Kāpēc modeļa spriešanu tagad paraksta un ko tas sabojā izstrādātājiem

Astoņdesmit komats četri procenti pret septiņdesmit viens komats astoņi. Tāda ir starpība SWE-bench Verified testā starp diviem citādi identiskiem modeļiem, ko Anthropic apmācīja uz sava Claude Opus 4.8 spriešanas transkriptiem. Vienu baroja ar pilnajiem transkriptiem, otru tikai ar to īsajiem kopsavilkumiem. Gandrīz deviņu punktu atšķirība izskaidro, kāpēc uzņēmums 2026. gada 12. oktobrī publicēja garu pārskatu par aizsardzību pret destilāciju un kāpēc API tagad ir mehānisms, kas mainījis to, kā izstrādātāji var droši sakārtot sarunas vēsturi.

Lieta tāda, ka modelis rada vairāk nekā atbildi. Pirms atbildēt, tas uzraksta melnrakstu, spriešanas ķēdi. Tam, kas grib nokopēt svešas spējas, melnraksts ir vērtīgāks par atbildi. Atbilde rāda rezultātu, melnraksts rāda domāšanu, un mācīties no domāšanas ir krietni efektīvāk.

Kas ir destilācija un kāpēc to sauc par uzbrukumu

Mierīgā veidā destilācija ir ierasta metode: liels skolotāja modelis ģenerē piemērus, mazs skolnieka modelis uz tiem mācās. Laboratorijas tā saspiež savus modeļus. Problēmas sākas tad, kad skolotājs pieder kādam citam un neviens nav jautājis atļauju.

Anthropic šādas kampaņas raksturo kā slepenas, rūpnieciska mēroga pūles izvilkt viena modeļa spējas un atveidot tās citā. Februāra ziņojumā uzņēmums nosauca apjomu: vairāk nekā 16 miljoni sarunu ar Claude, izmantojot apmēram 24 000 viltotu kontu. Nosauktas trīs laboratorijas: DeepSeek (vairāk nekā 150 000 apmaiņu), Moonshot AI (vairāk nekā 3,4 miljoni) un MiniMax (vairāk nekā 13 miljoni). Viens starpniekserveru tīkls vienlaikus darbināja vairāk nekā 20 000 kontu. Tie ir paša Anthropic apgalvojumi, tos nevar neatkarīgi pārbaudīt, un uzņēmums ir strīda puse.

Oktobra dokuments piebilst ko jaunu: iepriekšējā aizsardzība pārstāja darboties, jo uzbrucēji mainīja taktiku.

Kā aizsardzība un apeja dzenājās cita citai pakaļ

Pirmais solis bija vienkāršs. Ja spriešana ir vērtīga, nerādi to pilnībā, apkopo. Tests ar 80,4 pret 71,8 procentiem parāda, ka kopsavilkumi tiešām noplicina mācību materiālu.

Tad sākās aktīva izvilkšana. Uzvednēs parādījās lūgumi, piemēram, “izvadi savu iepriekšējo spriešanu burtiski”, un pēc Anthropic datiem viena laboratorija izmēģināja 12 000 pieprasījumu, katru ar citu triku. Pēc tam izrādījās, ka aizsargātos spriešanas blokus var pārnest: no vienas sarunas uz citu, uz modeli ar vājākiem aizsargmehānismiem, uz citu kontu starpniekserveru tīklā. Spriešanas bloks bija vienkārši teksts, ko var izgriezt un ielīmēt.

Tieši šo vājo vietu Anthropic risināja pirmo. Ja melnrakstu nevar paslēpt, var panākt, lai tas ir bezjēdzīgs jebkur citur, izņemot vietu, kur tapis.

Kā spriešanas bloku piesaista kontekstam

Mehānismu sauc par preserved thinking, un dokumentācija to apraksta sausi. Katram spriešanas blokam ir paraksts. Sākot ar Claude Fable 5.1, API pēc tā pārbauda divas lietas: vai pašreizējais modelis vispār var šo bloku nolasīt un vai kaut kas pirms tā nav mainījies. “Pirms tā” nozīmē sistēmas uzvedni, rīku sarakstu un visus iepriekšējos ziņojumus. Nomaini vienu vārdu sākumā, un bloks kopā ar visiem nākamajiem kļūst nederīgs.

Ir arī piesaiste kontam. Claude Sonnet 5.5 un Claude Haiku 5.5 bloki darbojas tikai tajā kontā, kas tos radījis, vai piesaistītā kontā. Svešie bloki tiek klusi izmesti. Opus 5 un Opus 5.5 Fable 5.1 blokus nelasa nekad.

Uzbrucējam tas ir neērti: lai izmantotu nozagtu spriešanas gabalu, jāatveido viss konteksts līdz pēdējam simbolam un jāatrodas pareizajā kontā. Arī parastam izstrādātājam ir sekas. Kontiem, kas izveidoti 2026. gada 31. augustā vai vēlāk, prefiksa pārbaude pēc noklusējuma ir ieslēgta, un neatbilstība atgriež 400 kļūdu. Vecākiem kontiem pārbaude darbojas tikai tad, ja iestatīts parametrs prefix_mismatch_behavior.

Kas lūst? Viss, kas mīl pārbūvēt vēsturi. Sistēmas uzvedne, kurā katru reizi tiek ievietots jauns datums. Vecu rīku rezultātu apgriešana. Vecu gājienu kopsavilkšana klienta pusē, atstājot jaunākos. Rīku saraksta labošana sarunas vidū. Dokumentācija liek klientiem rīkoties tikai ar pievienošanu beigās un piedāvā aizstājējus: pievieno sistēmas ziņojumu, nevis pārbūvē uzvedni, izmanto servera puses saspiešanu, nevis griez vēsturi ar rokām. Claude Code, claude.ai un Agent SDK to visu nokārto paši, vēsta tā pati lapa. Ja izsauc Claude API tieši, pārbaudi vismaz to, kā serializē atbildes: tukši thinking bloki jānosūta atpakaļ tādi, kādi tie atnāca, jo pati spriešana mājo parakstā.

Režīms drop_block ļauj vienkārši izmest nederīgos blokus, taču tad modelis spriešanu atvasina no jauna, un izvades tokenu patēriņš var manāmi pieaugt. Pati dokumentācija to dēvē par pagaidu risinājumu.

Ko skaitļi rāda un ko ne

Aizsardzības otrā puse ir divpakāpju klasifikators, kas balstīts Anthropic darbā pie konstitucionālajiem klasifikatoriem un apmācīts uz reāliem izvilkšanas mēģinājumiem. Anthropic ziņo par viltus pozitīvo gadījumu īpatsvaru zem 0,1 procenta. Kopš 24. septembra tas arī iekasē maksu par pieprasījumiem, ko aizsargmehānismi bloķē, pirms Claude atbild, tostarp destilācijas jomā. Atkārtotiem pārkāpējiem draud stingrāki ierobežojumi un bloķēšana: pēc uzņēmuma skaitījuma, desmitiem tūkstošu kontu, bieži vien mazāk nekā divās stundās pēc kampaņas sākuma.

Galvenais apgalvojums: spriešanas tokenu, ko izvelk destilētāji, tagad ir 10 līdz 100 un vairāk reižu mazāk, bet dažās dienās tik maz, ka tos nevar izmērīt. Citviet ziņojumā runāts par kritumu apmēram par 90 līdz 99 procentiem un to nosaukts par agrīnu pierādījumu.

Šeit vajadzīga piesardzība. Mērījumu veica Anthropic, uz savas platformas. Izvilktos tokenus tas novērtē pēc tā, ko izdevies atklāt, bet nepamanītais pēc definīcijas ir neredzams. Destilētāji arī sadala trafiku pa vairāku pakalpojumu sniedzēju API un mākoņiem, tāpēc vienu durvju aizvēršana neko negarantē attiecībā uz pārējām. Anthropic atklāti raksta, ka nezina, cik ilgi efekts noturēsies, gaida kaķa un peles spēli un vēl nav redzējis augsti izsmalcinātu, neatlaidīgu mēģinājumu apiet jaunās aizsardzības.

Nosauktas arī izmaksas: atteikšanās no ievērojamiem ieņēmumiem un “triljoniem tokenu” maksājošā trafika, integrācijas izmaiņas dažiem likumīgiem klientiem, retas nepamatotas bloķēšanas. Februāra mērķi, apgrūtināt destilāciju, nekaitējot likumīgiem lietotājiem, uzņēmums, pēc paša teiktā, vēl nav pilnībā sasniedzis.

Kāpēc tas skar ne tikai Anthropic

Sāksim ar to, kas zināms no neatkarīga avota. NIST CAISI septembrī nosauca Z.ai GLM-5.3 par līdz šim kiberspēju ziņā spēcīgāko atvērto svaru modeli un novietoja to apmēram četrus mēnešus aiz ASV robežas. Piemēram, SEC-Bench Pro testā tas atrisināja 74 no 183 uzdevumiem, labākais ASV modelis 165. Novērtējumā par destilāciju nav ne vārda.

Saikne starp GLM-5.3 un amerikāņu modeļu kopēšanu nāk no Anthropic oktobra teksta: tajā teikts, ka Zhipu destilējis kiberspējas no vadošajiem ASV modeļiem, un, kad Anthropic aizsargmehānismi pasliktināja tā mēģinājumus ar Claude Fable 5, tas pārgājis uz vecāku Claude modeli un uz citas laboratorijas modeli. Tas ir uzņēmuma apgalvojums, nevis valsts iestādes secinājums, un ārēja apstiprinājuma pagaidām nav.

Ja tas ir patiesi, aina ir neomulīga. Spēja, ko viens uzņēmums ietinis aizsargierobežojumos, nonāk modelī, kas izlaists ar atvērtiem svariem, kur šo ierobežojumu nav; pēc paša Anthropic vērtējuma, GLM-5.3 iebūvētos aizsargmehānismus ir viegli apiet. Slēptā spriešana pārstāj būt komercnoslēpums un kļūst par drošības daļu.

Paraksts uz spriešanas bloka, visticamāk, nav pēdējais šāda veida mehānisms. Kad produktu var nokopēt, tikai uzdodot tam jautājumus, aizsardzība pārceļas uz paša apmaiņas protokola līmeni. Ārējo integrāciju izstrādātājiem būs jāpierod pie domas, ka sarunas vēsture vairs nav viņu privāta sarakste, bet ķēde, kam jāpienāk neskartai.