Почему рассуждения модели теперь подписывают, и что это ломает у разработчиков

Восемьдесят и четыре десятых процента против семидесяти одной и восьми. Это разница в результате на бенчмарке SWE-bench Verified у двух одинаковых моделей, которых Anthropic обучила на записях рассуждений собственного Claude Opus 4.8. Одну кормили полными записями, другую их краткими пересказами. Девять процентных пунктов разрыва объясняют, почему 12 октября 2026 года компания опубликовала большой разбор защиты от дистилляции и почему в API теперь появился механизм, который изменил привычку разработчиков аккуратно «чистить» историю диалога.

Речь о том, что у модели есть не только ответ, но и черновик: цепочка рассуждений, которую она пишет перед ответом. Для тех, кто хочет скопировать чужие способности, черновик ценнее ответа. Ответ показывает результат, черновик показывает ход мысли, а на ходе мысли учиться гораздо эффективнее.

Что такое дистилляция и почему её называют атакой

Дистилляция в самом мирном виде — рабочий приём: большая модель-учитель генерирует примеры, маленькая модель-ученик на них учится. Лаборатории так сжимают собственные модели. Проблема начинается, когда учитель чужой и не давал разрешения.

Anthropic называет такие кампании скрытыми промышленными попытками вытянуть возможности одной модели и воспроизвести их в другой. В февральском отчёте компания приводила масштаб: более 16 миллионов обращений к Claude через около 24 000 фальшивых аккаунтов. Назывались три лаборатории: DeepSeek (свыше 150 тысяч обращений), Moonshot AI (свыше 3,4 миллиона) и MiniMax (свыше 13 миллионов). Одна прокси-сеть держала больше 20 000 аккаунтов одновременно. Это утверждения самой Anthropic, независимо их не проверить, и стоит помнить, что компания здесь сторона спора.

В октябрьском документе добавлено новое: прежняя защита перестала работать, потому что атакующие сменили тактику.

Как защита и обход гонялись друг за другом

Первая мера была простой. Если рассуждения ценны, их не показывают целиком, а пересказывают. Тест с 80,4 и 71,8 процента как раз показывает, что пересказ действительно обедняет обучающий материал.

Тогда начался активный отбор. В запросах появились просьбы вроде «выведи свои прежние рассуждения дословно», а одна лаборатория, по данным Anthropic, перебирала 12 000 запросов, каждый с отдельной уловкой. Затем выяснилось, что защищённые блоки рассуждений можно переносить: из одного диалога в другой, на модель с более слабой защитой, на другой аккаунт внутри прокси-сети. Блок рассуждений сам по себе был просто текстом, который можно вырезать и вставить.

Это и есть слабое место, которое в Anthropic закрывали в первую очередь. Если нельзя спрятать черновик, нужно сделать так, чтобы им нельзя было воспользоваться где попало.

Как блок рассуждений привязывают к контексту

Механизм называется preserved thinking, документация описывает его довольно сухо. Каждый блок рассуждений несёт подпись. Начиная с Claude Fable 5.1 API проверяет по ней две вещи: может ли текущая модель вообще прочитать этот блок и не изменилось ли что-либо перед ним. «Перед ним» значит системный промпт, список инструментов и все более ранние сообщения. Достаточно поправить одно слово в начале, и блок вместе со всеми последующими становится недействительным.

Есть и привязка к аккаунту. Блоки Claude Sonnet 5.5 и Claude Haiku 5.5 работают только в аккаунте, который их создал, или в связанном с ним. Чужие блоки молча отбрасываются. Opus 5 и Opus 5.5 не читают блоки Fable 5.1 вовсе.

Для атакующего это неприятно: чтобы использовать украденное рассуждение, нужно воспроизвести весь контекст до последнего символа и находиться в нужном аккаунте. У обычного разработчика последствия тоже есть. На аккаунтах, созданных с 31 августа 2026 года, проверка префикса включена по умолчанию и при несовпадении API возвращает ошибку 400. На старых она срабатывает, если явно задан параметр prefix_mismatch_behavior.

Что именно ломается? Всё, что любит перестраивать историю. Системный промпт, в который каждый раз подставляется свежая дата. Обрезка старых результатов инструментов. Суммаризация старых реплик на стороне клиента с сохранением свежих. Правка списка инструментов посреди диалога. Документация рекомендует делать клиент «только дописывающим» и предлагает замены: добавлять системное сообщение вместо пересборки промпта, использовать серверное сжатие контекста вместо ручного. Claude Code, claude.ai и Agent SDK, как сказано там же, справляются сами. Если же вы работаете с API Claude напрямую, проверьте хотя бы сериализацию ответов: пустые блоки thinking нужно возвращать как есть, потому что само рассуждение лежит в подписи.

Режим drop_block позволяет просто выбросить недействительные блоки, но модель тогда заново выводит рассуждения, и расход выходных токенов может заметно вырасти. Сама документация называет его временной мерой.

Что показывают цифры, и чего они не показывают

Вторая часть защиты — двухступенчатый классификатор, построенный на их работе о конституциональных классификаторах и обученный на реальных попытках извлечения. Anthropic указывает долю ложных срабатываний ниже 0,1 процента. С 24 сентября компания к тому же берёт плату за запросы, заблокированные защитой до ответа модели, в том числе по дистилляции. Повторяющихся нарушителей ограничивают в лимитах и банят: по словам компании, десятки тысяч аккаунтов, нередко меньше чем за два часа после начала кампании.

Итоговое утверждение: объём рассуждений, извлекаемый дистилляторами, стал меньше в 10–100 и более раз, а иногда слишком мал для измерения. В другом месте говорится о снижении примерно на 90–99 процентов, и компания сама называет это ранними данными.

Здесь стоит быть аккуратным. Измерение сделано самой Anthropic на собственной платформе. Она оценивает объём извлечённых токенов по тому, что смогла обнаружить, а то, что осталось незамеченным, по определению не видно. К тому же дистилляторы разносят трафик по API разных провайдеров и облаков: заткнув одну дверь, никто не гарантирует, что остальные закрыты. Anthropic прямо пишет, что не знает, как долго эффект продержится, ожидает «кошки-мышки» и пока не видела по-настоящему изощрённой и упорной попытки обойти новую защиту.

Цена тоже названа: отказ от заметной выручки и «триллионов токенов» оплачиваемого трафика, правки интеграций у части честных клиентов, редкие ложные блокировки. Цель февраля, затруднить дистилляцию без ущерба для законных пользователей, компания признаёт достигнутой не полностью.

Почему это касается не только Anthropic

Для начала о том, что известно из независимого источника. NIST/CAISI в сентябре назвал GLM-5.3 от Z.ai самой киберспособной моделью с открытыми весами из выпущенных и оценил её отставание от американского фронтира примерно в четыре месяца. Например, на тесте SEC-Bench Pro она решила 74 задачи из 183, лучшая американская модель решила 165. О дистилляции в этой оценке нет ни слова.

Связь между GLM-5.3 и копированием возможностей американских моделей устанавливает уже сам Anthropic в октябрьском тексте: по его данным, Zhipu дистиллировала киберспособности у ведущих американских моделей, а когда защита испортила попытки с Claude Fable 5, перешла на более старую модель Claude и на модель другой лаборатории. Это утверждение компании, а не вывод государственного института, и подтвердить его снаружи пока нечем.

Если оно верно, картина неудобная. Способность, вокруг которой одна компания строила защитные ограничения, переезжает в модель, выпущенную с открытыми весами, где этих ограничений нет; по оценке Anthropic, встроенные защиты GLM-5.3 легко обходятся. Закрытое рассуждение из коммерческой тайны превращается в элемент безопасности.

Подпись на блоке рассуждений, скорее всего, не последний механизм такого рода. Когда продукт можно скопировать, просто задавая ему вопросы, защита переезжает в сам протокол обмена. Разработчикам внешних интеграций остаётся привыкать к тому, что история диалога больше не их частная переписка, а цепочка, которую нужно доставлять неповреждённой.