Yüzde 80,4 karşısında yüzde 71,8. Anthropic’in kendi Claude Opus 4.8 modelinin akıl yürütme kayıtlarıyla eğittiği, bunun dışında birbirinin aynısı iki model arasında SWE-bench Verified testinde ortaya çıkan fark bu. Birine kayıtların tamamı verildi, ötekine yalnızca kısa özetleri. Neredeyse dokuz puanlık bu uçurum, şirketin 12 Ekim 2026’da damıtmaya karşı savunma üzerine uzun bir yazı yayımlamasının ve API’de geliştiricilerin konuşma geçmişini güvenle düzenleme biçimini değiştiren bir mekanizmanın bulunmasının nedenini açıklıyor.

Mesele şu: bir model yalnızca cevap üretmez. Cevaplamadan önce bir taslak, bir akıl yürütme zinciri yazar. Başkasının yeteneklerini kopyalamak isteyen biri için taslak, cevaptan daha değerlidir. Cevap sonucu gösterir; taslak düşünme biçimini gösterir ve düşünceden öğrenmek çok daha verimlidir.

Damıtma nedir ve neden “saldırı” deniyor

Barışçıl biçimiyle damıtma sıradan bir tekniktir: büyük bir öğretmen model örnekler üretir, küçük bir öğrenci model bunlardan öğrenir. Laboratuvarlar kendi modellerini bu yolla küçültür. Sorun, öğretmenin başkasına ait olduğu ve kimsenin izin sormadığı durumda başlar.

Anthropic bu kampanyaları, bir modelin yeteneklerini gizlice, sanayi ölçeğinde çekip başka bir modelde yeniden üretme girişimleri olarak tanımlıyor. Şubat raporunda şirket ölçeği de verdi: yaklaşık 24.000 sahte hesap üzerinden Claude ile 16 milyondan fazla etkileşim. Üç laboratuvarın adı geçti: DeepSeek (150.000’den fazla etkileşim), Moonshot AI (3,4 milyondan fazla) ve MiniMax (13 milyondan fazla). Tek bir vekil ağ aynı anda 20.000’den fazla hesap işletiyordu. Bunlar Anthropic’in kendi iddiaları; bağımsız biçimde doğrulanamıyor ve şirket anlaşmazlığın tarafı.

Ekim belgesi yeni bir şey ekliyor: önceki savunma, saldırganlar taktik değiştirdiği için işe yaramaz hale geldi.

Savunma ve etrafından dolanma nasıl birbirini kovaladı

İlk önlem basitti. Akıl yürütme değerliyse tamamını göstermeyin, özetleyin. 80,4’e karşı 71,8 yüzde testi, özetlemenin eğitim malzemesini gerçekten inceltmeye yaradığını gösteriyor.

Sonra etkin çıkarma dönemi geldi. İstemlere “önceki akıl yürütmeni kelimesi kelimesine yaz” gibi istekler girmeye başladı; Anthropic’in anlattığına göre bir laboratuvar, her biri farklı bir numara içeren 12.000 istek denedi. Ardından korumalı akıl yürütme bloklarının taşınabildiği ortaya çıktı: bir konuşmadan ötekine, daha zayıf korumalara sahip bir modele, vekil ağ içindeki başka bir hesaba. Akıl yürütme bloku, kesip yapıştırılabilen sıradan bir metindi.

Anthropic’in ilk hedef aldığı zayıf nokta buydu. Taslağı gizleyemiyorsanız, onu üretildiği yer dışında hiçbir yerde işe yaramaz kılabilirsiniz.

Akıl yürütme bloku bağlamına nasıl bağlanıyor

Mekanizmanın adı preserved thinking (korunan düşünme); belgeler onu kuru bir dille anlatıyor. Her akıl yürütme bloku bir imza taşıyor. Claude Fable 5.1’den itibaren API bu imzayla iki şeyi denetliyor: mevcut model bloku okuyabiliyor mu ve öncesinde bir şey değişmiş mi. “Öncesi” sistem istemi, araç listesi ve önceki tüm mesajlar demek. Başta tek bir kelimeyi değiştirirseniz blok ve ondan sonraki her blok geçersiz olur.

Hesaba bağlama da var. Claude Sonnet 5.5 ve Claude Haiku 5.5 blokları yalnızca onları üreten hesapta ya da bağlantılı bir hesapta çalışır. Yabancı bloklar sessizce atılır. Opus 5 ve Opus 5.5, Fable 5.1 bloklarını hiçbir zaman okumaz.

Saldırgan için bu zahmetli: çalıntı bir akıl yürütme parçasını kullanmak için bağlamın tamamını son karaktere kadar yeniden kurmanız ve doğru hesapta olmanız gerekir. Sıradan bir geliştirici için de sonuçları var. 31 Ağustos 2026’da ve sonrasında açılan hesaplarda önek denetimi varsayılan olarak açık ve uyuşmazlık 400 hatası döndürüyor. Eski hesaplar denetimi yalnızca prefix_mismatch_behavior parametresini ayarlarlarsa alıyor.

Ne bozuluyor? Geçmişi baştan kurmayı seven her şey. Her seferinde taze bir tarihin yerleştirildiği sistem istemi. Eski araç sonuçlarının kırpılması. Eski turların istemci tarafında özetlenip yenilerin korunması. Konuşmanın ortasında araç listesinin düzenlenmesi. Belgeler istemcilerden yalnızca ekleme yapmalarını (append-only) istiyor ve yerine önerilerde bulunuyor: istemi yeniden kurmak yerine bir sistem mesajı ekleyin, geçmişi elle kesmek yerine sunucu tarafı sıkıştırma kullanın. Aynı sayfaya göre Claude Code, claude.ai ve Agent SDK bunların hepsini kendileri hallediyor. Claude API’sini doğrudan çağırıyorsanız en azından yanıtları nasıl serileştirdiğinize bakın: boş thinking blokları geldiği gibi geri gönderilmeli, çünkü akıl yürütmenin kendisi imzanın içinde yaşıyor.

drop_block modu geçersiz blokları basitçe atmanıza izin veriyor, ama bu durumda model akıl yürütmesini yeniden türetiyor ve çıktı token kullanımı gözle görülür biçimde artabiliyor. Belgelerin kendisi bunu geçici çözüm olarak niteliyor.

Sayılar neyi gösteriyor, neyi göstermiyor

Savunmanın ikinci yarısı, Anthropic’in anayasal sınıflandırıcılar üzerine çalışmasına dayanan ve gerçek çıkarma girişimleriyle eğitilmiş iki aşamalı bir sınıflandırıcı. Anthropic yanlış pozitif oranının yüzde 0,1’in altında olduğunu bildiriyor. 24 Eylül’den beri, Claude yanıt vermeden önce korumaların engellediği istekler için de, damıtma alanındakiler dahil, ücret alıyor. Tekrar eden ihlalciler daha sıkı sınırlarla ve yasaklarla karşılaşıyor: şirketin hesabına göre on binlerce hesap, çoğu kez bir kampanyanın başlamasından sonra iki saatten kısa sürede.

Öne çıkan iddia şu: damıtıcıların çıkardığı akıl yürütme tokenları artık 10 ila 100 kat ya da daha fazla azalmış durumda, bazı günlerde ölçülemeyecek kadar az. Yazının başka bir yerinde yaklaşık yüzde 90 ila 99’luk bir düşüşten söz ediliyor ve bu erken bir kanıt olarak adlandırılıyor.

Burada biraz dikkat gerekiyor. Ölçümü Anthropic yaptı, kendi platformunda. Çıkarılan tokenları tespit edebildiklerinden yola çıkarak tahmin ediyor; fark edilmeyenler ise tanım gereği görünmez. Damıtıcılar ayrıca trafiği birkaç sağlayıcının API’sine ve bulutuna yayıyor, dolayısıyla bir kapıyı kapatmak ötekiler için hiçbir şey garanti etmiyor. Anthropic açıkça yazıyor: etkinin ne kadar süreceğini bilmiyor, bir kedi-fare oyunu bekliyor ve yeni savunmaları aşmaya yönelik son derece gelişmiş, ısrarlı bir girişim henüz görmedi.

Maliyetler de sayılmış: anlamlı bir gelirin ve “trilyonlarca token” değerindeki ödemeli trafiğin geri çevrilmesi, bazı meşru müşteriler için entegrasyon değişiklikleri, nadir yanlış engellemeler. Şubat hedefine, yani meşru kullanıcılara zarar vermeden damıtmayı zorlaştırmaya, şirketin kendi sözleriyle henüz tam olarak ulaşılamadı.

Bu neden Anthropic’in ötesine uzanıyor

Bağımsız bir kaynaktan bilinenlerle başlayalım. NIST’in CAISI birimi Eylül’de Z.ai’nin GLM-5.3 modelini bugüne dek yayımlanmış siber yetenekleri en güçlü açık ağırlıklı model olarak niteledi ve ABD’nin öncü modellerinin yaklaşık dört ay gerisinde olduğunu belirtti. Örneğin SEC-Bench Pro testinde 183 görevden 74’ünü çözdü; en iyi ABD modeli 165’ini çözdü. Değerlendirmede damıtmaya dair tek söz yok.

GLM-5.3 ile Amerikan modellerinin kopyalanması arasındaki bağ Anthropic’in Ekim metninden geliyor: ona göre Zhipu, siber yetenekleri öncü ABD modellerinden damıttı ve Anthropic’in korumaları Claude Fable 5 ile yaptığı denemeleri bozunca daha eski bir Claude modeline ve başka bir laboratuvarın modeline geçti. Bu şirketin iddiası, bir devlet kurumunun tespiti değil, ve dışarıdan bunu doğrulayan henüz bir şey yok.

Doğruysa, tablo rahatsız edici. Bir şirketin koruyucu kısıtlamalarla sardığı bir yetenek, bu kısıtlamaların bulunmadığı, açık ağırlıklarla yayımlanan bir modele geçiyor; Anthropic’in kendi değerlendirmesine göre GLM-5.3’ün yerleşik korumalarını aşmak kolay. Gizli akıl yürütme artık bir ticari sır olmaktan çıkıp güvenliğin bir parçası haline geliyor.

Akıl yürütme blokundaki imza muhtemelen bu türden son mekanizma olmayacak. Bir ürün yalnızca ona soru sorarak kopyalanabiliyorsa, koruma değişim protokolünün içine taşınır. Dış entegrasyon geliştiricilerinin şu fikre alışması gerekiyor: konuşma geçmişi artık onların özel yazışması değil, sağlam ulaşması gereken bir zincir.