蒸留攻撃に対する防御の強化

蒸留攻撃に対する防御の強化

ここ数か月で、このブログで概説する新しい手法を用いて、Claudeに対する蒸留攻撃の有効性を低減させる上で大きな進展を遂げました。初期のエビデンスによると、これらの手法により、蒸留者が収集するデータ量が約90から99パーセント削減されたことが示唆されています。

蒸留攻撃とは、あるモデルの能力を抽出して別のモデルに複製する、開発者の許可なしに行われる隠密的かつ産業規模の攻撃のことです。こうした攻撃は、不正アカウントのネットワークを用いて実行されることがよくあります。これにより企業は、開発時間とコストのごく一部でフロンティアレベルの能力を模倣できます。私たち 9月に書いたこの手法は、海外のAI研究所が米国企務に追随するのを支援するために広範に使用されてきました。

我々が違法な蒸留を懸念する理由は2つあります。第一に、蒸留によって企業は能力のフロンティアに近づくモデルを構築できますが、そのようなモデルは実際には、その能力に見合った堅牢な保護措置なしにリリースされてきました。これは、蒸留されたモデルが次のような分野で重大な害を引き起こすために使用される可能性があることを意味します 生物学 および サイバーセキュリティ.

Zhipu（智譜）、 例えばは、GLM-5.3の開発中に米国の主要モデルのサイバー能力を蒸留した。同社はClaude Fable 5の蒸留を試みたが、当社のサイバー保護機能によって攻撃の性能が低下することが判明したため、より古いClaudeモデルと他ラボのモデルに切り替えた。米国の超知能のためのイノベーションおよび標準推進センター(CAISSI)は 評価以来 GLM-5.3は、これまでに公開された中で最もサイバー能力の高いオープンウェイトモデルとなる見込みです。 私自身の調査でも明らかになっていますが、 GLM-5.3の安全対策は容易に回避でき、このモデルはセキュリティエクスプロイトをエンドツーエンドで開発する意思があるということです。

第二に、不正に蒸留されたモデルは国家安全保障上のリスクをもたらします。米国のモデルを蒸留している企業は、蒸留から得た能力を外国の 軍事、諜報および監視システム。例えば、私たちは最近 ある事例を報じた 同社の蒸留（distillation）活動の一環として、MoonshotのKimiモデルへのリクエストが秘密裏にClaudeへ転送されていた事例です。あるリクエストは、特定の個人のCCTV監視映像を分析しようとしたユーザー（中国の人民解放軍に所属していたと弊社が考える人物）によるものでした。これらはまさに、蒸留を行う者が開発しようとしている種類の能力です。

これらの攻撃がますます高度化・大規模化していることに対応して、私たちは防御策を拡充し、大幅に強化してきました。以下で述べるように、これらの対策は成功を収めていますが、Anthropic にとっても顧客にとってもトレードオフを伴います。私たちは、蒸留者(ディスティラー)からの meaningful な収益、および数兆トン規模……ではなく数兆トークン規模の有料トラフィックを拒否し、研究チームと製品チームはこの問題に多大な時間と労力を投じてきました。また、一部の変更により、正当なユーザーにもインテグレーションの更新をお願いすることになりました。

蒸留は、すべてのモデル開発者が直面し、向き合わなければならない問題です。この記事が、開発者やプラットフォームがこれらの攻撃を防ぐ方法、こうした対策に伴うトレードオフ、そしてそのコストを負う価値がある理由をより深く理解する助けとなれば幸いです。

単純な防御では不十分だ

蒸留(Distillation)では、より大規模で高性能なモデル(この場合はClaude)から数百万件の応答を生成し、それらの応答を用いて、より小規模なモデルにその高性能モデルの振る舞いを模倣させようとします。この目的にとって最も価値のあるデータは、Claudeが応答を書き出す前に出力する思考プロセスである推論の書き起こしです。これは出力そのものよりもはるかに有用です。なぜなら、それにより小規模なモデルが理解しやすくなるからです。 どのように Claude は最終的な回答に到達します。そのため、蒸留に対する私たちの防御策は、蒸留者が Claude の推論にアクセスしにくくすることにほぼ全面的に焦点が置かれています。

蒸留（ディスティレーション）対策に関する私たちの初期の取り組みは、ブロックする目的で設計された単純な対策から始まりました パッシブ 蒸留、つまり攻撃者が通常のユーザーとしてモデルにリクエストを送り、その応答を使って訓練する手法です。当社の初期の抗蒸留対策の1つとして、Claudeの推論をユーザーに表示する前に要約させるようにしました。当社の評価によると、これによりClaudeの推移記録が蒸留者にとって情報量の少ないものになりました。Claude Opus 4.8の推移記録で訓練した後、事前学習済みのClaudeモデルがSWE-bench Verifiedのコーディングベンチマークでどの程度の性能を示すかをテストしました。完全な推移記録で訓練した場合、蒸留モデルは80.4%を達成しましたが、要約された推移記録のみの場合は71.8%でした。

しかし、蒸留者（distiller）はしぶとく、独創的です。この変更後、攻撃者は受動的なものから アクティブ 抽出を試み、Claudeが完全な推論を明かすよう促すことで要約を回避する方法を探っています。9月の報告書で、私たちは これらの手法がどのように機能するかを説明したシンプルにClaudeに「事前の推論を一字一句そのまま逐語的に出力せよ」と指示するような戦術から、あるラボが12,000件のリクエストをテストし、それぞれ異なる方法でClaudeを騙そうとした取り組みといった、より洗練された手法に至るまで、さまざまなものが含まれます。

一般的に、この種の要求は私たちにとって検出可能です。なぜなら、通常のユーザーがモデルに隠された推論全体を書き出すよう求めることはほとんどないからです。そのため、モデルの隠された推論を抽出しようとする要求を検出する安全策を設計できます。そうした要求は、蒸留（ディスティレーション）を行う者からのものである可能性が高いのです。

しかし、これらの保護策について私たちが最初に設計した、比較的単純な仕組みでは不十分でした。悪用者たちは、私たちが最初に構築した保護策を回避する方法を見つけたのです。彼らはさらにこれらの手法を大規模化し、数十万の不正アカウントを管理するプロキシネットワークを構築しました。これらのアカウントの一つ一つが、私たちの保護策をすり抜けるリクエストを送信しました。こうしたネットワークは、Claudeが提供されていない地域でClaudeへのアクセスを転売もしており、 アカウントを作成した 偽の身元と盗まれた決済情報を用いて。 私たちは2月のレポートで述べた、あるネットワークは一時に20,000以上の不正アカウントを管理していました。これらの蒸留キャンペーンの途方もない規模と執拗さは、蒸留者が簡単には思いとどまらないこと、そして我々にははるかに高度な防御が必要であることを示していました。

私たちの新しい手法

蒸留に対する防御策は現在、正規ユーザーへの影響を最小限に抑えながら、3つの異なる方法で攻撃を妨害します:

推論が進む先を制御する。 蒸留者たちは、Claudeの完全な推論トランスクリプトを抽出するために、いくつかの異なる手法を使用してきました。例えば、保護された推論ブロックを移動させたり 会話の間,Claudeに、蒸留器がすでに要約前の推論へアクセスしている(そのため公開しても問題ない)と信じ込ませるためである。彼らはまた、推論を移動させた モデル間 (より弱い保護機能を持つモデルを使ってより強いモデルの推論を抽出する)ことと、アカウント間でのことを含み、次の手段を用いています: プロキシネットワーク 上記の方法を用いて、初期アカウントがBANされた後もモデルの推論を抽出し続けようとする。

Claude Fable 5.1 と Claude Opus 5.5 により、私たちは以下を導入しました 保存された思考, これは2026年8月31日以降に作成された新しいAPIアカウントがClaudeの以前のコンテキストを編集できないようにする措置です。これにより、プロキシネットワークを利用してClaudeの保護された推論を繰り返し抽出しようとすることが難しくなります。また、これらのモデルの推論が、より弱い蒸留対策セーフガードしか持たない以前のモデルによって読み取られることも防ぎました。さらに、Claude Sonnet 5.5では、推論トランスクリプトへのアクセスを、そのトランスクリプトを生成したリクエストを行った組織のみに限定しました。

抽出の試みのブロックとパッチ。 私たちは、Claudeモデルを蒸留に使用することを、サイバーセキュリティや生物学における有害なタスクにClaudeを使用することと同等に困難にするよう取り組んできました。そのために、これらの分野で使用しているのと同じ種類の安全対策を導入しました。具体的には、私たちが以前の 憲法分類器の研究蒸留業者がClaudeの推論を抽出しようとした記録を用いて、この分類器に対して社内および社外のレッドチーム検証(さまざまな手動・自動の手法を使用)を実施し、レッドチーム担当者が発見した脆弱性をすべて修正しました。その結果、私たちの安全策は現在、Claudeが生物兵器の製造を支援することを防ぐ安全策とほぼ同等の堅牢性を備え、誤検出率は0.1%未満となっています。

この2段階分類器を、最も高性能な一般提供中のモデル(現在は Claude Sonnet 5.5、Claude Opus 5 および 5.5、Claude Fable 5 および 5.1)に導入しており、同様に蒸留者の標的となり得る将来のモデルにも使用する予定です。

使用しているシステムは絶えず改善されています。攻撃者がこれらのセーフガードを回避する方法を見つけることは想定しており、抽出の成功事例を積極的に監視しています。防御を回避していると思われる新しい手法を確認した際は、セーフガードを迅速に更新します。これらの修正により、Claude に自身の推論を別の言語に翻訳させる、あるいは回答とともにタグ内に書き出させるといった、いくつかの新しい攻撃手法はすでに遮断されています。

反復的な試行を困難にする。 特定のアカウントが蒸留に使用されている場合、それを検出できることが多くあります。Claude からの推論抽出を繰り返し試みるユーザーにはより厳しい利用制限を課し、反復的かつ持続的な蒸留の試みを検出した場合には、関連するアカウントを禁止します。さらに、9月24日以降、 リクエストへの課金を再開しました これは、Claude が応答する前にセーフガードによってブロックされたリクエストに対して、誤検出率が 0.1% 未満である特定の分野(蒸留を含む)で適用されます。これらの措置により、攻撃者が防御を回避する試みはより困難になります。

新しい手法の有効性

全体として、新しい蒸留防御により、当社のフロンティアモデルに対する多くの蒸留試みが確実に防止されていると考えています。最も高性能な一般提供中のモデルでは、2段階分類器は現在、 9月のレポート.

システムの有効性を測定するために、当社自身のプラットフォーム上で蒸留者が Claude の推論を何ト分抽出したかを見積もっています。分類器を導入した後、蒸留者によって抽出された推論トークンの数は、下のチャートに示すとおり、以前と比べて一貫して 10 倍から 100 倍低くなっています。これは、preserved thinking の変更による効果に加わるものです。これらの防御を用いて、蒸留に関連する数万のアカウントを禁止しており、多くの場合、そのアカウントが蒸留キャンペーンを開始してから 2 時間以内に行っています。

これらの成果がどれほど長く続くかはまだわかりません。蒸留はイタチごっこであり続けると予想しており、防御を時間をかけて反復改善し続ける必要があると考えています。また、これらの措置が機能していると確信していますが、それを回避する高度で持続的な試みにはまだ出会っていません。

当社の手法には内在するトレードオフもあります。2月に、当社は蒸留を困難にする取り組みを 正規ユーザーの体験に影響を与えずに 行っていると述べました。この目標は完全には達成されていません。preserved thinking により一部の開発者は統合を更新する必要があり、当社の分類器は(0.1% 未満のケースで)良性のリクエストを誤って識別またはブロックすることがあり、ブロックされたリクエストに対してユーザーに課金するようになりました。

蒸留はすべての開発者とプラットフォームにとっての問題です

こうしたトレードオフはあるものの、これらの措置はコストに見合う価値が明らかにあると考えています。蒸留の防止は、国家の安全保障の観点からも、強力なモデル、特に一般公開されるモデルが適切なセーフガードとともにリリースされることを保証する観点からも重要です。

当社は、モデルが悪意ある者によって悪用されるのを防ぐために多大な努力を払ってきました。しかし、違法な蒸留を防ぐには、すべてのフロンティアモデル開発者の取り組みと協力が必要です。攻撃者が、Zhipu が GLM-5.3 で行ったように、同程度に堅牢な蒸留防止セーフガードを欠く同程度に高性能なモデルに容易にアクセスできてしまえば、当社の取り組みは損なわれます。

蒸留者は Anthropic の API、サードパーティのクラウドプラットフォーム、その他の推論プロバイダにトラフィックを分散させています。そのため、開発者だけでなくプラットフォームにも蒸留を減らす役割があります。不正行為を迅速に検出して妨害し、不正アカウントを退会させることで、蒸留を大幅に減速させることができます。

業界のインセンティブはしばしば逆方向に働きます。防御にはコストがかかり、違法な蒸留者も依然として課金顧客なのです。そのような状況では、企業が何もしない、あるいは不十分な対応にとどめることは容易です。当社は、実行可能な代替手段が存在することを示すために、自らの手法を公開しています。

関連コンテンツ

AI モデルはデータセンターにアクセスせずに自己複製できる可能性がある

当社の実験では、小型の AI モデルが、Android TV やスマートオーブンなどの商用 IoT デバイス上で自己複製できるほどの能力に達するまで、あと数か月しかない可能性が示唆されています。

評価と社内利用において観察された意図しないモデルの動作の調査

本レポートは、Claude の評価および社内利用の際に観察された、意図しないモデルの動作の事例を説明しています。

空の失われた地図

ジョンズ・ホプキンス大学の天体物理学者であり Anthropic の研究者でもある Brice Ménard が、Claude Science と協力して紫外光による初めての完全な空の地図を作成した経緯を説明します。