Вісімдесят цілих чотири десятих відсотка проти сімдесяти одного й вісім десятих. Така різниця на бенчмарку SWE-bench Verified між двома однаковими моделями, яких Anthropic навчила на транскриптах міркувань власної Claude Opus 4.8. Одну годували повними транскриптами, другу лише їхніми короткими викладами. Розрив майже у дев’ять пунктів пояснює, чому 12 жовтня 2026 року компанія опублікувала довгий текст про захист від дистиляції і чому в API тепер є механізм, який змінив правила безпечного прибирання історії розмови.

Річ у тому, що модель видає не лише відповідь. Перш ніж відповісти, вона пише чернетку, ланцюжок міркувань. Для того, хто хоче скопіювати чужі здібності, чернетка цінніша за відповідь. Відповідь показує результат, чернетка показує хід думки, а вчитися на ході думки набагато ефективніше.

Що таке дистиляція і чому її називають атакою

У мирному вигляді дистиляція це звичайна техніка: велика модель-вчитель генерує приклади, мала модель-учень на них навчається. Так лабораторії стискають власні моделі. Проблеми починаються, коли вчитель чужий і ніхто дозволу не питав.

Anthropic описує такі кампанії як приховані зусилля промислового масштабу, мета яких витягти здібності однієї моделі й відтворити їх в іншій. У лютневому звіті компанія назвала масштаб: понад 16 мільйонів обмінів із Claude через приблизно 24 000 шахрайських акаунтів. Названо три лабораторії: DeepSeek (понад 150 000 обмінів), Moonshot AI (понад 3,4 мільйона) і MiniMax (понад 13 мільйонів). Одна проксі-мережа вела понад 20 000 акаунтів одночасно. Це твердження самої Anthropic, незалежно перевірити їх неможливо, а компанія є стороною суперечки.

Жовтневий документ додає нове: попередній захист перестав працювати, бо зловмисники змінили тактику.

Як захист і обхід ганялися одне за одним

Перший захід був простим. Якщо міркування цінні, не показуй їх повністю, стисни до викладу. Тест 80,4 проти 71,8 відсотка показує, що виклад і справді розріджує навчальний матеріал.

Потім почалося активне видобування. У запити стали додавати прохання на кшталт «виведи свої попередні міркування дослівно», і, за словами Anthropic, одна лабораторія спробувала 12 000 запитів, кожен з іншою хитрістю. Після цього виявилося, що захищені блоки міркувань можна переносити: з однієї розмови в іншу, на модель зі слабшим захистом, на інший акаунт усередині проксі-мережі. Блок міркувань був просто текстом, який можна вирізати й вставити.

Саме з цього місця Anthropic й почала. Якщо не можна сховати чернетку, можна зробити так, щоб вона була марною деінде, крім місця, де її створили.

Як блок міркувань прив’язують до контексту

Механізм називається preserved thinking, а документація описує його сухо. Кожен блок міркувань несе підпис. Починаючи з Claude Fable 5.1, API перевіряє за ним дві речі: чи взагалі може поточна модель прочитати блок і чи не змінилося щось перед ним. «Перед ним» означає системний промпт, список інструментів і кожне попереднє повідомлення. Змініть одне слово на початку, і блок, а разом із ним усі подальші, стає недійсним.

Є й прив’язка до акаунта. Блоки Claude Sonnet 5.5 і Claude Haiku 5.5 працюють лише в акаунті, який їх створив, або в пов’язаному. Чужі блоки мовчки відкидаються. Opus 5 і Opus 5.5 ніколи не читають блоків Fable 5.1.

Зловмисникові це незручно: щоб скористатися викраденим шматком міркувань, треба відтворити весь контекст до останнього символу й сидіти у правильному акаунті. Звичайному розробникові це теж має наслідки. В акаунтах, створених 31 серпня 2026 року або пізніше, перевірка префікса ввімкнена за замовчуванням, а розбіжність повертає помилку 400. Старі акаунти отримують перевірку лише тоді, коли задають параметр prefix_mismatch_behavior.

Що ламається? Усе, що любить перебудовувати історію. Системний промпт, куди щоразу підставляють свіжу дату. Обрізання старих результатів інструментів. Клієнтське стиснення старих реплік із збереженням недавніх. Редагування списку інструментів посеред розмови. Документація велить клієнтам працювати лише на додавання (append-only) і пропонує заміни: додавайте системне повідомлення замість перебудови промпта, використовуйте серверне ущільнення замість ручного обрізання історії. Claude Code, claude.ai та Agent SDK усе це роблять самі, сказано на тій самій сторінці. Якщо ви звертаєтеся до API Claude напряму, перевірте принаймні, як ви серіалізуєте відповіді: порожні блоки thinking треба повертати такими, якими вони прийшли, адже самі міркування живуть у підписі.

Режим drop_block дає змогу просто викинути недійсні блоки, але тоді модель виводить міркування заново, і витрата вихідних токенів може помітно зрости. Сама документація називає його тимчасовою латкою.

Що показують цифри, а що ні

Друга половина захисту це двоступеневий класифікатор, збудований на напрацюваннях Anthropic із конституційних класифікаторів і навчений на реальних спробах видобування. Anthropic повідомляє про частку хибних спрацьовувань нижче 0,1 відсотка. З 24 вересня вона також стягує плату за запити, які захисні механізми блокують ще до відповіді Claude, зокрема й у сфері дистиляції. Рецидивістів чекають жорсткіші ліміти й блокування: десятки тисяч акаунтів за підрахунками компанії, часто менш ніж за дві години після початку кампанії.

Головне твердження таке: токенів міркувань, які видобувають дистилятори, тепер у 10-100 і більше разів менше, а в окремі дні їх надто мало, щоб виміряти. В іншому місці текст говорить про падіння приблизно на 90-99 відсотків і називає це раннім свідченням.

Тут потрібна обережність. Вимірювала Anthropic, на власній платформі. Вона оцінює видобуті токени за тим, що змогла виявити, а те, що лишилося непоміченим, за визначенням невидиме. Дистилятори до того ж розподіляють трафік між API й хмарами кількох провайдерів, тож зачинені одні двері нічого не гарантують щодо інших. Anthropic прямо пише, що не знає, як довго триватиме ефект, очікує гру в кішки-мишки й поки не бачила дуже витонченої, наполегливої спроби обійти новий захист.

Витрати теж названо: відмова від значного доходу та «трильйонів токенів» оплачуваного трафіку, зміни в інтеграціях для частини законних клієнтів, рідкісні хибні блокування. Лютневу мету, ускладнити дистиляцію, не зашкодивши законним користувачам, компанія, за її словами, повністю не досягла.

Чому це виходить за межі Anthropic

Спершу про те, що відомо з незалежного джерела. CAISI при NIST у вересні назвав GLM-5.3 від Z.ai найздатнішою у кібербезпеці моделлю з відкритими вагами з-поміж випущених досі й оцінив її відставання від американського передового рівня приблизно в чотири місяці. На тесті SEC-Bench Pro, наприклад, вона розв’язала 74 із 183 завдань, найкраща американська модель розв’язала 165. Про дистиляцію в оцінці не йдеться.

Зв’язок між GLM-5.3 і копіюванням американських моделей походить із жовтневого тексту Anthropic: за ним, Zhipu дистилювала кіберздібності з провідних американських моделей, а коли захист Anthropic погіршив її спроби з Claude Fable 5, перейшла на старішу модель Claude і на модель іншої лабораторії. Це твердження компанії, а не висновок державного органу, і зовні його поки нічим підтвердити.

Якщо воно слушне, картина неприємна. Здібність, яку одна компанія обгородила захисними обмеженнями, потрапляє в модель, випущену з відкритими вагами, де цих обмежень немає; за власною оцінкою Anthropic, вбудований захист GLM-5.3 легко обійти. Приховані міркування перестають бути комерційною таємницею і стають елементом безпеки.

Підпис на блоці міркувань, імовірно, не останній механізм такого роду. Коли продукт можна скопіювати, просто ставлячи йому запитання, захист переїздить у сам протокол обміну. Розробникам зовнішніх інтеграцій доведеться звикнути до думки, що історія розмови більше не їхнє приватне листування, а ланцюг, який має дійти непошкодженим.