Anthropic 升级反“蒸馏”防线：拦截量降 90~99%、封数万账号，点名 Z.ai

10 月 13 日，路透社报道，Anthropic 于周一宣布了一套新的反"蒸馏"（distillation）防护措施，并给出了模型攻防史上罕见的一组量化战果：针对 Claude 的蒸馏攻击所收获的数据量下降了约 90%~99%，攻击者提取到的 reasoning token（推理过程 token）降到了之前的 1/10 到 1/100。为此 Anthropic 封禁了数万个与蒸馏 campaign 相关的账号，并罕见地点名中国 AI 公司 Z.ai（智谱，2513.HK），指其在训练 GLM-5.3 时试图从 Claude 蒸馏能力，警告这种做法带来安全与国家安全风险。Z.ai 未立即回应。

先给非专业读者一句话解释"蒸馏"：它指的是用一个强大模型（老师）的 API 输出，去训练另一个模型（学生），从而低成本"复制"老师的能力。你不需要重走老师烧掉的算力和数据之路，只需要足够多、高质量的问答对——尤其是老师的推理过程——就能让学生模型在特定能力上逼近老师。路透社在报道中点明了背景：随着美中竞争加剧，Anthropic、OpenAI、Google 都把蒸馏视为关键威胁，因为它让对手能"更快、更便宜地复现前沿能力"。

关键事实：Anthropic 这次公布了什么

• 战果数字：蒸馏攻击收获的数据量下降约 90%~99%；"被蒸馏者提取的 reasoning token 数量"降为之前的 1/10~1/100（Anthropic 口径）。
• 手段：限制对 Claude 推理过程的访问；打击利用代理网络反复探测 Claude 受保护推理过程的行为，拦截提取尝试、瓦解大规模蒸馏行动。
• 规模：封禁数万个与蒸馏 campaign 相关的账号。
• 自我标榜：Anthropic 称这套安全系统"与防止 Claude 帮助制造生物武器的系统差不多健壮"，误杀率低于 0.1%。
• 公开点名：中国 AI 初创公司 Z.ai（智谱，港股 2513.HK）在开发 GLM-5.3 时试图从 Claude 蒸馏能力；Anthropic 警告涉及安全与国家安全风险。

图：蒸馏攻击链 vs Anthropic 反蒸馏防线。攻击侧用代理网络批量抽取推理 token 训练竞品；防御侧限制推理访问、封禁数万账号，自称提取量下降 90%~99%。数字均为 Anthropic 单方口径。图源：本文根据 Reuters 报道整理绘制。

观点一：模型攻防战第一次被"量化"摆上台面

AI 安全话题通常是定性的——"我们非常重视安全""我们投入了大量资源"。Anthropic 这次反常地给出了定量战报：90%~99%、1/10~1/100、数万账号、误杀率 <0.1%。为什么一家以谨慎著称的公司突然开始"报数字"？

最直接的解读是：威慑。蒸馏攻击的经济学建立在"投入产出比"上——只要批量探测 API 的成本低于自研的成本，攻击就有动机。Anthropic 公布"你的收获只剩 1%~10%"，等于直接改写攻击者的 ROI 算式：以前花 1 万美元 API 费用能偷到价值 100 万美元的训练数据，现在只能偷到价值 1~10 万美元的，还搭上数万个账号被封的沉没成本。这组数字首先是说给潜在攻击者听的，其次才是说给媒体和公众听的。

更深一层，这是把"暗战"打成"明战"的标志性事件。此前的反蒸馏都是静默的：限流、封号、改 API 返回，不解释、不点名。这次 Anthropic 不仅报数字，还点名一家上市公司。模型攻防从此有了公开的战报、公开的对手、公开的战线——这对整个行业的预期管理都是新变量。

观点二：点名 Z.ai，是从"静默封号"到"公开归因"的升级

整篇报道里信息量最大的一句话，是对 Z.ai 的点名。注意几个细节：Anthropic 点的不是某家名不见经传的小公司，而是一家港股上市公司（2513.HK）；点的不是模糊的"某中国公司"，而是直接关联到具体模型 GLM-5.3；并且把定性直接拉到"安全与国家安全风险"的高度。

这种"公开归因"在网络安全领域有先例（比如国家支持的黑客组织被点名），但在 AI 模型竞争领域是第一次。它的信号意义大于法律意义：Anthropic 在告诉所有人——我们不仅看得见蒸馏行为，还敢把名字说出来。这对其他有类似行为的公司是明确的警告：下一次被点名的可能就是你。

当然，点名是单方面的。Z.ai 未立即回应，路透社也未能获得其置评。在只有一方信源的情况下，读者应该把"Z.ai 蒸馏 Claude 训练 GLM-5.3"理解为"Anthropic 的指控"，而非已证实的事实。但即便如此，一家美国前沿模型公司公开指控一家中国上市公司"偷能力"，本身就是中美 AI 竞争进入新阶段的标志——战场从"谁的模型更强"延伸到了"谁在偷谁的能力"。

对 VibeFix 的长期读者还有一层呼应：本站此前报道过智谱 GLM-5.3 登陆 Amazon Bedrock、GLM 相关法律动态。这篇可以连起来看——同一家公司的模型，一边在全球云市场上架售卖，一边被指控用对手的输出训练。这组对照本身，就是"中美模型竞合"这个大主题的绝佳注脚。

观点三：90%~99% 这个数字，应该怎么读

作为负责任的报道，必须给这组数字打上"vendor claim"的水印——它来自 Anthropic 单方面，没有第三方审计。有几个读法值得提醒：

• 基线不明："下降 90%~99%"是相对数字。如果之前的提取量是天文数字，剩下的 1%~10% 可能依然可观。Anthropic 没有公布绝对量级。
• 口径是"收获的数据量"：这是攻击者的"收入"，不是"尝试次数"。Anthropic 同时说拦截了提取尝试、封了数万账号——"收入"下降可能来自"单次收获变少"（推理访问受限），也可能来自"尝试者变少"（威慑生效），两者含义不同。
• "误杀率 <0.1%"同样是单方口径：什么样的正常用户会被误伤？重度使用推理 API 做合法研究的用户、做模型评估的第三方机构——他们的体验是否受影响，Anthropic 没有展开。而"与防生物武器滥用系统同等健壮"这个类比，更多是修辞而非技术论证。

但另一方面，也不用陷入"凡是厂商说的都是公关"的虚无。数万账号被封是可验证的行动规模（被封的用户会说话），点名上市公司是要承担法律和声誉风险的——Anthropic 敢把名字写出来，说明它对证据有相当把握。合理的读法是：方向可信（反蒸馏确实在加码且有效果），精确数字打折听。

对 vibe coder 和 Claude API 用户的切身影响

这条新闻离普通开发者的距离，比看起来更近：

• 红线明确：拿 Claude API 的输出去训练竞品模型，违反 Anthropic 的服务条款。这次事件后，这条红线的执法力度只会加强。如果你做的产品涉及"用大模型输出微调小模型"，务必确认你的上游 ToS 允许这种用法——不只是 Anthropic，OpenAI、Google 的条款同样禁止。
• 推理访问可能收紧：反蒸馏的核心手段之一是"限制对推理过程的访问"。如果你依赖 chain-of-thought / 推理过程来做应用（比如展示推理步骤、基于推理做二次处理），要做好心理准备：未来推理内容的可见性、粒度、配额都可能向"防提取"倾斜。今天能拿到的推理细节，明天不一定拿得到——架构设计上不要把"完整推理过程可访问"当成不变量。
• 评估与测试工作流注意误伤：批量、自动化、高频地探测模型行为——这正是蒸馏攻击的流量特征，也是做模型评估、安全测试的正常流量特征。误杀率 <0.1% 听起来很低，但当你的整个业务跑在 API 上时，成为那 0.1% 就是 100% 的事故。做大规模自动化调用时，保留好与官方的沟通渠道。

背景：蒸馏为什么成了"关键威胁"

蒸馏不是新概念——学术界研究模型蒸馏快十年了。它变成"关键威胁"，是三个变化叠加的结果：第一，前沿模型的训练成本飙升到数十亿美元量级，"偷"比"造"的套利空间史无前例地大；第二，推理模型（reasoning models）的兴起让"推理过程"本身成了最有价值的训练数据——一步到位的答案好模仿， hundred-step 的推理链难复现，而这恰恰是蒸馏最想偷的东西；第三，美中技术竞争把"能力扩散速度"变成了国家安全议题，蒸馏不再只是商业纠纷，而是"对手多快能追上"的战略问题。

Anthropic 这次的三板斧——限制推理访问、打代理网络、批量封号——正好对应这三个变化：掐住最有价值的数据（推理过程），打掉规模化的手段（代理网络），抬高攻击的成本（封号）。这是一套完整的"提高偷窃成本"组合拳，逻辑是自洽的。

还没回答的问题

第一，OpenAI 和 Google 会跟进"报数字"吗？Anthropic 开了量化战报的头，如果对手不跟，会显得自家防线"没什么可说的"；如果跟，数字会不会陷入军备竞赛式的攀比？未来几个月看这两家的安全博客，会很有意思。

第二，Z.ai 会回应吗？被点名的上市公司通常会在 24~48 小时内回应。这件事的后续——回应、否认、沉默、反诉——将决定"公开归因"这个新武器的第一次实战效果。

第三，推理访问收紧的边界在哪里？Anthropic 说"限制对推理过程的访问"，但 Claude 的很多合法高级用法（agent 的自我反思、复杂任务的步骤展示）恰恰依赖推理可见性。防线和用户体验的 trade-off，最终会落到具体的 API 变更上，值得开发者持续盯。

一句话总结：Anthropic 把一场打了很久的暗战第一次打成了明战——报数字、点名、划红线。90%~99% 的精确度可以打折，但方向不会错：前沿模型公司正在把"防偷"做到和"做强"同等重要的位置。对用 Claude API 做产品的开发者来说，读懂这条红线，和读懂新模型发布同样重要。

一手来源：Reuters（2026-10-13，电头 Tue, 13 Oct 2026 01:07:25 +0000）。数字与定性表述均为 Anthropic 单方口径，本文已标注 vendor claim；观点部分为作者判断。