80,4 Prozent gegen 71,8 Prozent: So groß ist auf dem Benchmark SWE-bench Verified der Abstand zwischen zwei sonst identischen Modellen, die Anthropic mit den Reasoning-Protokollen des eigenen Claude Opus 4.8 trainiert hat. Das eine bekam die vollständigen Protokolle, das andere nur kurze Zusammenfassungen davon. Fast neun Punkte Unterschied erklären, warum das Unternehmen am 12. Oktober 2026 einen langen Bericht über die Abwehr von Destillation veröffentlicht hat – und warum die API inzwischen einen Mechanismus enthält, der verändert hat, wie Entwickler einen Gesprächsverlauf gefahrlos aufräumen können.

Der Punkt: Ein Modell liefert mehr als eine Antwort. Bevor es antwortet, schreibt es einen Entwurf, eine Kette von Überlegungen. Für alle, die fremde Fähigkeiten kopieren wollen, ist dieser Entwurf mehr wert als die Antwort. Die Antwort zeigt das Ergebnis, der Entwurf zeigt das Denken – und vom Denken zu lernen ist weit effizienter.

Was Destillation ist und warum sie als Angriff gilt

In friedlicher Form ist Destillation eine gewöhnliche Technik: Ein großes Lehrermodell erzeugt Beispiele, ein kleines Schülermodell lernt daraus. So komprimieren Labore ihre eigenen Modelle. Problematisch wird es, wenn der Lehrer jemand anderem gehört und niemand um Erlaubnis gefragt hat.

Anthropic beschreibt solche Kampagnen als verdeckte Aktionen im industriellen Maßstab, mit denen die Fähigkeiten eines Modells abgeschöpft und in einem anderen nachgebaut werden. In seinem Februar-Bericht nannte das Unternehmen den Umfang: mehr als 16 Millionen Dialoge mit Claude über rund 24.000 betrügerische Konten. Drei Labore wurden namentlich genannt: DeepSeek (über 150.000 Dialoge), Moonshot AI (über 3,4 Millionen) und MiniMax (über 13 Millionen). Ein einziges Proxy-Netzwerk betrieb gleichzeitig mehr als 20.000 Konten. Das sind Behauptungen von Anthropic selbst, unabhängig überprüfen lassen sie sich nicht, und das Unternehmen ist Partei in dem Streit.

Das Oktober-Dokument fügt etwas Neues hinzu: Die frühere Verteidigung hat nicht mehr funktioniert, weil die Angreifer ihre Taktik geändert haben.

Wie sich Abwehr und Umgehung gegenseitig jagten

Die erste Maßnahme war schlicht. Wenn das Reasoning wertvoll ist, zeigt man es nicht vollständig, sondern fasst es zusammen. Der Test mit 80,4 gegen 71,8 Prozent belegt, dass Zusammenfassungen das Trainingsmaterial tatsächlich ausdünnen.

Dann kam die aktive Extraktion. In Prompts tauchten Aufforderungen auf wie „gib dein bisheriges Reasoning wörtlich aus“, und nach Anthropics Darstellung probierte ein Labor 12.000 Anfragen aus, jede mit einem anderen Trick. Danach zeigte sich, dass sich geschützte Reasoning-Blöcke verschieben ließen: aus einem Gespräch in ein anderes, zu einem Modell mit schwächeren Schutzmaßnahmen, zu einem anderen Konto innerhalb eines Proxy-Netzwerks. Ein Reasoning-Block war einfach Text, den man ausschneiden und woanders einfügen konnte.

Genau an dieser Schwachstelle setzte Anthropic zuerst an. Wenn sich der Entwurf nicht verstecken lässt, kann man dafür sorgen, dass er überall außer an seinem Entstehungsort nutzlos ist.

Wie ein Reasoning-Block an seinen Kontext gebunden wird

Der Mechanismus heißt Preserved Thinking, und die Dokumentation beschreibt ihn nüchtern. Jeder Reasoning-Block trägt eine Signatur. Ab Claude Fable 5.1 prüft die API damit zweierlei: ob das aktuelle Modell den Block überhaupt lesen kann und ob sich davor etwas verändert hat. „Davor“ heißt: der System-Prompt, die Liste der Tools und jede frühere Nachricht. Ändert man am Anfang ein einziges Wort, wird der Block samt allen folgenden ungültig.

Dazu kommt die Bindung an ein Konto. Blöcke von Claude Sonnet 5.5 und Claude Haiku 5.5 funktionieren nur in dem Konto, das sie erzeugt hat, oder in einem verknüpften. Fremde Blöcke werden stillschweigend verworfen. Opus 5 und Opus 5.5 lesen Blöcke von Fable 5.1 grundsätzlich nicht.

Für Angreifer ist das lästig: Um ein gestohlenes Stück Reasoning zu verwenden, müssen sie den gesamten Kontext bis aufs letzte Zeichen nachbauen und im richtigen Konto sitzen. Auch gewöhnliche Entwickler spüren die Folgen. Bei Konten, die ab dem 31. August 2026 angelegt wurden, ist die Präfix-Prüfung standardmäßig aktiv, und eine Abweichung liefert den Fehler 400. Ältere Konten bekommen die Prüfung nur, wenn sie den Parameter prefix_mismatch_behavior setzen.

Was geht dabei kaputt? Alles, was gern den Verlauf neu aufbaut. Ein System-Prompt, in den jedes Mal ein aktuelles Datum eingesetzt wird. Das Kürzen alter Tool-Ergebnisse. Clientseitiges Zusammenfassen älterer Runden bei gleichzeitigem Erhalt der jüngsten. Das Bearbeiten der Tool-Liste mitten im Gespräch. Die Dokumentation weist Clients an, ausschließlich anzuhängen („append-only“), und bietet Ersatz an: eine System-Nachricht hinzufügen, statt den Prompt neu zu bauen, und serverseitige Compaction nutzen, statt den Verlauf von Hand zu stutzen. Claude Code, claude.ai und das Agent SDK erledigen all das laut derselben Seite selbst. Wer die Claude -API direkt aufruft, sollte zumindest prüfen, wie er Antworten serialisiert: Leere thinking-Blöcke müssen genau so zurückgeschickt werden, wie sie kamen, denn das Reasoning selbst steckt in der Signatur.

Mit dem Modus drop_block lassen sich ungültige Blöcke einfach verwerfen, doch dann leitet das Modell sein Reasoning neu her, und der Verbrauch an Ausgabe-Tokens kann spürbar steigen. Die Dokumentation selbst nennt das eine Notlösung.

Was die Zahlen zeigen und was nicht

Die zweite Hälfte der Verteidigung ist ein zweistufiger Klassifikator, aufgebaut auf Anthropics Arbeit an konstitutionellen Klassifikatoren und trainiert an echten Extraktionsversuchen. Anthropic gibt eine Falsch-Positiv-Rate unter 0,1 Prozent an. Seit dem 24. September berechnet das Unternehmen auch Anfragen, die die Schutzmechanismen blockieren, bevor Claude antwortet, darunter im Bereich Destillation. Wiederholungstätern drohen engere Limits und Sperren: nach Angaben des Unternehmens Zehntausende Konten, oft in weniger als zwei Stunden nach Beginn einer Kampagne.

Die zentrale Aussage lautet, dass die von Destillierern abgeschöpften Reasoning-Tokens jetzt 10- bis 100-mal oder noch stärker zurückgegangen sind, an manchen Tagen so weit, dass sie sich nicht mehr messen lassen. An anderer Stelle spricht der Beitrag von einem Rückgang um etwa 90 bis 99 Prozent und nennt das ein frühes Indiz.

Hier ist Vorsicht geboten. Die Messung stammt von Anthropic selbst, auf der eigenen Plattform. Sie schätzt die abgeschöpften Tokens anhand dessen, was das Unternehmen entdecken konnte, und was unbemerkt blieb, ist per Definition unsichtbar. Außerdem verteilen Destillierer ihren Verkehr auf die APIs und Clouds mehrerer Anbieter, sodass das Schließen einer Tür nichts über die anderen aussagt. Anthropic schreibt offen, dass es nicht weiß, wie lange der Effekt anhält, ein Katz-und-Maus-Spiel erwartet und noch keinen hochentwickelten, hartnäckigen Versuch gesehen hat, die neuen Schutzmaßnahmen zu umgehen.

Auch die Kosten werden benannt: spürbare Einnahmen und „Billionen von Tokens“ zahlenden Verkehrs, die abgewiesen werden, Anpassungen der Integration für manche legitimen Kunden, seltene Fehlsperrungen. Das Ziel vom Februar, Destillation zu erschweren, ohne legitime Nutzer zu behindern, hat das Unternehmen nach eigener Aussage noch nicht vollständig erreicht.

Warum das über Anthropic hinausreicht

Zunächst das, was aus unabhängiger Quelle bekannt ist. Das CAISI des NIST bezeichnete im September GLM-5.3 von Z.ai als das bislang cyberfähigste veröffentlichte Open-Weight-Modell und setzte es etwa vier Monate hinter der US-Spitze an. Im Test SEC-Bench Pro löste es etwa 74 von 183 Aufgaben; das beste US-Modell schaffte 165. Über Destillation sagt die Bewertung nichts.

Die Verbindung zwischen GLM-5.3 und dem Kopieren amerikanischer Modelle stammt aus Anthropics Oktober-Text: Demnach hat Zhipu Cyber-Fähigkeiten aus führenden US-Modellen destilliert und ist, als Anthropics Schutzmaßnahmen seine Versuche mit Claude Fable 5 ausbremsten, auf ein älteres Claude-Modell und auf das Modell eines anderen Labors ausgewichen. Das ist eine Behauptung des Unternehmens, kein Befund einer staatlichen Stelle, und von außen bestätigt sie bislang nichts.

Sollte sie stimmen, ist das Bild unerfreulich. Eine Fähigkeit, die ein Unternehmen mit Schutzbeschränkungen umgeben hat, landet in einem Modell mit offenen Gewichten, in dem diese Beschränkungen fehlen; nach Anthropics eigener Einschätzung lassen sich die eingebauten Sicherungen von GLM-5.3 leicht umgehen. Verborgenes Reasoning ist dann kein Betriebsgeheimnis mehr, sondern ein Stück Sicherheit.

Die Signatur auf einem Reasoning-Block ist vermutlich nicht der letzte Mechanismus dieser Art. Wenn sich ein Produkt allein durch Fragen kopieren lässt, wandert der Schutz in das Austauschprotokoll selbst. Entwickler externer Integrationen müssen sich an den Gedanken gewöhnen, dass ein Gesprächsverlauf keine private Korrespondenz mehr ist, sondern eine Kette, die unbeschädigt ankommen muss.