Anthropics egne tall: Destillasjonsforsvar sakket Claude-modell 8,6 poeng på SWE-bench
Anthropic sier at nye mottiltak har redusert mengden data som destilleringsangripere klarer å høste fra Claude med rundt 90 til 99 prosent. Tallet kommer i selskapets forskningsinnlegg «Strengthening our defenses against distillation attacks», publisert midt i oktober 2026, og er altså ikke uavhengig verifisert — det er ett av flere punkter der innlegget er Anthropics egen fortelling om egen seier. Men selskapet kvantifiserer argumentet, begrunner tiltakene med en konkret evaluering, og oppgir også prisene det selv har betalt. Samtidig retter det alvorlige, uverifiserte anklager mot kinesiske AI-lab Zhipu og Moonshot.
Hva som er nytt
I innlegget beskriver Anthropic en lagdelt forsvarslinje mot det selskapet kaller destillasjonsangrep. Ifølge RuntimeWire, som dekker kunngjøringen, oppsummerte selskapet arbeidet i et innlegg på X 12. oktober samt et forskningsinnlegg om forsvaret. Tiltakene består blant annet av kontodeteksjon, sikring av resonneringsutdata og strengere tilgangskontroll (RuntimeWire).
Kjerntallet er Anthropics eget: «Tidlige funn tyder på at disse metodene har redusert mengden data som destillerere har høstet med rundt 90 til 99 prosent», skriver selskapet i blogginnlegget (Anthropic). Formuleringen er verdt å holde seg til: det gjelder data høstet, ikke nødvendigvis antall angrepsforsøk. Firstposits dekning oppsummerer det løsere som at «destillasjonsforsøk» er kuttet med inntil 90 prosent — en skjevhet som ikke lar seg forene fullstendig med originalteksten, og som vi derfor ikke slår sammen her (Firstpost).
Hva destillasjonsangrep er, ifølge Anthropic
Anthropic definerer trusselen slik i innlegget: «Destillasjonsangrep er skjulte, industrielle kampanjer for å trekke ut egenskapene til én modell og replikere dem i en annen, uten autorisasjon fra den opprinnelige modellens utviklere. De gjennomføres ofte ved hjelp av nettverk av svindelkontoer» (Anthropic).
Mekanismen er i praksis at en konkurrerende aktør bruker en frontmodell gjennom API-et i stort volum, ofte fordelt på mange falske kontoer for å unngå oppdagelse, og trener sin egen modell på utdataene — spesielt de lange kjedene av resonnering som dagens frontmodeller eksponerer. Slik kan man få mye av en frontmodells kapabilitet til en brøkdel av forskningskostnaden.
Firstpost skriver at Anthropic identifiserte nesten 200 millioner utvekslinger på tvers av fem angivelige destillasjonskampanjer forrige måned, med aktivitet involverende DeepSeek og Moonshot, og at volumet av resonneringstokener mottatt av mistenkte destillerere nå er 10 til 100 ganger lavere (Firstpost). Disse tallene stammer fra sekundær dekning av Anthropics kunngjøring og skiller seg fra blogginnleggets rammeverk; de kan ikke avklares mot hverandre på det foreliggende grunnlaget, og gjengis her som Anthropic-tall formidlet via Firstpost.
Hvordan forsvaret fungerer — og det vi ikke kan se
De tre kjente pilarene er:
- Kontodeteksjon: oppdagelse av nettverk av svindelkontoer som brukes til storskala uttrekk. Detaljene om hvordan dette skjer i praksis, finnes ikke i den tilgjengelige teksten.
- Resonneringsoppsummering: i stedet for å levere komplette resonneringsspor til brukere, leveres oppsummerte versjoner — som gjør dem langt mindre egnet som treningsdata.
- Strammere tilgangskontroll: endringer som i noen tilfeller har krevd at lovlige brukere måtte oppdatere sine integrasjoner, ifølge Anthropic (Anthropic).
Et vesentlig forbehold: Anthropics blogginnlegg avslutter midt i en setning om hvordan angripere tilpasser seg («But distillers are persistent and inventive. After this change, attackers…»), slik at hele mekanismebeskrivelsen i tiltakene ikke lar seg detaljere ut fra det som foreligger. Det bør man vite når man vurderer hva som faktisk er dokumentert av hvordan forsvaret virker.
Tallet som skal bevise poenget
Den mest konkrete kvantifiseringen gjelder resonneringsoppsummering. Anthropic trente en forhåndstrent Claude-modell på transkripsjoner fra Claude Opus 4.8 og målte den på SWE-bench Verified. Med komplette transkripsjoner som treningsdata oppnådde den destillerte modellen 80,4 prosent; med kun oppsummerte transkripsjoner oppnådde den 71,8 prosent (Anthropic).
Lesningen er at oppsummering fjerner den detaljerte resonneringen destillerere trenger, og dermed reduserer kvaliteten på stjålne treningsdata med en målbar margin — over åtte prosentpoeng på en bransjestandard-oppgave. Evalueringen er dog selskapsdrevet og ikke uavhengig reprodusert.
Anklagene mot Zhipu og Moonshot
Innlegget inneholder også navngitte anklager, og de krever tydelig attribusjon — de er Anthropics påstander, ikke etablerte fakta, og berørte selskapers svar foreligger ikke i det foreliggende materialet.
Mot Zhipu hevder Anthropic at selskapet destillerte cyberkapabilitet fra ledende amerikanske modeller under utviklingen av GLM-5.3, og at det forsøkte å destillere Claude Fable 5: «Etter å ha funnet at våre cyber-sikkerhetstiltak svekket angrepene, byttet det til en eldre Claude-modell og en annen labbs modell», skriver Anthropic (Anthropic). Anthropic skriver videre — og det er verdt å presisere at dette er Anthropic som siterer — at det amerikanske senteret for fremme av innovasjon og standarder for superintelligens (CAISSI) har vurdert GLM-5.3 som den mest cyberkapable open-weights-modellen hittil. CAISSIs vurdering foreligger ikke som dokumentasjon i det foreliggende materialet.
Mot Moonshot viser Anthropic til et tidligere omtalt tilfelle der forespørsler til Kimi-modellene angivelig ble skjult videresendt til Claude. Blant dem skal det ha vært én forespørsel fra en bruker «som vi tror var tilknyttet Kinas folkefrigjøringshær» som ønsket å analysere CCTV-overvåkning av et bestemt individ (Anthropic). Merk at identifiseringen her eksplisitt er formidlet som Anthropics trossetting, ikke en etablert attribusjon. DeepSeek nevnes kun i Firstposits gjengivelse av Anthropics kampanjeoversikt, uten detaljer i det foreliggende materialet.
Prisen Anthropic selv betaler
Det mest troverdige ved innlegget er kanskje at Anthropic innrømmer kostnadene. «Vi har vist bort meningsfull inntekt og trillionvis av tokener verdt betalt trafikk fra destillerere», skriver selskapet, og legger til at noen endringer har krevd at lovlige brukere måtte oppdatere integrasjonene sine (Anthropic). Det er en ærlig balanse: hver tiltredbarhetsbarriere man setter opp, rammer også legitime brukere — og kutter inntekt selskapet ellers ville hatt.
Det som gjenstår
Flere spørsmål står åpne:
- Ingen uavhengig verifikasjon. 90–99-prosenttallet og SWE-bench-evalueringen er Anthropics egne, med metodedetaljer som ikke er offentlig tilgjengelige i det foreliggende materialet.
- Målemetoden er uklar. Det er uklart om reduksjonen måler færre angrepsforsøk, mindre data som faktisk ble høstet, eller begge deler. Originalteksten støtter sistnevnte lesning («data høstet»).
- Motpartens ord mangler. Zhipu, Moonshot og DeepSeek har ikke uttalt seg i det som foreligger. Hvis anklagene er riktige, er konsekvensene store; hvis de er delvis feilaktige, har én lab navngitt konkurrenter i en geopolitisk ladet sammenheng uten uavhengig dokumentasjon.
- Tallene spriker. Firstposts 200 millioner utvekslinger og 10–100x-reduserte resonneringstokener lar seg ikke forankre i selve blogginnlegget, og det foreliggende grunnlaget gir ikke grunnlag for å avklare forskjellen.
- Tilpasning. Anthropics egen avbrutte setning antyder at angripere allerede tilpasser seg. Destillasjonsforsvar er, dersom rammene stemmer, et stadig kappløp — ikke et endelig resultat.
Det som kan konstateres trygt, er dette: Anthropic har tatt i bruk forsvarsverk som det selv betaler reelt for, kvantifiserer dem med sitt eget evalueringsgrunnlag, og setter et tall på effekten — 90–99 prosent mindre høstet data. Hvor solid tallet er, vet vi foreløpig bare på Anthropics ord.