Model natrénovaný na plných záznamech uvažování Claude Opus 4.8 zvládl v testu SWE-bench Verified 80,4 % úloh. Tentýž postup, jen s texty zkrácenými do souhrnů, dal 71,8 %. Těch necelých devět procentních bodů je přesně to, o co se poslední rok hraje.
Anthropic v pondělí 12. října vydal zprávu o obraně proti destilačním útokům, tedy proti vytahování schopností Claudea na trénink cizích modelů. Množství odčerpaných dat podle ní kleslo asi o 90 až 99 %. Zajímavější než samo číslo je ovšem popis mechaniky: co se krade a čím se to brání. A kolik ty nové ochrany stojí běžného uživatele API.
Nejcennější surovina je postup, ne odpověď
Destilace jako technika není nic sporného. Velký model generuje data, menší se na nich učí, a vznikne levnější nástroj s podobným chováním. Problém začíná tam, kde data tečou přes sítě falešných účtů bez svolení provozovatele.
A nejde o hotové odpovědi. Cenné jsou transkripty uvažování, protože v nich je vidět celý výpočet, nejen výsledek na konci. Kdo má postup, může cizí model naučit myslet podobně.
Kdo má jen výsledek, trénuje papouška.
Anthropic proto nechal Claudea vlastní uvažování shrnovat ještě předtím, než ho uvidí uživatel. Rozdíl mezi 80,4 a 71,8 procenta na SWE-bench Verified je právě měřítko toho, o kolik takové shrnutí destiléry připraví. Útočníci se pak soustředili na obcházení: jedna laboratoř podle Anthropiku vyzkoušela 12 000 variant promptů, které měly model přimět vypsat předchozí uvažování slovo od slova.
Tři vrstvy a jedna faktura
První vrstva řeší, kam smí uvažování odtéct. Sem patří funkce preserved thinking, zavedená s modely Claude Fable 5.1 a Opus 5.5: nové účty na API zřízené od 31. srpna 2026 už nemohou editovat předchozí kontext modelu. U Claude Sonnet 5.5 jsou navíc transkripty uvažování dostupné jen té organizaci, jejíž request je vyvolal, a blokuje se přenos uvažování mezi konverzacemi, modely i účty.
Druhá vrstva je dvoustupňový klasifikátor postavený na starším výzkumu constitutional classifiers. Anthropic ho red-teamoval interně i externě a staví jeho odolnost na úroveň ochran proti návodům na biologické zbraně. Falešně pozitivních případů má být pod 0,1 %. Systém se podle Anthropiku rychle doplňuje vždy, když se objeví nová technika obcházení, a jako příklad firma uvádí requesty, které po modelu chtěly přeložit jeho dřívější uvažování do jiného jazyka, aby klasifikátor nepoznal, co odchází.
Třetí vrstva má odradit vytrvalce. Účty, které se o extrakci pokoušejí opakovaně, dostanou tvrdší limity nebo ban. A od 24. září firma účtuje i requesty, které ochrany zablokují ještě předtím, než Claude odpoví.
Tohle je ta část, kterou si vývojář přečte dvakrát.
Hlavní metrika je odhad počtu reasoning tokenů, které destiléři z platformy skutečně dostali. Po nasazení klasifikátoru je prý trvale 10 až 100× nižší než dřív a v některých dnech tak nízký, že ho nešlo měřit. Desítky tisíc zabanovaných účtů, u rozjetých kampaní často do dvou hodin. Odmítnutý provoz šel podle firmy do bilionů tokenů. Pro představu o rozsahu: únorová zpráva Anthropiku popisovala síť, která držela víc než 20 000 falešných účtů současně.
Zhipu, Moonshot a jedna žádost o záběry z kamery
Anthropic tentokrát jmenuje. Čínská laboratoř Zhipu podle něj destilovala kybernetické schopnosti vedoucích amerických modelů při vývoji GLM-5.3. Zkoušela i Claude Fable 5, narazila na ochrany, které její útoky zhoršovaly, a přesunula se na starší verzi Claudea a na model jiné laboratoře. To samo o sobě vypovídá o účinnosti obrany nejvíc: útočník, který má na výběr, si vybere slabší cíl. Americké centrum CAISSI přitom GLM-5.3 označilo za dosud nejschopnější open-weights model v kybernetické oblasti a Anthropic dodává, že jeho vlastní bezpečnostní vrstvy šly v testech snadno obejít. Výsledkem je model, který umí útočit lépe než cokoli s veřejně dostupnými vahami, a který si přitom na rozdíl od Claudea nikdo nemusí půjčovat přes falešné účty, protože váhy jsou volně ke stažení. Reuters uvádí, že Z.ai, jak se Zhipu dnes prezentuje, na žádost o komentář nereagovala.
Druhý jmenovaný je Moonshot. Requesty, které podle Anthropiku mířily na jeho modely Kimi, byly tiše přeposílány Claudovi. U jednoho z nich se firma domnívá, že přišel od uživatele spojeného s Čínskou lidovou osvobozeneckou armádou a chtěl analýzu kamerových záběrů konkrétní osoby.
Tady už debata o duševním vlastnictví končí a začíná něco jiného.
Co na tom nesedí
Nejdřív mi 90 až 99 % přišlo jako číslo z vlastní kuchyně, které si nikdo neověří. Po přečtení metodiky mě zarazilo spíš něco jiného: Anthropic sám píše, že neví, jak dlouho výhoda vydrží, a že opravdu sofistikovaný a vytrvalý útok na nové ochrany ještě neviděl. Na firemní blog je to nečekaně málo sebevědomé. Měření si přitom firma dělala sama, na vlastní platformě.
Zdroje se navíc v detailech rozcházejí. Anthropic u únorové zprávy mluví o víc než 20 000 účtech, Crypto Briefing u téhož textu o přibližně 24 000 účtech a víc než 16 milionech výměn. Stejný článek připisuje největší kampaň modelům Qwen od Alibaby, s víc než 151 miliony výměn mezi květnem a červencem 2026, jenže v pondělním textu Anthropic Qwen nejmenuje. Crypto Briefing tam čerpá ze starší zářijové zprávy o hrozbách, takže rozpor to není, ale čísla z obou textů se míchat nedají.
Praktický dopad na vývojáře je zatím tenhle: část integrací je potřeba upravit kvůli preserved thinking, blokované requesty se platí, transkripty uvažování se nedají tahat mezi účty a méně než jeden request z tisíce může klasifikátor zablokovat omylem.
Při větším provozu to není nula.
Firma, která prodává přístup k modelu, si zároveň hlídá, kolik se z toho modelu dá odnést, a výsledky svého hlídání měří a publikuje sama. Nezávislé ověření neexistuje. Dokud nějaké nebude, zůstává pondělní zpráva dobře zdokumentovaným tvrzením jedné strany sporu.
Zdroje
- Anthropic: Strengthening our defenses against distillation attacks (12. 10. 2026)
- Reuters: Anthropic says new safeguards sharply reduce AI distillation attacks (12. 10. 2026)
- Crypto Briefing: Anthropic says new defenses cut distillation data harvested from Claude by 90 to 99 percent (12. 10. 2026)
- Techmeme: přehled k oznámení (12. 10. 2026)
