Anthropic 把推理 token 窃取压低 10–100 倍，点名智谱与月之暗面

Anthropic 于 2026 年 10 月 12 日发表了一篇技术研究论文，详细介绍了首个公开记录的、针对工业规模 AI 蒸馏攻击的防御 —— 蒸馏攻击指系统性地利用欺诈性 API 账户窃取前沿模型的推理能力，用于训练竞争系统。该实验室同时宣布，其新部署的两级分类器系统已把从 Claude 平台可提取的推理 token 量压低到防御前基线的十分之一到百分之一，有些日子的提取量小到无法测量。

这次发布不止于宣布一种防御机制。Anthropic 直接点名两家中国 AI 公司 —— 智谱（也以 Z.ai 运营）和消费产品名为 Kimi 的月之暗面 —— 对 Claude 的 API 实施了活跃的蒸馏行动。这一定性的依据是一份2026 年 9 月的 Anthropic 威胁情报报告、一份 9 月 8 日由 NSA、CISA 和 FBI 联合发布、点名月之暗面及另外五家中国 AI 公司的通告，以及 OpenAI 9 月 30 日披露的一场针对 OpenAI 自家模型的平行行动。

底层的安全顾虑比「AI 能力窃取」这个说法通常暗示的要具体。Anthropic 自己的研究显示，一个用完整 Claude 推理轨迹训练的模型在 SWE-bench Verified —— 衡量真实 GitHub 软件问题解决表现的标准基准 —— 上得分 80.4%，而只用这些轨迹的摘要版本训练的模型得分 71.8%。这大约 9 个百分点的差距，由 Anthropic 内部复现攻击得出，量化了攻击者每次成功从前沿模型提取完整推理轨迹时的利害所在：一种可测量的问题求解能力转移，而且已经出现在已部署的产品里。

为什么推理轨迹是首要目标

AI 蒸馏的基本形式，是用大模型的输出去训练一个更小的或与之竞争的模型。在工业规模上，这意味着通过欺诈账户网络发出数十万次 API 查询、收集回复并送入训练流水线。这种技术长期以来被认为是潜在威胁；Anthropic 论文新增的，是对为什么推理轨迹 —— 而非最终输出 —— 才是猎物的精确说明。

Claude 和其他具备推理能力的前沿模型在给出最终回复之前，会生成扩展的内部「思考」。这些思考块可通过 Claude 的扩展思考 API看到，包含完整的中间步骤：模型如何分解问题、测试并放弃了哪些假设、如何在推理链中途纠错。最终输出把这些信息大幅压缩；它们展示结论而不展示过程。用完整推理轨迹训练会把两者都转移过去 —— 不只是答什么，还有如何推理出答案。

SWE-bench Verified 的结果 —— 对一个用 Claude Opus 4.8 轨迹训练的模型，完整轨迹 80.4% 对摘要 71.8% —— 把这一点具体化了。SWE-bench Verified 用真实、未经修改的 GitHub 仓库 issue 测试模型，这些 issue 的正确解法经人类开发者验证。它是目前在用的最有实践意义的编码基准之一，能抵御困扰那些测试集公开的基准的污染问题。完整轨迹与摘要轨迹训练条件之间大约 9 个百分点的差距，代表着在 Anthropic 的防御部署之前，攻击者每次成功提取推理时都在获取的能力优势。

延伸阅读：OpenAI 补上推理漏洞，Azure 晚了 61 天

两级分类器如何工作

Anthropic 的新分类器 —— 建立在其宪法分类器研究所述方法之上 —— 是一个两级级联系统，旨在检测蒸馏企图，同时不给合法 API 流量带来过高的误报率。第一级是一个轻量的线性探针，用模型内部的激活模式 —— 来自 Claude 自身处理过程内部的信号，而不只是请求的表面文本 —— 筛查所有进入的流量。这一级大约增加 1% 的算力开销。越过可疑阈值的请求升级到第二级：一个更重的对话分类器，把对话的输入和输出放在一起审查，从而能检测只有在完整对话中才可见的模式。

由此得到的系统在蒸馏检测上声称误报率低于 0.1% —— 即每一千个合法 API 请求中触发误报的不到一个。这在运营上意义重大：误报率更高的系统要么会大规模干扰合法开发者，要么需要跟不上 API 流量的人工审核流水线。自 2026 年 9 月 24 日起，Anthropic 开始对被以这一误报率运作的安全机制（包括蒸馏分类器）拦截的请求收费 —— 这一定价政策让定向拦截在经济上可以自我维持。

分类器基于内部激活模式运作，部分原因是文本层面的规避很容易。Anthropic 记录到攻击者已经尝试过提示层面的变通，包括指示 Claude 把推理翻译成另一种语言，以及把推理写进与最终答案并列的特殊 XML 标签里。两种规避手法都已被修补。使用内部激活信号 —— 反映模型内部在「做」什么、而非输出里出现什么的特征 —— 大幅提高了规避难度，因为对手无法通过 API 直接观察或操纵模型的激活空间。

Preserved Thinking 封堵主动的上下文操纵

分类器处理的是被动蒸馏 —— 大规模的常规查询。一个平行机制Preserved Thinking针对的是另一类更激进的攻击：主动蒸馏，攻击者操纵对话上下文，以提取比直接查询能得到的更高质量的推理轨迹。

Anthropic 记录的主动蒸馏技术包括：把加密的推理块从一个对话复制到另一个对话（跨对话重放）、在会话中途切换 Claude 模型以寻找安全机制更弱的版本，以及协调多个账户重放同一上下文。这些技术获取推理轨迹的效率可能高于以量取胜的被动攻击，因为它们针对特定问题类型，并利用上下文结构来诱出更详细的推理。

Preserved Thinking 对 2026 年 8 月 31 日及之后创建的账户生效，封堵了在多轮对话中编辑 Claude 先前上下文的能力。这关闭了上下文重放攻击所利用的那个具体架构缺口。推理记录隔离 —— 一项应用于 Claude Sonnet 5.5 的独立改动 —— 限制了对推理记录的访问，只有发出该请求的组织才能取回它们，防止跨账户收集推理轨迹。

智谱的网络能力行动与 GLM-5.3

Anthropic 对智谱蒸馏行动的叙述，是两个被点名案例中技术上更具体的一个。据 Anthropic 称，智谱用蒸馏得到的 Claude Fable 5 推理轨迹来开发 GLM-5.3 的网络能力 —— 即模型分析、利用和推理软件漏洞的那部分能力。当 Anthropic 针对网络领域的安全机制降低了智谱能提取的轨迹质量时，该公司转向更旧的 Claude 版本，并加入了另一家实验室模型的轨迹。

GLM-5.3 于 2026 年 8 月 14 日公开发布。9 月 17 日，NIST 的 AI 标准与创新中心（CAISI）发布了一份独立评估，结论是 GLM-5.3 目前是公开可得的网络能力最强的开放权重 AI 模型，落后美国前沿约四个月。CAISI 的评估还发现，GLM-5.3 能生成可用的端到端软件漏洞利用程序，其与安全相关的拒绝行为可以通过「abliteration」—— 一种在开放权重模型中把拒绝行为微调掉的标准技术 —— 绕过。由于 GLM-5.3 是开放权重，任何 API 层防御都不适用；这项能力以可下载的形式永久存在。

CAISI 给出的约四个月差距，为蒸馏已经达成的效果提供了一个标定。智谱并没有从零开始在前沿构建网络能力 —— 它通过用窃取的轨迹训练，压缩了那段能力差距中相当大的一部分，而算力成本只是独立开发这项能力所需的一小部分。

月之暗面的隐藏路由与国家安全维度

月之暗面的案例涉及不同的攻击结构。月之暗面被指并非主要用蒸馏的 Claude 轨迹构建新模型，而是秘密地把其 Kimi 用户的约 2300 万次对话直接路由到 Claude 的 API —— 本质上把 Claude 当作一个静默后端来服务 Kimi 的用户群。这产生了 2300 万条来自真实用户查询的高质量对话记录，随后可用作训练数据。Anthropic 识别出与这一行动相关的 5380 个欺诈账户。

Anthropic 公开记录中最重大的具体事件，涉及一名疑似与解放军有关联的用户通过月之暗面的路由基础设施抵达 Claude 的一次请求。该请求要求分析某个特定个人的 CCTV 监控录像 —— 一个具有明确情报用途的用例。这一事件说明了一种超出蒸馏范畴的结构性风险：如果一家 AI 公司通过未披露的中间基础设施把用户查询路由到前沿模型，前沿实验室的使用政策和访问控制就会依赖于中间方的诚实。

月之暗面在 2026 年 9 月 8 日 NSA、CISA 和 FBI 发布的联合通告中与另外五家中国 AI 公司一起被点名，理由是对美国 AI 模型实施蒸馏攻击。9 月 30 日，OpenAI 另行披露，与月之暗面有关联的个人在 2026 年 7 月对 OpenAI 的模型实施了一场蒸馏行动，7 月 24 日和 25 日达到 16000 次请求的峰值，涉及超过 15000 个账户，行动于 7 月 28 日被完全瓦解。美国政府的归因和 OpenAI 的平行披露都表明，月之暗面针对美国 AI 基础设施的行动并不限于 Anthropic。

一场存在结构性不对称的军备竞赛

Anthropic 明确表示，其防御是一场持续较量的开局，而非一劳永逸的解决方案。规避技术 —— 语言翻译、标签包裹的输出 —— 在当前部署中已被修补，但实验室承认新的规避手法会出现。当前的分类器针对的是研究期间观察到的攻击模式；未来的攻击世代可能需要重新训练分类器或扩展架构。

更根本的不对称在封闭模型与开放权重模型之间。Anthropic 的防御只适用于通过 API 访问的 Claude。GLM-5.3 的网络能力一旦从 Claude 轨迹蒸馏出来并并入开放权重模型，就被永久分发出去了。任何 API 控制、速率限制或分类器都够不着它们。Anthropic 呼吁其他前沿 AI 实验室采取类似防御，处理的是 API 层的攻击面；它没有处理能力已被提取并开源之后的下游部署问题。

Anthropic 还呼吁美国政府把出口管制扩展到前沿模型的 API 输出。现行出口管制框架更直接地针对模型权重而非 API 访问；把管制扩展到输出 —— API 调用生成的 token —— 将是一次重大的监管扩张，对每一个使用美国前沿 AI API 的开发者都有合规影响。

SWE-bench Verified 的差值 —— 80.4% 对 71.8% —— 框定了这一监管论证的利害。这个差距代表的是在 Anthropic 的防御部署之前就已转移的能力。前沿实验室和美国政策制定者共同面对的问题是：能够切实减少持续提取的架构防御，加上行业协同和扩大的出口管制，能否阻止 GLM-5.3 之后的模型把更多能力转移进开放权重生态。