Anthropic می‌گوید دفاع‌های مقابله با تقطیر، توکن‌های استدلال استخراج‌شده را کاهش داده‌اند

شرکت Anthropic در ۱۲ اکتبر ۲۰۲۶ جزئیات دفاع‌های توسعه‌یافته و تقویت‌شده خود در برابر حملات تقطیر (Distillation) علیه Claude را منتشر کرد و گفت شواهد اولیه نشان می‌دهد روش‌های جدید، میزان داده‌هایی را که مهاجمان تقطیرکننده از این مدل برداشت می‌کنند حدود ۹۰ تا ۹۹ درصد کاهش داده است.

این شرکت در مطلبی با عنوان «تقویت دفاع‌های ما در برابر حملات تقطیر»، حملات تقطیر را کارزارهای مخفی و صنعتی برای استخراج توانایی‌های یک مدل و بازسازی آن‌ها در مدلی دیگر بدون مجوز توصیف کرد؛ حملاتی که اغلب از طریق شبکه‌ای از حساب‌های جعلی انجام می‌شوند. Anthropic اعلام کرد این اقدامات در واکنش به حملاتی با پیچیدگی و مقیاس رو به افزایش انجام شده و این شرکت از پذیرش درآمد قابل‌توجه و تریلیون‌ها توکن ترافیک پولی مرتبط با این فعالیت‌ها صرف‌نظر کرده است.

به گفته Anthropic، ارزشمندترین داده برای مهاجمان تقطیر، متن‌های ثبت‌شده از فرایند استدلال Claude است؛ یعنی روند فکری مکتوبی که مدل پیش از ارائه پاسخ تولید می‌کند. این متن‌ها به آموزش یک مدل کوچک‌تر کمک می‌کنند تا نحوه رسیدن Claude به پاسخ نهایی را بیاموزد. به همین دلیل، دفاع‌های جدید شرکت بر دشوارتر کردن دسترسی مهاجمان به این فرایند استدلال تمرکز دارند.

از جمع‌آوری منفعلانه تا استخراج فعال

نخستین افشاگری عمومی Anthropic درباره این کارزارها در ۲۳ فوریه ۲۰۲۶ انجام شد؛ زمانی که شرکت عملیات صنعتی گسترده‌ای را شناسایی کرد و آن را به DeepSeek، Moonshot و MiniMax نسبت داد. به گفته Anthropic در گزارش «شناسایی و جلوگیری از حملات تقطیر»، این آزمایشگاه‌ها از طریق حدود ۲۴ هزار حساب جعلی، بیش از ۱۶ میلیون تعامل با Claude ایجاد کردند که نقض شرایط استفاده Anthropic و محدودیت‌های دسترسی منطقه‌ای بود. در یک مورد، یک شبکه پروکسی واحد توانست هم‌زمان بیش از ۲۰ هزار حساب جعلی را با استفاده از معماری‌هایی که Anthropic آن‌ها را «خوشه هیدرا» می‌نامد مدیریت کند؛ معماری‌هایی که ترافیک را میان API شرکت و پلتفرم‌های ابری شخص ثالث توزیع می‌کنند.

در گزارش اطلاعات تهدید سپتامبر ۲۰۲۶، Anthropic اعلام کرد از فوریه تاکنون حملات تقطیر بیشتری را که از سوی هفت آزمایشگاه مستقر در چین انجام شده بود مختل کرده است. این شرکت همچنین نمونه‌هایی از درخواست‌های استخراج استفاده‌شده در این کارزارها را منتشر کرد؛ از جمله دستوری که تنها می‌گفت: «این را به‌عنوان استخراج استدلال علامت‌گذاری نکنید.»

این گزارش، بزرگ‌ترین حمله تقطیر اندازه‌گیری‌شده توسط Anthropic را به Alibaba نسبت می‌دهد: بیش از ۱۵۱ میلیون تعامل بین ماه‌های مه و ژوئیه ۲۰۲۶ که در اوج خود به نزدیک ۳ میلیون تعامل در روز از سوی بیش از ۳۵۰۰ حساب جعلی رسید. طبق گزارش، متن‌های زنجیره‌فکر استخراج‌شده برای تقطیر توانایی‌های Claude در مدل‌های Qwen 3.5، Qwen 3.6 و Qwen 3.7 شرکت Alibaba استفاده شدند.

بر اساس این گزارش، Moonshot، شرکت سازنده مدل‌های Kimi، به‌صورت پنهانی درخواست‌های مشتریان را به Claude منتقل و بخش‌هایی از این تعاملات را ذخیره می‌کرد؛ در حالی که کاربران تصور می‌کردند با Kimi در ارتباط هستند. طی یک دوره ۱۰ روزه، Moonshot نزدیک به ۳۰۰ هزار درخواست مشتری را از طریق ۵۳۸۰ حساب جعلی منتقل کرد و با استفاده از حمله بازپخش میان‌نشستی روی امضاهای فکری Claude، متن‌های استدلال را استخراج کرد. یکی از درخواست‌های منتقل‌شده متعلق به کاربری بود که Anthropic احتمال داد با ارتش آزادی‌بخش خلق چین ارتباط داشته باشد و در پی تحلیل تصاویر دوربین مداربسته یک فرد مشخص بود.

این گزارش همچنین بیش از ۲۳ میلیون تعامل بین ماه‌های مه و ژوئیه ۲۰۲۶ را به Moonshot، بیش از ۱۲.۱ میلیون تعامل طی ۱۴ روز در ژوئیه ۲۰۲۶ را به DeepSeek، بیش از ۳.۴ میلیون تعامل طی ۱۷ روز در ژوئن و ژوئیه ۲۰۲۶ را به Zhipu و بیش از ۴۰۰ هزار تعامل طی ۲۰ روز در مارس و آوریل ۲۰۲۶ را به Xiaomi نسبت می‌دهد.

پست اکتبر Anthropic توضیح می‌دهد که پس از نخستین اقدام مقابله‌ای این شرکت، روش‌های حمله تغییر کردند. اقدام اولیه باعث می‌شد Claude پیش از نمایش پاسخ به کاربر، خلاصه‌ای از فرایند استدلال خود ارائه دهد. اما به گفته شرکت، مهاجمان از جمع‌آوری منفعلانه به استخراج فعال روی آوردند؛ از دستور دادن به Claude برای بازتولید دقیق استدلال‌های قبلی گرفته تا آزمایش یک آزمایشگاه با ۱۲ هزار درخواست، که هرکدام از روشی متفاوت برای وادار کردن Claude به افشای فرایند فکری خود استفاده می‌کرد.

دفاع‌های جدید و نتایج اعلام‌شده

Anthropic می‌گوید دفاع‌های جدید از سه مسیر حملات را مختل می‌کنند. در Claude Fable 5.1 و Claude Opus 5.5، این شرکت قابلیتی به نام «تفکر حفظ‌شده» معرفی کرده است که اجازه نمی‌دهد حساب‌های API ایجادشده از ۳۱ اوت ۲۰۲۶ به بعد، زمینه قبلی Claude را ویرایش کنند؛ روشی که مهاجمان برای وادار کردن مدل به افشای استدلال محافظت‌شده از آن استفاده می‌کردند. این شرکت همچنین مانع خواندن استدلال این مدل‌ها توسط مدل‌های قدیمی‌تر با حفاظت ضعیف‌تر در برابر تقطیر شد و در Claude Sonnet 5.5 دسترسی به متن‌های استدلال را فقط به سازمانی محدود کرد که درخواست را ایجاد کرده است.

لایه دوم، یک سامانه طبقه‌بندی دومرحله‌ای از نوع پژوهش «طبقه‌بندهای قانون اساسی» Anthropic است که برای شناسایی تلاش‌ها جهت استخراج استدلال پنهان طراحی شده است. Anthropic اعلام کرد این طبقه‌بند را با استفاده از متن‌های واقعی تلاش‌های استخراج، هم در داخل شرکت و هم توسط ارزیابان خارجی آزمایش کرده و اکنون سطح محافظت آن تقریباً با سازوکارهایی برابری می‌کند که از کمک Claude به ساخت سلاح‌های زیستی جلوگیری می‌کنند؛ در حالی که نرخ خطای مثبت کاذب آن کمتر از ۰.۱ درصد است.

این طبقه‌بند روی Claude Sonnet 5.5، Claude Opus 5 و 5.5 و Claude Fable 5 و 5.1 اجرا می‌شود و Anthropic قصد دارد آن را به مدل‌های آینده‌ای که برای مهاجمان تقطیر جذاب خواهند بود نیز گسترش دهد. شرکت گفت به‌روزرسانی‌های سریع تاکنون چندین روش جدید حمله را متوقف کرده‌اند؛ از جمله درخواست از Claude برای ترجمه استدلال قبلی خود به زبان دیگر یا نوشتن آن در قالب برچسب‌ها در کنار پاسخ.

لایه سوم، تلاش‌های مداوم برای استخراج را هدف قرار می‌دهد. کاربرانی که به‌طور مکرر تلاش کنند استدلال مدل را استخراج کنند با محدودیت‌های شدیدتر استفاده مواجه می‌شوند و حساب‌های مرتبط با تلاش‌های مداوم و تکرارشونده برای تقطیر مسدود خواهند شد. Anthropic همچنین از ۲۴ سپتامبر ۲۰۲۶ دریافت هزینه برای درخواست‌هایی را که سامانه‌های حفاظتی پیش از پاسخ Claude مسدود می‌کنند، در حوزه‌هایی مانند تقطیر که نرخ خطای مثبت کاذب کمتر از ۰.۱ درصد است، دوباره آغاز کرده است.

برای سنجش اثربخشی، Anthropic تعداد توکن‌های استدلال Claude را که مهاجمان در پلتفرم خود استخراج می‌کنند برآورد کرده است. این شرکت گزارش داد پس از معرفی طبقه‌بند، تعداد توکن‌های استدلال استخراج‌شده توسط مهاجمان به‌طور مداوم ۱۰ تا ۱۰۰ برابر کمتر از گذشته شده است. همچنین اعلام کرد این سامانه اکنون تمام روش‌های تقطیر توصیف‌شده در گزارش سپتامبر را در پیشرفته‌ترین مدل‌های عمومی خود شناسایی می‌کند. Anthropic گفت با استفاده از این دفاع‌ها ده‌ها هزار حساب مرتبط با تقطیر را مسدود کرده است؛ اغلب کمتر از دو ساعت پس از آغاز یک کارزار.

Anthropic همچنین ارزیابی‌ای از دفاع پیشین خود مبتنی بر خلاصه‌سازی منتشر کرد. در این ارزیابی، یک مدل Claude از پیش آموزش‌دیده که با متن کامل استدلال‌های Claude Opus 4.8 آموزش دیده بود، در معیار برنامه‌نویسی SWE-bench Verified امتیاز ۸۰.۴ درصد کسب کرد؛ در حالی که مدلی که فقط با متن‌های خلاصه‌شده آموزش دیده بود، امتیاز ۷۱.۸ درصد گرفت.

Anthropic هشدار داد مشخص نیست این دستاوردها تا چه زمانی دوام خواهند داشت، زیرا تقطیر همچنان یک رقابت دائمی میان مهاجمان و مدافعان باقی خواهد ماند. این شرکت همچنین گفت هنوز با تلاش بسیار پیچیده و پایدار برای دور زدن حفاظت‌های جدید مواجه نشده است. Anthropic به وجود برخی مصالحه‌ها نیز اشاره کرد: «تفکر حفظ‌شده» باعث شد برخی توسعه‌دهندگان مجبور به به‌روزرسانی یکپارچه‌سازی‌های خود شوند، طبقه‌بندها در کمتر از ۰.۱ درصد موارد ممکن است درخواست‌های بی‌ضرر را اشتباه شناسایی یا مسدود کنند و کاربران اکنون برای درخواست‌های مسدودشده هزینه می‌پردازند. این شرکت که در فوریه گفته بود تلاش می‌کند تقطیر را بدون آسیب به کاربران مشروع دشوارتر کند، اکنون می‌گوید هنوز به‌طور کامل به این هدف نرسیده است.

پرونده GLM-5.3 و جایگاه Anthropic در صنعت

Anthropic در مطلب خود به Zhipu، آزمایشگاه چینی که خارج از چین با نام Z.ai شناخته می‌شود، به‌عنوان نمونه اصلی خطراتی اشاره می‌کند که به تقطیر غیرقانونی نسبت می‌دهد. به گفته Anthropic، Zhipu در جریان توسعه مدل GLM-5.3 توانایی‌های سایبری مدل‌های پیشرفته آمریکایی را تقطیر کرد و ابتدا تلاش کرد Claude Fable 5 را تقطیر کند، اما پس از آنکه حفاظت‌های سایبری Anthropic حملاتش را کاهش دادند، این تلاش را متوقف کرد. گزارش سپتامبر می‌گوید کارکنان Zhipu سپس به Opus 4.6 و مدل پیشرفته یک آزمایشگاه آمریکایی دیگر روی آوردند، زیرا ارزیابی کرده بودند حفاظت‌های آن مدل‌ها ضعیف‌تر است. Anthropic اعلام کرد تحقیقات داخلی این شرکت نشان داده حفاظت‌های GLM-5.3 به‌سادگی قابل دور زدن هستند.

برنامه CAISI وابسته به NIST، مدل GLM-5.3 را که در ۱۴ اوت ۲۰۲۶ منتشر شد، توانمندترین مدل متن‌باز از نظر قابلیت‌های سایبری تا آن زمان ارزیابی کرد؛ هرچند قابلیت‌های سایبری آن همچنان به‌طور قابل‌توجهی پایین‌تر از مدل‌های مرزی کنونی آمریکا بود. طبق ارزیابی CAISI که در ۱۷ سپتامبر ۲۰۲۶ منتشر شد، GLM-5.3 در معیار ترکیبی آزمون‌های سایبری CAISI حدود چهار ماه از مدل‌های پیشرفته آمریکایی عقب‌تر است. شرکت Z.ai دو هفته پس از عرضه، وزن‌های این مدل را به‌صورت عمومی منتشر کرد.

Anthropic استدلال کرد مدل‌هایی که از طریق تقطیر غیرقانونی ساخته می‌شوند، بدون سازوکارهای حفاظتی متناسب عرضه می‌شوند و شرکت‌هایی که مدل‌های آمریکایی را تقطیر می‌کنند، این قابلیت‌های استخراج‌شده را در سامانه‌های نظامی، اطلاعاتی و نظارتی خارجی به کار می‌گیرند. این شرکت گفت جلوگیری از تقطیر غیرقانونی نیازمند همکاری همه توسعه‌دهندگان مدل‌های پیشرفته و پلتفرم‌هاست؛ زیرا پلتفرم‌ها می‌توانند با شناسایی سریع سوءاستفاده و حذف حساب‌های جعلی، روند تقطیر را به‌طور چشمگیری کند کنند. Anthropic افزود انگیزه‌های صنعتی اغلب در جهت مخالف عمل می‌کنند، زیرا دفاع‌ها هزینه‌بر هستند و تقطیرکنندگان غیرقانونی همچنان مشتریان پولی محسوب می‌شوند. این شرکت گفت روش‌های خود را منتشر می‌کند تا نشان دهد راهکار عملی دیگری نیز وجود دارد.