80.4 प्रतिशत बनाम 71.8 प्रतिशत। SWE-bench Verified बेंचमार्क पर यह फ़र्क़ उन दो मॉडलों के बीच है जो बाक़ी हर तरह से एक जैसे थे, और जिन्हें Anthropic ने अपने ही Claude Opus 4.8 के रीज़निंग ट्रांसक्रिप्ट पर प्रशिक्षित किया था। एक को पूरे ट्रांसक्रिप्ट मिले, दूसरे को सिर्फ़ उनके छोटे सारांश। लगभग नौ अंक का यह अंतर बताता है कि कंपनी ने 12 अक्टूबर 2026 को डिस्टिलेशन से बचाव पर लंबा लेख क्यों छापा, और API में अब ऐसा तंत्र क्यों है जिसने बातचीत का इतिहास सुरक्षित ढंग से साफ़ करने का तरीक़ा बदल दिया है।

बात यह है कि मॉडल सिर्फ़ जवाब नहीं बनाता। जवाब देने से पहले वह एक मसौदा लिखता है, यानी तर्क की एक कड़ी। जो किसी और की क्षमताएँ कॉपी करना चाहता है, उसके लिए जवाब से ज़्यादा क़ीमती यह मसौदा है। जवाब सिर्फ़ नतीजा दिखाता है; मसौदा सोचने का ढंग दिखाता है, और सोच से सीखना कहीं ज़्यादा कारगर है।

डिस्टिलेशन क्या है, और इसे हमला क्यों कहा जाता है

अपने शांत रूप में डिस्टिलेशन एक आम तकनीक है: बड़ा “शिक्षक” मॉडल उदाहरण बनाता है और छोटा “छात्र” मॉडल उनसे सीखता है। लैब अपने ही मॉडलों को इसी तरह छोटा करती हैं। दिक़्क़त तब शुरू होती है जब शिक्षक किसी और का हो और किसी ने इजाज़त न ली हो।

Anthropic ऐसी मुहिमों को गुप्त और औद्योगिक पैमाने की कोशिशें बताती है, जिनमें एक मॉडल की क्षमताएँ निकालकर दूसरे में दोहराई जाती हैं। फ़रवरी की रिपोर्ट में कंपनी ने पैमाना बताया था: लगभग 24,000 फ़र्ज़ी अकाउंट के ज़रिए Claude के साथ 1.6 करोड़ से ज़्यादा बातचीतें। तीन लैब के नाम लिए गए: DeepSeek (1,50,000 से ज़्यादा बातचीतें), Moonshot AI (34 लाख से ज़्यादा) और MiniMax (1.3 करोड़ से ज़्यादा)। एक प्रॉक्सी नेटवर्क एक साथ 20,000 से ज़्यादा अकाउंट चला रहा था। ये Anthropic के अपने दावे हैं, जिनकी स्वतंत्र जाँच नहीं हो सकती, और कंपनी ख़ुद इस विवाद में एक पक्ष है।

अक्टूबर का दस्तावेज़ एक नई बात जोड़ता है: पुराना बचाव इसलिए बेअसर हुआ कि हमलावरों ने अपनी रणनीति बदल ली।

बचाव और उसकी काट की आँख-मिचौली

पहला उपाय सीधा था। अगर रीज़निंग क़ीमती है, तो उसे पूरा मत दिखाओ; उसका सारांश दिखाओ। 80.4 बनाम 71.8 प्रतिशत वाला परीक्षण दिखाता है कि सारांश सचमुच प्रशिक्षण की सामग्री को पतला कर देता है।

फिर सक्रिय निकासी शुरू हुई। प्रॉम्प्ट में “अपनी पिछली रीज़निंग शब्दशः लिखो” जैसे अनुरोध आने लगे, और Anthropic के मुताबिक़ एक लैब ने 12,000 अनुरोध आज़माए, हर एक में नई तरकीब के साथ। इसके बाद पता चला कि सुरक्षित रीज़निंग ब्लॉक को इधर-उधर ले जाया जा सकता है: एक बातचीत से दूसरी में, कमज़ोर सुरक्षा वाले मॉडल तक, या प्रॉक्सी नेटवर्क के भीतर किसी दूसरे अकाउंट तक। रीज़निंग ब्लॉक बस एक पाठ था, जिसे काटकर चिपकाया जा सकता था।

Anthropic ने सबसे पहले इसी कमज़ोर कड़ी पर काम किया। अगर मसौदा छिपाया नहीं जा सकता, तो उसे ऐसा बनाया जा सकता है कि वह अपनी जन्मभूमि के सिवा कहीं काम न आए।

रीज़निंग ब्लॉक अपने संदर्भ से कैसे बँधता है

इस तंत्र को preserved thinking कहते हैं, और दस्तावेज़ीकरण इसे रूखे ढंग से बयान करता है। हर रीज़निंग ब्लॉक पर एक हस्ताक्षर होता है। Claude Fable 5.1 से शुरू करके API इससे दो बातें जाँचता है: क्या मौजूदा मॉडल यह ब्लॉक पढ़ भी सकता है, और क्या इससे पहले की कोई चीज़ बदली है। “इससे पहले” का मतलब है सिस्टम प्रॉम्प्ट, टूल्स की सूची और हर पिछला संदेश। शुरुआत में एक शब्द बदल दीजिए, तो वह ब्लॉक और उसके बाद के सारे ब्लॉक अमान्य हो जाते हैं।

अकाउंट से भी बंधन है। Claude Sonnet 5.5 और Claude Haiku 5.5 के ब्लॉक सिर्फ़ उसी अकाउंट में चलते हैं जिसने उन्हें बनाया, या उससे जुड़े अकाउंट में। पराए ब्लॉक चुपचाप हटा दिए जाते हैं। Opus 5 और Opus 5.5 Fable 5.1 के ब्लॉक कभी नहीं पढ़ते।

हमलावर के लिए यह असुविधाजनक है: चुराई हुई रीज़निंग का इस्तेमाल करने के लिए उसे पूरा संदर्भ आख़िरी अक्षर तक दोहराना होगा और सही अकाउंट में बैठना होगा। आम डेवलपर पर भी इसका असर पड़ता है। 31 अगस्त 2026 या उसके बाद बने अकाउंट में प्रीफ़िक्स की जाँच डिफ़ॉल्ट रूप से चालू है, और बेमेल मिलने पर 400 त्रुटि लौटती है। पुराने अकाउंट में यह जाँच तभी लगती है जब वे prefix_mismatch_behavior पैरामीटर सेट करें।

क्या टूटता है? हर वह चीज़ जो इतिहास को दोबारा बनाना पसंद करती है। हर बार नई तारीख़ डालने वाला सिस्टम प्रॉम्प्ट। पुराने टूल नतीजों की छँटाई। क्लाइंट की तरफ़ से पुराने टर्न का सारांश बनाना और हाल के टर्न रखना। बातचीत के बीच टूल्स की सूची बदलना। दस्तावेज़ीकरण क्लाइंट से कहता है कि वे सिर्फ़ जोड़ते चलें (append-only), और विकल्प भी सुझाता है: प्रॉम्प्ट को दोबारा बनाने के बजाय एक सिस्टम संदेश जोड़ें, इतिहास को हाथ से काटने के बजाय सर्वर-साइड कॉम्पैक्शन इस्तेमाल करें। उसी पन्ने के अनुसार Claude Code, claude.ai और Agent SDK यह सब ख़ुद सँभाल लेते हैं। अगर आप Claude API को सीधे बुलाते हैं, तो कम से कम यह देख लें कि जवाबों को कैसे सीरियलाइज़ करते हैं: ख़ाली thinking ब्लॉक ठीक वैसे ही लौटाने होंगे जैसे आए थे, क्योंकि रीज़निंग ख़ुद हस्ताक्षर के भीतर रहती है।

drop_block मोड अमान्य ब्लॉक को सीधे फेंक देने देता है, लेकिन तब मॉडल अपनी रीज़निंग दोबारा निकालता है और आउटपुट टोकन का ख़र्च काफ़ी बढ़ सकता है। दस्तावेज़ीकरण ख़ुद इसे फ़िलहाल का जुगाड़ कहता है।

आँकड़े क्या दिखाते हैं और क्या नहीं

बचाव का दूसरा हिस्सा दो चरणों वाला क्लासिफ़ायर है, जो Anthropic के कॉन्स्टिट्यूशनल क्लासिफ़ायर वाले काम पर बना है और असली निकासी कोशिशों पर प्रशिक्षित है। Anthropic के अनुसार इसकी फ़ॉल्स पॉज़िटिव दर 0.1 प्रतिशत से कम है। 24 सितंबर से कंपनी उन अनुरोधों का पैसा भी लेती है जिन्हें Claude के जवाब देने से पहले ही सुरक्षा-तंत्र रोक देता है, डिस्टिलेशन के मामलों में भी। बार-बार उल्लंघन करने वालों पर सख़्त सीमाएँ और प्रतिबंध लगते हैं: कंपनी की गिनती में दसियों हज़ार अकाउंट, अक्सर मुहिम शुरू होने के दो घंटे के भीतर।

सबसे बड़ा दावा यह है कि डिस्टिलर्स द्वारा निकाले गए रीज़निंग टोकन अब 10 से 100 गुना या उससे भी कम हैं, और कुछ दिन इतने कम कि नापे ही नहीं जा सकते। लेख में एक जगह लगभग 90 से 99 प्रतिशत गिरावट की बात है, और इसे शुरुआती प्रमाण कहा गया है।

यहाँ थोड़ी सावधानी ज़रूरी है। यह माप Anthropic ने अपने ही प्लेटफ़ॉर्म पर किया है। वह निकाले गए टोकन का अनुमान उसी से लगाती है जो उसकी पकड़ में आया, और जो पकड़ में नहीं आया वह परिभाषा से ही अदृश्य है। डिस्टिलर ट्रैफ़िक को कई प्रदाताओं के API और क्लाउड में बाँट देते हैं, इसलिए एक दरवाज़ा बंद करने से बाक़ी की कोई गारंटी नहीं मिलती। Anthropic साफ़ लिखती है कि उसे नहीं पता असर कितने समय टिकेगा, वह बिल्ली-चूहे के खेल की उम्मीद करती है, और उसने अभी तक नए बचाव को लाँघने की कोई अत्यंत परिष्कृत, लगातार कोशिश नहीं देखी।

लागत भी गिनाई गई है: ठीक-ठाक आमदनी और भुगतान करने वाले ट्रैफ़िक के “खरबों टोकन” ठुकराना, कुछ वैध ग्राहकों के लिए इंटीग्रेशन में बदलाव, और कभी-कभार की ग़लत रोक। फ़रवरी का लक्ष्य, यानी वैध उपयोगकर्ताओं को नुक़सान पहुँचाए बिना डिस्टिलेशन को कठिन बनाना, कंपनी के मुताबिक़ अभी पूरी तरह हासिल नहीं हुआ है।

यह Anthropic से आगे क्यों जाता है

पहले वह जो स्वतंत्र स्रोत से पता है। सितंबर में NIST के CAISI ने Z.ai के GLM-5.3 को अब तक जारी सबसे साइबर-सक्षम ओपन-वेट मॉडल कहा और उसे अमेरिकी अग्रिम पंक्ति से लगभग चार महीने पीछे रखा। मिसाल के लिए, SEC-Bench Pro परीक्षण में उसने 183 में से 74 कार्य हल किए; सर्वश्रेष्ठ अमेरिकी मॉडल ने 165। आकलन में डिस्टिलेशन का कोई ज़िक्र नहीं है।

GLM-5.3 और अमेरिकी मॉडलों की नकल के बीच का रिश्ता Anthropic के अक्टूबर वाले पाठ से आता है: उसके अनुसार Zhipu ने अग्रणी अमेरिकी मॉडलों से साइबर क्षमताएँ डिस्टिल कीं, और जब Anthropic के सुरक्षा-उपायों ने Claude Fable 5 के साथ उसकी कोशिशें बिगाड़ दीं, तो वह Claude के एक पुराने मॉडल और किसी दूसरी लैब के मॉडल पर चला गया। यह कंपनी का दावा है, किसी सरकारी संस्था का निष्कर्ष नहीं, और बाहर से इसकी पुष्टि अभी नहीं है।

अगर यह सच है, तो तस्वीर असहज करने वाली है। जो क्षमता एक कंपनी ने सुरक्षात्मक पाबंदियों में लपेटी थी, वह ओपन वेट्स के साथ जारी मॉडल में पहुँच जाती है, जहाँ वे पाबंदियाँ नहीं हैं; Anthropic के अपने आकलन में GLM-5.3 के भीतरी सुरक्षा-उपाय आसानी से लाँघे जा सकते हैं। छिपी हुई रीज़निंग अब व्यापारिक रहस्य भर नहीं रहती, वह सुरक्षा का हिस्सा बन जाती है।

रीज़निंग ब्लॉक पर यह दस्तख़त शायद ऐसे तंत्रों में आख़िरी नहीं है। जब किसी उत्पाद की नक़ल बस उससे सवाल पूछकर हो सकती है, तो सुरक्षा बातचीत के प्रोटोकॉल में ही चली जाती है। बाहरी इंटीग्रेशन बनाने वालों को इस विचार की आदत डालनी होगी कि बातचीत का इतिहास अब उनकी निजी चिट्ठी-पत्री नहीं, बल्कि एक कड़ी है जो सही-सलामत पहुँचनी चाहिए।