Anthropic stenger titusenvis av kontoer og sier distillering mot Claude er kraftig redusert
Tallene er selskapets egne målinger, men omfanget av angrepene – nesten 200 millioner utvekslinger i fem kampanjer, målt av Anthropic selv – gir et sjeldent innblikk i hvordan AI-laboratorier nå motarbeider at konkurrenter kopierer modellene deres. Samtidig fremmer Anthropic alvorlige påstander mot kinesiske Zhipu som ingen uavhengig instans har bekreftet.
Nyheten
Anthropic publiserte 12. oktober 2026 forskningsinnlegget «Strengthening our defenses against distillation attacks», der selskapet hevder at nye forsvarsmetoder har redusert mengden data som distilleringsangripere klarer å høste fra Claude med rundt 90 til 99 prosent. Reuters dekket saken 13. oktober (Anthropic, Reuters via ETEnterpriseAI).
Selskapet oppgir videre at mengden resonnements-tokens angriperne får ut nå er 10 til 100 ganger lavere enn tidligere, og at titusenvis av kontoer knyttet til distilleringskampanjer er stengt (Reuters).
Det er viktig å holde tallene til det de er: De stammer fra Anthropics egne målinger og egen rødteamtesting. Ingen uavhengig verifisering foreligger. Formuleringen i blogginnlegget er også forsiktig på egne premisser – «tidlige funn» antyder en reduksjon, det er ikke et endelig resultat. Detaljene om forsvarslagene utover summerte resonnementer bygger i hovedsak på sekundære oppsummeringer fra Times of AI og IJR (Times of AI, IJR).
Hva distilleringsangrep er
Anthropic definerer distilleringsangrep som skjulte, industrielle kampanjer for å trekke ut egenskapene til én modell og kopiere dem i en annen, uten godkjenning fra den opprinnelige modellens utviklere (Anthropic; definisjonen er oversatt fra engelsk). I praksis betyr det store mengder falske kontoer som stiller spørsmål til Claude, lagrer svarene – spesielt de detaljerte resonnementstranskriptene – og bruker dem som treningsdata for en konkurrerende modell.
Omfanget er ikke hypotetisk, om Anthropics egne tall skal tro. I selskapets trusselintelligens-rapport fra september 2026 tilskrev Anthropic selv nesten 200 millioner utvekslinger til fem distilleringskampanjer. Over 151 millioner av disse ble knyttet til Alibabas Qwen (IJR). Anthropic beskriver også et skifte fra passiv høsting til aktiv uttrekk: ett laboratorium skal ha testet 12 000 forskjellige spørringer, hver konstruert for å lure modellen til å avsløre skjult resonnement på en ny måte (IJR).
Slik fungerer forsvaret
Forsvaret bygger på flere lag, som angriper ulike deler av uttrekkskjeden.
Summerte resonnementer. Kjernen er at Claude ikke lenger serverer fullstendige resonnementstranskripter til omverdenen. Anthropic har målt effekten selv: En forhåndstrent Claude-modell trent på fulle transkripter fra Claude Opus 4.8 oppnådde 80,4 prosent på kode-benchmarken SWE-bench Verified. Med kun summerte transkripter falt resultatet til 71,8 prosent (Anthropic). Det er altså et fall i ytelse for den som distillerer, i Anthropics eget oppsett – men benchmarken er selskapets egen, og det er ukjent hvor godt den overfører til virkelige angripere.
Bevart «thinking». Ifølge Times of AI blokkerer det som kalles preserved thinking nye API-kontoer opprettet fra 31. august 2026 fra å redigere Claudes tidligere kontekst i støttede modeller. Med Claude Sonnet 5.5 går resonnementstranskriptene kun til organisasjonen som eier spørringen (Times of AI). Redigering av tidligere kontekst har vært en uttrekksvektor: IJR beskriver hvordan angripere systematisk prøvde å lure modellen til å avsløre skjult resonnement gjennom varierte spørringer (IJR). For legitime kunder betyr endringen at de fortsatt kan se modellens resonnement, men ikke manipulere historikken på samme måte.
Klassifisering og stenginger. Reuters oppgir at Anthropics sikkerhetssystem har en feilpositivrate på under 0,1 prosent, og at selskapet beskriver det som omtrent like robust som sine beskyttelser mot bistand til biologiske våpen (Reuters). Spørringer som klassifiseres som distilleringsforsøk, blokkeres, og kontoene bak dem stenges.
Fakturering av blokkerte spørringer. Fra 24. september 2026 har Anthropic ifølge Times of AI begynt å belaste kunder for spørringer som blokkeres før modellen svarer, i områder der feilpositivraten er under 0,1 prosent – distillering inkludert (Times of AI). Det er et økonomisk avskrekkingsverktøy: Å kjøre industrielle distilleringskampanjer mot Claude blir dermed ikke bare umulig når angrepet oppdages, men også direkte kostbart per forsøk.
Sikkerhetspolitisk lading: Zhipu og Kimi
Blogginnlegget er ikke bare teknisk. Anthropic bruker det til å fremme geopolitiske påstander som står i en egen kategori fra de tekniske funnene – fordi de er selskapets anklager, ikke dokumenterte fakta.
Anthropic hevder at Zhipu destillerte cyber-egenskapene til ledende amerikanske modeller under utviklingen av GLM-5.3, og at selskapet forsøkte å destillere Claude Fable 5, men byttet til en eldre Claude-modell og en annen laboratoriemodell etter å ha funnet at Anthropics cybersikkerhet svekket angrepene. Selskapet siterer videre det amerikanske CAISSI (Center for Advancing Innovation and Standards for Super Intelligence), som angivelig har vurdert GLM-5.3 som den mest cyber-capable åpen-vektmodellen som er utgitt så langt – en vurdering vi her bare kjenner slik Anthropic selv presenterer den (Anthropic).
Anthropic peker også på et tilfelle der spørringer til Moonshots Kimi-modeller angivelig ble i hemmelighet videresendt til Claude som del av distilleringsarbeidet. Én spørring skal ha kommet fra en bruker Anthropic tror var tilknyttet Kinas folkefrigjøringshær, som ønsket å analysere CCTV-overvåkning av en bestemt person (Anthropic). Også her er det verdt å understreke: PLA-tilknytningen er Anthropics antagelse, ikke en verifisert identifikasjon.
Kildene noterer at Zhipu (Z.ai) ikke umiddelbart svarte på henvendelser om kommentar. Ingen respons fra Zhipu eller Moonshot foreligger i kildematerialet, og ingen uavhengig instans har bekreftet anklagene.
Hva som forblir uavklart
Det uavklarte er i hovedsak av tre slag.
For det første er alle nøkkeltall – 90–99 prosent reduksjon, 10–100 ganger færre utpakkede tokens, feilpositivraten på under 0,1 prosent – selvmålinger fra selskapet som har utviklet forsvaret, og som har kommersielle og politiske interesser i at de fremstår effektive. Anthropic formulerer det selv forsiktig som «tidlige funn».
For det andre er holdbarheten udokumentert. Distilleringsangripere har allerede vist at de tilpasser seg – fra passiv høsting til systematiske uttrekkskampanjer, som ett laboratoriums 12 000 varianter av uttrekksforsøk. Et forsvar som fungerer i dag, er ikke nødvendigvis et forsvar som fungerer når angriperne har tilpasset seg. Kildene sier lite konkret om hvor robust metodene er mot målrettede motangrep over tid.
For det tredje er kundevirkningene uklare. Endringene fra 31. august og 24. september 2026 rammer i prinsippet alle API-brukere, ikke bare angripere. At preserved thinking hindrer redigering av tidligere kontekst, kan endre hvordan legitime applikasjoner orkestrerer samtaler. Fakturering av blokkerte spørringer rammer i prinsippet også den som blokkeres urettmessig – selv om feilpositivraten påstås å ligge under 0,1 prosent, finnes det foreløpig ingen ekstern sjekk av det tallet.
Distilleringskrigen er i gang på alvor. Anthropics tall er foreløpig den eneste offentlige målestokken for hvem som leder den – målt av den ene av partene.