لماذا صارت «أفكار» النموذج توقَّع بتوقيع، وماذا يكسر ذلك لدى المطورين

80.4 في المئة مقابل 71.8. هذا هو الفارق في اختبار SWE-bench Verified بين نموذجين متطابقين في كل شيء آخر، دربتهما Anthropic على سجلات الاستدلال الخاصة بنموذجها Claude Opus 4.8. غُذّي الأول بالسجلات الكاملة، والثاني بملخصات قصيرة منها فقط. فجوة تقارب تسع نقاط تفسّر لماذا نشرت الشركة في 12 أكتوبر 2026 تقريرًا مطولًا عن الدفاع ضد التقطير ، ولماذا صار في واجهة API آلية غيّرت الطريقة التي يستطيع بها المطورون ترتيب سجل المحادثة بأمان.

الفكرة أن النموذج لا ينتج إجابة فحسب. قبل أن يجيب يكتب مسودة، سلسلة من الاستدلال. وبالنسبة إلى من يريد نسخ قدرات غيره، المسودة أثمن من الإجابة. الإجابة تُظهر النتيجة، أما المسودة فتُظهر طريقة التفكير، والتعلّم من طريقة التفكير أكثر كفاءة بكثير.

ما التقطير، ولماذا يُسمّى هجومًا

في صورته السلمية، التقطير تقنية عادية: نموذج «معلّم» كبير يولّد أمثلة، ونموذج «طالب» صغير يتعلم منها. المختبرات تضغط نماذجها بهذه الطريقة. تبدأ المشكلة حين يكون المعلّم ملكًا لغيرك ولم يستأذن أحد.

تصف Anthropic هذه الحملات بأنها جهود سرية وبحجم صناعي لاستخراج قدرات نموذج ما وإعادة إنتاجها في نموذج آخر. وفي تقريرها الصادر في فبراير أعلنت الشركة حجمها: أكثر من 16 مليون تبادل مع Claude عبر نحو 24 ألف حساب احتيالي. وسُمّيت ثلاثة مختبرات: DeepSeek (أكثر من 150 ألف تبادل)، وMoonshot AI (أكثر من 3.4 مليون)، وMiniMax (أكثر من 13 مليون). وشغّلت شبكة وكلاء واحدة أكثر من 20 ألف حساب في وقت واحد. هذه ادعاءات Anthropic نفسها ولا يمكن التحقق منها بشكل مستقل، والشركة طرف في النزاع.

تضيف وثيقة أكتوبر أمرًا جديدًا: الدفاع السابق توقف عن العمل لأن المهاجمين غيّروا تكتيكاتهم.

كيف تسابق الدفاع والالتفاف عليه

كان الإجراء الأول بسيطًا. إذا كان الاستدلال ثمينًا فلا تعرضه كاملًا، بل لخّصه. ويُظهر اختبار 80.4 مقابل 71.8 في المئة أن التلخيص يُضعف فعلًا مادة التدريب.

ثم جاء الاستخراج النشط. بدأت الطلبات تتضمن عبارات مثل «اعرض استدلالك السابق حرفيًا»، وبحسب رواية Anthropic جرّب أحد المختبرات 12 ألف طلب، لكل منها حيلة مختلفة. بعد ذلك تبيّن أن كتل الاستدلال المحمية يمكن نقلها: من محادثة إلى أخرى، إلى نموذج أضعف حماية، إلى حساب مختلف داخل شبكة وكلاء. كانت كتلة الاستدلال مجرد نص يمكن قصّه ولصقه.

كانت تلك نقطة الضعف التي بدأت Anthropic منها. إن لم تستطع إخفاء المسودة، فاجعلها عديمة النفع في أي مكان غير الذي أُنتجت فيه.

كيف تُربط كتلة الاستدلال بسياقها

تسمى الآلية «التفكير المحفوظ» (preserved thinking)، وتصفها الوثائق بجفاف. تحمل كل كتلة استدلال توقيعًا. ابتداءً من Claude Fable 5.1 تستخدمه واجهة API للتحقق من أمرين: هل يستطيع النموذج الحالي قراءة الكتلة أصلًا، وهل تغيّر شيء قبلها. و«قبلها» تعني موجّه النظام وقائمة الأدوات وكل رسالة سابقة. غيّر كلمة واحدة في البداية فتصبح الكتلة، ومعها كل كتلة لاحقة، غير صالحة.

وهناك ربط بالحساب أيضًا. كتل Claude Sonnet 5.5 وClaude Haiku 5.5 تعمل فقط في الحساب الذي أنتجها أو في حساب مرتبط به. أما الكتل الغريبة فتُسقَط بصمت. ولا يقرأ Opus 5 وOpus 5.5 كتل Fable 5.1 أبدًا.

بالنسبة إلى المهاجم هذا مزعج: لكي يستخدم قطعة استدلال مسروقة عليه أن يعيد بناء السياق كاملًا حتى آخر حرف، وأن يكون في الحساب الصحيح. والمطوّر العادي يواجه عواقب كذلك. في الحسابات المنشأة في 31 أغسطس 2026 أو بعده، يكون فحص البادئة مفعّلًا افتراضيًا، وعدم التطابق يُرجع خطأ 400. أما الحسابات الأقدم فلا تحصل على الفحص إلا إذا ضبطت المعامل prefix_mismatch_behavior.

ما الذي ينكسر؟ كل ما يحب إعادة بناء السجل. موجّه نظام يُستبدل فيه تاريخ جديد في كل مرة. تقليم نتائج الأدوات القديمة. تلخيص الأدوار القديمة من جهة العميل مع الإبقاء على الحديثة. تعديل قائمة الأدوات في منتصف المحادثة. تطلب الوثائق من العملاء الاكتفاء بالإضافة فقط (append-only)، وتقترح بدائل: أضف رسالة نظام بدل إعادة بناء الموجّه، واستخدم الضغط من جهة الخادم بدل قصّ السجل يدويًا. وتذكر الصفحة نفسها أن Claude Code وclaude.ai وAgent SDK تتولى كل هذا بنفسها. وإن كنت تستدعي واجهة Claude API مباشرة، فتحقق على الأقل من طريقة تسلسل الاستجابات: يجب إعادة كتل thinking الفارغة كما وصلت، لأن الاستدلال نفسه يعيش في التوقيع.

يتيح وضع drop_block تجاهل الكتل غير الصالحة ببساطة، لكن النموذج حينها يعيد اشتقاق استدلاله وقد يرتفع استهلاك رموز المخرجات ارتفاعًا ملحوظًا. والوثائق نفسها تصفه بأنه حل مؤقت.

ما الذي تقوله الأرقام وما الذي لا تقوله

النصف الثاني من الدفاع مصنِّف على مرحلتين، مبني على عمل Anthropic في المصنِّفات الدستورية ومدرَّب على محاولات استخراج حقيقية. وتعلن Anthropic أن معدل الإيجابيات الكاذبة أقل من 0.1 في المئة. ومنذ 24 سبتمبر صارت تحتسب أيضًا رسومًا على الطلبات التي تحجبها وسائل الحماية قبل أن يرد Claude، بما في ذلك في مجال التقطير. ويواجه المخالفون المتكررون حدودًا أضيق وحظرًا: عشرات الآلاف من الحسابات بحسب إحصاء الشركة، وغالبًا في أقل من ساعتين من بدء الحملة.

الادعاء الرئيسي أن رموز الاستدلال التي يستخرجها المقطِّرون صارت أقل بما بين 10 و100 ضعف أو أكثر، وفي بعض الأيام أصغر من أن تُقاس. وفي موضع آخر يتحدث المنشور عن انخفاض يتراوح بين 90 و99 في المئة تقريبًا ويصفه بأنه دليل أولي.

هنا يلزم شيء من الحذر. القياس أجرته Anthropic على منصتها هي. وهي تقدّر الرموز المستخرجة مما استطاعت رصده، وما لم يُرصد غير مرئي بطبيعته. كما يوزّع المقطِّرون حركتهم على واجهات API وسحابات عدة مزوّدين، فإغلاق باب واحد لا يضمن شيئًا بشأن الأبواب الأخرى. وتكتب Anthropic صراحة أنها لا تعرف إلى متى سيدوم الأثر، وتتوقع لعبة قط وفأر، ولم ترَ بعد محاولة متطورة ومثابرة للالتفاف على الدفاعات الجديدة.

وتُذكر التكاليف أيضًا: التخلي عن إيرادات معتبرة وعن «تريليونات الرموز» من حركة مدفوعة، وتغييرات في التكامل لدى بعض العملاء الشرعيين، وحالات حجب خاطئ نادرة. أما هدف فبراير، أي جعل التقطير أصعب دون الإضرار بالمستخدمين الشرعيين، فتقول الشركة إنها لم تحققه بالكامل.

لماذا يتجاوز الأمر Anthropic

لنبدأ بما هو معروف من مصدر مستقل. قيّم مركز CAISI التابع لـ NIST في سبتمبر نموذج GLM-5.3 من Z.ai بأنه الأقوى سيبرانيًا بين النماذج مفتوحة الأوزان المطروحة حتى اليوم، ووضعه خلف الطليعة الأمريكية بنحو أربعة أشهر. ففي اختبار SEC-Bench Pro مثلًا حلّ 74 مهمة من 183، بينما حلّ أفضل نموذج أمريكي 165. ولا يقول التقييم شيئًا عن التقطير.

أما الصلة بين GLM-5.3 ونسخ النماذج الأمريكية فمصدرها نص Anthropic في أكتوبر: وفقًا له، قطّرت Zhipu قدرات سيبرانية من نماذج أمريكية رائدة، وحين أضعفت وسائل حماية Anthropic محاولاتها مع Claude Fable 5، انتقلت إلى نموذج Claude أقدم وإلى نموذج مختبر آخر. هذا ادعاء الشركة، لا استنتاج جهة حكومية، ولا يوجد حتى الآن ما يؤكده من الخارج.

إن صح ذلك فالصورة مقلقة. قدرة غلّفتها شركة بقيود حماية تنتهي في نموذج طُرح بأوزان مفتوحة، حيث لا وجود لتلك القيود؛ وبتقدير Anthropic نفسها، يسهل تجاوز وسائل الحماية المدمجة في GLM-5.3. الاستدلال المخفي لم يعد سرًّا تجاريًا، بل صار جزءًا من الأمن.

والتوقيع على كتلة الاستدلال ليس على الأرجح آخر آلية من هذا النوع. حين يمكن نسخ منتج بمجرد طرح الأسئلة عليه، تنتقل الحماية إلى بروتوكول التبادل نفسه. وعلى مطوري التكاملات الخارجية أن يعتادوا فكرة أن سجل المحادثة لم يعد مراسلاتهم الخاصة، بل سلسلة يجب أن تصل سليمة.