Anthropic siger, at de har implementeret nye forsvar, der reducerer mængden af træningsdata, som angribere kan udtrække fra deres Claude-modeller gennem destillation, med 90 til 99 procent. Virksomheden annoncerede tiltagene som en del af en bredere indsats for at beskytte modelintegritet og deres proprietære teknologi.
Destillationsangreb involverer gentagne forespørgsler til en model for at indsamle dens output og derefter bruge disse data til at træne et konkurrerende system. Teknikken lader nogen snylte på en anden virksomheds forskning uden at betale for det. Anthropics nye sikkerhedsforanstaltninger skal gøre denne proces langt mindre effektiv.
Sådan fungerer angrebene
I et destillationsangreb har en modstander ikke brug for adgang til modellens underliggende kode eller vægte. De har blot brug for at kunne sende forespørgsler og registrere svarene. Ved at køre millioner af prompts gennem en model kan de opbygge et datasæt, der fanger meget af dens adfærd. Dette datasæt bliver derefter træningsmateriale til en rivaliserende model, som kan efterligne den oprindeliges evner til en brøkdel af udviklingsomkostningerne.
For AI-virksomheder er dette både et sikkerheds- og et forretningsproblem. Outputtet repræsenterer måneders forskning og betydelige compute-udgifter. Hvis en konkurrent billigt kan høste disse outputs, mindskes incitamentet til at investere i frontlinjemodeller. Anthropics forsvar sigter mod at bryde denne kæde ved at gøre de høstede data mindre nyttige eller sværere at indsamle i stor skala.
Hvad Anthropic ændrede
Virksomheden gav ikke detaljer om de præcise tekniske mekanismer, men sagde, at forsvaret er designet til at opdage og forstyrre destillationsforsøg i realtid. Det kan betyde hastighedsbegrænsning af mistænkelige forespørgselsmønstre, tilføjelse af støj til output eller vandmærkning af svar, så de kan spores. Anthropic hævder, at resultatet er en reduktion på 90 til 99 procent i de data, som angribere kan høste med succes.
Intervallet er bredt, fordi effektiviteten varierer efter angrebsmetode. En grov scraping-operation med høj volumen kan blive blokeret næsten helt, mens en mere forsigtig, langsom tilgang stadig kan slippe igennem. Anthropic siger, at de vil fortsætte med at finjustere systemet, efterhånden som modstandere tilpasser sig.
Dette er ikke første gang, en AI-virksomhed taler om destillation. OpenAI og Google har begge anklaget rivaler for at bruge deres modellers output til at træne konkurrerende systemer. Men offentlige, kvantificerede resultater er sjældne. Anthropics tal giver et konkret benchmark for, hvor godt et sæt forsvar fungerer, i det mindste efter virksomhedens egen måling.
Modeltryveri ligger i skæringspunktet mellem sikkerhed, intellektuel ejendomsret og national konkurrenceevne. Regeringer begynder at behandle avancerede AI-modeller som strategiske aktiver. Hvis destillation kan begrænses, styrker det argumentet for, at virksomheder fortsat investerer i større, dyrere modeller uden at frygte, at deres arbejde bliver kopieret natten over.
Der er også en sikkerhedsvinkel. Hvis en ondsindet aktør destillerer en model og fjerner sikkerhedsfinjustering, kan de skabe en ujusteret version, der er sværere at overvåge. Anthropics forsvar håndterer ikke direkte det scenarie, men ved at gøre destillation sværere hæver de omkostningerne for enhver, der forsøger.
Annonceringen kommer, mens Anthropic står over for voksende konkurrence fra åbne vægtmodeller, der er frie til at bruge og ændre. Disse modeller kan destilleres uden nogen API-forespørgsler, så det nye forsvar gælder ikke for dem. Virksomhedens tilgang er et væddemål om, at proprietære, API-baserede modeller vil forblive værdifulde nok til, at kunder vil betale for adgang, og at det er værd at beskytte dem med ingeniørarbejde.
Anthropic har ikke sagt, om de vil offentliggøre en teknisk artikel eller gøre forsvarsværktøjerne open source. Foreløbig er tallet på 90 til 99 procent en påstand, som eksterne forskere ikke let kan verificere. Virksomheden siger, at de vil fortsætte med at opdatere systemet, efterhånden som de lærer mere om, hvordan angribere opererer.
Konkurrenter holder sandsynligvis nøje øje. Hvis forsvaret holder, kan det blive en standardfunktion i kommercielle AI-API'er. Hvis ikke, vil katten-og-musen-spillet mellem modeludbydere og datahøstere fortsætte, hvor hver side tilpasser sig den andens seneste træk.
