Anthropicは2026年10月12日（現地時間）、Claudeの能力を無断で複製する蒸留攻撃への防御策を公開しました。同社の初期観測では、攻撃者が集めるデータ量が約90〜99％減少しました。効果は、自社プラットフォームから抽出されたと推定する推論トークン数を基に評価しています。

蒸留は、高性能AIモデルの出力を使って別のモデルに振る舞いを学習させる手法で、小型かつ低コストのモデル開発などに使われます。Anthropicは蒸留そのものではなく、開発元の許可なしに能力を抽出し、別モデルに複製する大規模で秘密裏の活動を問題視しています。同社は2月に大規模な蒸留攻撃を公表し、9月の脅威情報レポートでは非公開の推論過程を引き出す手口を報告しました。

防御策の一つ「preserved thinking」は、過去の推論データを次のリクエストで再利用する際、推論より前のシステムプロンプト、ツール設定、メッセージが変更されていないかを検証します。公式ドキュメントによると、2026年8月31日以降に作成されたAPIアカウントでは、対象モデルにこの検証が標準適用されます。文脈を改変して保護された推論を引き出す手口を防ぐ狙いです。

Anthropicはさらに、リクエスト内容を判定する2段階の分類器で推論抽出の要求を検知して遮断し、繰り返し試す利用者には利用制限やアカウント停止を行います。一方、同社は防御効果がどれほど続くかはまだ分からないとしています。一部の開発者にはAPI連携の修正が必要となり、分類器が無害な要求を誤って遮断する場合もあります。誤検知率は同社によると0.1％未満です。

同社は9月24日から、蒸留など誤検知率が0.1％未満の特定領域で、応答前に遮断されたリクエストへの課金を再開しています。公開された効果の数値は初期観測に基づくもので、持続期間は示されていません。正規利用への影響として、誤検知の可能性とAPI連携の修正が記事に記されています。タイトルと本文の日付表記では、記事が防御策の公開日として示す10月12日と、課金再開日として示す9月24日を区別しています。これは、記事本文にある発表・措置の時点を分けて伝えたものです。なお記事は、測定値を自社プラットフォーム上の推定抽出トークン数として説明しています。対策の持続期間に関する評価はまだ示されておらず、開発者側の修正や誤検知の可能性も記載されています。なお同社によれば、誤検知率は0.1％未満です。これらの記述は、初期観測の数値と未確定の継続期間、正規利用で生じうる影響をそれぞれ示しています。

Anthropicは2026年10月12日（現地時間）、Claudeの能力を無断で複製する蒸留攻撃への防御策を公開しました。同社の初期観測では、攻撃者が集めるデータ量が約90〜99％減少しました。効果は、自社プラットフォームから抽出されたと推定する推論トークン数を基に評価しています。

蒸留は、高性能AIモデルの出力を使って別のモデルに振る舞いを学習させる手法で、小型かつ低コストのモデル開発などに使われます。Anthropicは蒸留そのものではなく、開発元の許可なしに能力を抽出し、別モデルに複製する大規模で秘密裏の活動を問題視しています。同社は2月に大規模な蒸留攻撃を公表し、9月の脅威情報レポートでは非公開の推論過程を引き出す手口を報告しました。

防御策の一つ「preserved thinking」は、過去の推論データを次のリクエストで再利用する際、推論より前のシステムプロンプト、ツール設定、メッセージが変更されていないかを検証します。公式ドキュメントによると、2026年8月31日以降に作成されたAPIアカウントでは、対象モデルにこの検証が標準適用されます。文脈を改変して保護された推論を引き出す手口を防ぐ狙いです。

Anthropicはさらに、リクエスト内容を判定する2段階の分類器で推論抽出の要求を検知して遮断し、繰り返し試す利用者には利用制限やアカウント停止を行います。一方、同社は防御効果がどれほど続くかはまだ分からないとしています。一部の開発者にはAPI連携の修正が必要となり、分類器が無害な要求を誤って遮断する場合もあります。誤検知率は同社によると0.1％未満です。

同社は9月24日から、蒸留など誤検知率が0.1％未満の特定領域で、応答前に遮断されたリクエストへの課金を再開しています。公開された効果の数値は初期観測に基づくもので、持続期間は示されていません。正規利用への影響として、誤検知の可能性とAPI連携の修正が記事に記されています。タイトルと本文の日付表記では、記事が防御策の公開日として示す10月12日と、課金再開日として示す9月24日を区別しています。これは、記事本文にある発表・措置の時点を分けて伝えたものです。なお記事は、測定値を自社プラットフォーム上の推定抽出トークン数として説明しています。対策の持続期間に関する評価はまだ示されておらず、開発者側の修正や誤検知の可能性も記載されています。なお同社によれば、誤検知率は0.1％未満です。これらの記述は、初期観測の数値と未確定の継続期間、正規利用で生じうる影響をそれぞれ示しています。