Anthropic gibt bekannt, neue Abwehrmaßnahmen implementiert zu haben, die die Menge an Trainingsdaten, die Angreifer durch Destillation aus seinen Claude-Modellen extrahieren können, um 90 bis 99 Prozent reduzieren. Das Unternehmen kündigte die Maßnahmen als Teil umfassenderer Bemühungen zum Schutz der Modellintegrität und seiner proprietären Technologie an.
Bei Destillationsangriffen wird ein Modell wiederholt abgefragt, um seine Ausgaben zu sammeln, die dann zum Training eines konkurrierenden Systems verwendet werden. Diese Technik ermöglicht es, von der Forschung eines anderen Unternehmens zu profitieren, ohne dafür zu bezahlen. Die neuen Schutzmaßnahmen von Anthropic sollen diesen Prozess deutlich weniger effektiv machen.
Wie die Angriffe funktionieren
Bei einem Destillationsangriff benötigt ein Angreifer keinen Zugriff auf den zugrunde liegenden Code oder die Gewichte des Modells. Er muss lediglich Anfragen senden und die Antworten aufzeichnen können. Indem er Millionen von Prompts durch ein Modell laufen lässt, kann er einen Datensatz erstellen, der einen Großteil seines Verhaltens abbildet. Dieser Datensatz wird dann zum Trainingsmaterial für ein konkurrierendes Modell, das die Fähigkeiten des Originals zu einem Bruchteil der Entwicklungskosten nachahmen kann.
Für KI-Unternehmen ist dies sowohl ein Sicherheits- als auch ein Geschäftsproblem. Die Ausgaben repräsentieren Monate der Forschung und erhebliche Rechenkosten. Wenn ein Wettbewerber diese Ausgaben kostengünstig ernten kann, sinkt der Anreiz, in Frontier-Modelle zu investieren. Die Abwehrmaßnahmen von Anthropic zielen darauf ab, diese Kette zu durchbrechen, indem die geernteten Daten weniger nützlich oder schwerer in großem Umfang zu sammeln sind.
Was Anthropic geändert hat
Das Unternehmen nannte keine genauen technischen Mechanismen, erklärte jedoch, dass die Abwehrmaßnahmen darauf ausgelegt sind, Destillationsversuche in Echtzeit zu erkennen und zu stören. Das könnte bedeuten, verdächtige Abfragemuster zu begrenzen, Ausgaben mit Rauschen zu versehen oder Antworten mit Wasserzeichen zu markieren, damit sie zurückverfolgt werden können. Anthropic behauptet, das Ergebnis sei eine Reduktion der von Angreifern erfolgreich geernteten Daten um 90 bis 99 Prozent.
Die Spanne ist breit, da die Wirksamkeit je nach Angriffsmethode variiert. Eine grobe, hochvolumige Scraping-Operation könnte nahezu vollständig blockiert werden, während ein vorsichtigerer, langsamer Ansatz möglicherweise noch durchkommt. Anthropic sagt, es werde das System weiter optimieren, während sich die Angreifer anpassen.
Dies ist nicht das erste Mal, dass ein KI-Unternehmen über Destillation spricht. OpenAI und Google haben beide Konkurrenten beschuldigt, die Ausgaben ihrer Modelle zum Training konkurrierender Systeme zu nutzen. Öffentliche, quantifizierte Ergebnisse sind jedoch selten. Die Zahlen von Anthropic liefern einen konkreten Maßstab dafür, wie gut eine Reihe von Abwehrmaßnahmen abschneidet – zumindest nach der eigenen Messung des Unternehmens.
ModellDiebstahl liegt an der Schnittstelle von Sicherheit, geistigem Eigentum und nationaler Wettbewerbsfähigkeit. Regierungen beginnen, fortgeschrittene KI-Modelle als strategische Güter zu behandeln. Wenn Destillation eingedämmt werden kann, stärkt dies die Argumente für Unternehmen, weiter in größere, teurere Modelle zu investieren, ohne befürchten zu müssen, dass ihre Arbeit über Nacht kopiert wird.
Es gibt auch einen Sicherheitsaspekt. Wenn ein böswilliger Akteur ein Modell destilliert und die Sicherheits-Feinabstimmung entfernt, kann er eine nicht ausgerichtete Version erstellen, die schwerer zu überwachen ist. Die Abwehrmaßnahmen von Anthropic adressieren dieses Szenario nicht direkt, aber indem sie Destillation erschweren, erhöhen sie die Kosten für jeden, der es versucht.
Die Ankündigung erfolgt zu einem Zeitpunkt, an dem Anthropic wachsender Konkurrenz durch Open-Weight-Modelle ausgesetzt ist, die frei nutzbar und modifizierbar sind. Diese Modelle können ohne jegliche API-Abfragen destilliert werden, sodass die neuen Abwehrmaßnahmen für sie nicht gelten. Der Ansatz des Unternehmens ist eine Wette darauf, dass proprietäre, API-basierte Modelle wertvoll genug bleiben, dass Kunden für den Zugang bezahlen, und dass es den technischen Aufwand wert ist, sie zu schützen.
Anthropic hat nicht gesagt, ob es ein technisches Papier veröffentlichen oder die Abwehrtools als Open Source bereitstellen wird. Vorerst ist die Zahl von 90 bis 99 Prozent eine Behauptung, die externe Forscher nicht ohne Weiteres überprüfen können. Das Unternehmen sagt, es werde das System weiter aktualisieren, während es mehr über die Vorgehensweise der Angreifer erfährt.
Wettbewerber dürften genau hinschauen. Wenn die Abwehrmaßnahmen standhalten, könnten sie zu einer Standardfunktion kommerzieller KI-APIs werden. Wenn nicht, wird das Katz-und-Maus-Spiel zwischen Modellanbietern und Datensammlern weitergehen, wobei jede Seite sich an den jüngsten Zug der anderen anpasst.
