتار مدل اصلی را تقلید کند. Just Security این پدیده را یکی از دلایلی دانسته است که سیاست‌گذاران آمریکایی تقطیر را مسئله‌ای امنیت ملی می‌دانند.

به همین دلیل، سه دفاع آنتروپیک به‌طور مشخص استدلال را هدف گرفته‌اند، نه همه خروجی‌های متنی را. زنجیره‌های فکری، یعنی مراحل گام‌به‌گام استدلالی که مدل برای رسیدن به پاسخ تولید می‌کند، ارزشمندترین بخش برای سرقت محسوب می‌شوند؛ زیرا به مدل کوچک‌تر یاد می‌دهند یک مدل پیشرفته چگونه فکر می‌کند، نه فقط چه پاسخی ارائه می‌دهد.

نمونه DeepSeek که زمینه‌ساز این روند شد

اعلامیه اکتبر آنتروپیک ناگهانی نبود. رقابت مدرن بر سر تقطیر به ژانویه ۲۰۲۵ بازمی‌گردد؛ زمانی که DeepSeek مدل استدلالی R1 و چند مدل کوچک‌تر را منتشر کرد که شرکت به‌طور علنی اعلام کرده بود از R1 تقطیر شده‌اند. چند روز بعد، OpenAI گفت شواهدی دیده است که برخی حساب‌های استفاده‌کننده از API این شرکت خروجی‌ها را برای آموزش یک مدل رقیب جمع‌آوری کرده‌اند. گزارش‌های آن زمان، DeepSeek را هدف احتمالی این فعالیت معرفی کردند. دیوید ساکس، مشاور هوش مصنوعی کاخ سفید، نیز در اظهاراتی که Fortune گزارش کرد گفت «شواهد قابل توجهی» وجود دارد که DeepSeek از تقطیر استفاده کرده است.

با این حال، باید میان موارد اثبات‌شده و ادعاها تفاوت گذاشت. مقاله فنی DeepSeek تقطیر مدل R1 خود این شرکت به نسخه‌های کوچک‌تر متن‌باز را توضیح داده بود؛ اقدامی متفاوت از ادعای جداگانه درباره تقطیر یک مدل بسته غربی. بیانیه OpenAI در ژانویه ۲۰۲۵ از فعالیت‌های مشکوک حساب‌ها و الگوهای درخواست سازگار با تقطیر سخن گفت، اما هیچ سند عمومی تاکنون ثابت نکرده است که خروجی‌های یک مدل غربی واقعاً وارد داده‌های آموزشی DeepSeek-R1 شده‌اند. این اختلاف‌ها ادامه یافت و تا سپتامبر ۲۰۲۶ به مناقشه‌ای میان دولت‌ها تبدیل شد؛ زمانی که وزارت بازرگانی چین یک هشدار مشترک آمریکا را رد کرد.

Zhipu و جنبه چین در این رقابت

گزارش‌های مربوط به یادداشت پژوهشی ۱۲ اکتبر آنتروپیک، از جمله گزارشی از Resultsense، اشاره کرده‌اند که نام Zhipu AI و GLM-5.3 در چارچوب رقابت گسترده‌ای که دفاع‌های جدید برای آن طراحی شده‌اند، مطرح شده است. این موضوع در شرایطی مطرح می‌شود که GLM-5.3 در برخی معیارها توانسته با مدل‌های غربی رقابت کند. Tech Insider پیش‌تر گزارش داده بود که GLM-5.3 در یک معیار امنیت سایبری با امتیاز ۸۴.۵ درصد از مدل‌های آنتروپیک پیشی گرفته است. با این حال، هیچ گزارش موجودی ثابت نکرده است که GLM-5.3 از طریق تقطیر یک مدل پیشرفته غربی ساخته شده باشد و این تفاوت مهم است.

الگوی کلی همچنان روشن است: آزمایشگاه‌های هوش مصنوعی چین با سرعت زیادی فاصله خود را با مدل‌های پیشرفته آمریکایی کاهش داده‌اند و تقطیر، چه در یک مورد خاص اثبات شده باشد یا فقط مورد سوءظن قرار گرفته باشد، به توضیح رایجی برای این کاهش سریع فاصله تبدیل شده است.

مقایسه شرایط استفاده رقبا

آنتروپیک تنها شرکتی نیست که تلاش می‌کند از نظر فنی و حقوقی از خروجی‌های خود محافظت کند. OpenAI، گوگل و آنتروپیک همگی به مشتریان اجازه استفاده از خروجی‌های تولیدشده توسط درخواست‌های API خود را می‌دهند، اما شرایط تجاری هر سه شرکت استفاده از این خروجی‌ها برای آموزش یا توسعه مدل رقیب را ممنوع می‌کند. تفاوت اصلی در نحوه اجراست. اعلامیه ۱۲ اکتبر آنتروپیک جزئی‌ترین توضیح عمومی یک شرکت درباره روش شناسایی و مسدودسازی عملی این تخلفات است.

الگوی تشدید اقدامات ضدسرقت آنتروپیک

اعلامیه اکتبر بخشی از روندی است که در بیشتر سال ۲۰۲۶ در آنتروپیک شکل گرفته است. رویکرد امنیت سایبری گسترده‌تر این شرکت شامل کاهش قیمت مدل‌های کوچک‌تری مانند Claude Haiku 5.5 و سازوکارهای ضدتقطیر ارائه‌شده همراه با Fable 5.1 و Mythos 5.1 بوده است. پیام مشترک این اقدامات این است که آنتروپیک سرقت مدل را یک مشکل یک‌باره نمی‌بیند، بلکه آن را رقابتی دائمی می‌داند که نیازمند لایه‌های دفاعی جدید است.

این رویکرد همچنین توضیح می‌دهد چرا آنتروپیک به جای یک بیانیه کوتاه، پژوهش فنی منتشر کرده است. ارائه جزئیات برای پژوهشگران امنیتی و آزمایشگاه‌های رقیب نشان می‌دهد شرکت می‌خواهد دفاع در برابر تقطیر به یک حوزه مشترک در صنعت تبدیل شود.

تأثیر بازار و رقابت

اثر مستقیم اقدام آنتروپیک بر اقتصاد کسانی است که قصد دارند با جمع‌آوری خروجی API به جای آموزش مستقل، رقیبی ارزان‌تر برای کلود بسازند. اگر کاهش ۹۰ تا ۹۹ درصدی در بررسی‌های مستقل تأیید شود، حجم داده استدلالی قابل استفاده برای همان هزینه دسترسی به کلود به‌شدت کاهش می‌یابد و ساخت مدل تقطیرشده را به آموزش مستقل نزدیک‌تر و کم‌صرفه‌تر می‌کند.

اثر دوم این است که اگر معماری آنتروپیک موفق باشد، احتمالاً OpenAI و گوگل نیز دفاع‌های فنی مشخص خود را منتشر خواهند کرد، زیرا هیچ‌کدام نمی‌خواهند هدف آسان‌تر صنعت شناخته شوند.

معنای این تغییرات برای توسعه‌دهندگان کلود

برای بیشتر مشتریان API آنتروپیک، این تغییرات در کار روزمره تفاوتی ایجاد نمی‌کند. نرخ مثبت کاذب کمتر از ۰.۱ درصد اعلام‌شده نشان می‌دهد ابزارهای برنامه‌نویسی، پژوهشی و پشتیبانی مشتری مبتنی بر Claude Opus 5.5 یا Claude Sonnet 5.5 نباید تغییر محسوسی در کیفیت یا تأخیر داشته باشند.

شرکت‌هایی که تعهدات تطبیقی درباره استدلال تولیدشده توسط هوش مصنوعی دارند نیز ممکن است نیاز داشته باشند شیوه مدیریت رونوشت‌های Claude Sonnet 5.5 را بازبینی کنند، زیرا دسترسی به این رونوشت‌ها اکنون به سازمان ایجادکننده درخواست محدود شده است.

پیش‌بینی‌ها: مسیر بعدی امنیت مدل‌های هوش مصنوعی

• انتظار می‌رود OpenAI و گوگل طی دو تا سه فصل آینده معماری‌های ضدتقطیر مشخص خود را معرفی کنند.
• پژوهشگران مستقل احتمالاً رقم ۹۰ تا ۹۹ درصد آنتروپیک را بررسی و آزمایش خواهند کرد.
• تنش آمریکا و چین درباره ادعاهای تقطیر همزمان با توسعه ابزارهای فنی ادامه خواهد یافت.
• توسعه‌دهندگان مدل‌های کوچک‌تر و متن‌باز با فشار بیشتری برای شفاف‌سازی منشأ داده‌های آموزشی روبه‌رو خواهند شد.
• قیمت مدل‌های استدلالی پیشرفته ممکن است به سمت ارائه نسخه‌های ارزان‌تر ادامه پیدا کند.

تصویر بزرگ‌تر

یادداشت پژوهشی ۱۲ اکتبر آنتروپیک به بحث تقطیر پایان نمی‌دهد و عبارت «شواهد اولیه» نشان می‌دهد حتی خود شرکت نیز هنوز ادعای پیروزی کامل ندارد. با این حال، این اعلامیه بحث را از ممنوعیت‌های قراردادی مبهم به سمت معماری فنی مشخصی منتقل می‌کند که دیگر شرکت‌ها و پژوهشگران مستقل می‌توانند آن را ارزیابی و نقد کنند. در صنعتی که فاصله میان یک مدل پیشرفته و نسخه ارزان‌تر آن یکی از معدود مزیت‌های رقابتی واقعی باقی‌مانده است، تبدیل سیاست به مهندسی ممکن است از خود درصد اعلام‌شده اهمیت بیشتری داشته باشد.

پرسش‌های متداول

تقطیر مدل هوش مصنوعی چیست؟
تقطیر روشی است که در آن یک مدل کوچک‌تر یا رقیب با استفاده از خروجی‌های یک مدل بزرگ‌تر و قدرتمندتر، به‌ویژه استدلال‌های مرحله‌به‌مرحله آن، آموزش می‌بیند تا با هزینه کمتر رفتار مدل اصلی را تقلید کند.

آنتروپیک در ۱۲ اکتبر ۲۰۲۶ چه چیزی اعلام کرد؟
این شرکت سه دفاع جدید معرفی کرد: تفکر حفظ‌شده، طبقه‌بندی‌کننده دومرحله‌ای برای شناسایی استخراج استدلال و اجرای محدودیت در سطح حساب و استفاده.

کدام مدل‌های کلود محافظت می‌شوند؟
آنتروپیک Claude Fable 5.1، Claude Opus 5.5 و Claude Sonnet 5.5 را نام برده است.

آیا رقم ۹۰ تا ۹۹ درصد مستقل تأیید شده است؟
خیر. آنتروپیک آن را شواهد اولیه داخلی خود معرفی کرده و گزارش عمومی مستقلی درباره آن وجود ندارد.

ماجرای تقطیر DeepSeek چه بود؟
DeepSeek در ژانویه ۲۰۲۵ مدل R1 را منتشر کرد و برخی مدل‌های کوچک‌تر خود را از آن تقطیر کرد. جدا از این موضوع، OpenAI از فعالیت مشکوک حساب‌هایی خبر داد که احتمالاً خروجی‌های آن را برای آموزش مدل رقیب جمع‌آوری می‌کردند، اما استفاده قطعی از خروجی یک مدل غربی در آموزش DeepSeek-R1 اثبات نشده است.

آیا OpenAI و گوگل محافظت مشابهی دارند؟
شرایط استفاده هر دو شرکت آموزش مدل رقیب با خروجی‌هایشان را ممنوع می‌کند، اما معماری فنی مشابه آنتروپیک را به‌صورت عمومی اعلام نکرده‌اند.

این تغییرات برای توسعه‌دهندگان کلود چه معنایی دارد؟
بیشتر کاربردهای قانونی تغییری نمی‌کنند، اما کاربرانی که استدلال قبلی کلود را دوباره وارد درخواست‌های بعدی می‌کنند یا رونوشت‌ها را میان سازمان‌ها به اشتراک می‌گذارند، ممکن است نیاز به تغییر روند کاری داشته باشند.