Anthropic menyatakan telah menerapkan pertahanan baru yang mengurangi jumlah data pelatihan yang dapat diekstraksi penyerang dari model Claude mereka melalui distilasi sebesar 90 hingga 99 persen. Perusahaan mengumumkan langkah tersebut sebagai bagian dari upaya yang lebih luas untuk melindungi integritas model dan teknologi eksklusifnya.
Serangan distilasi melibatkan pengiriman kueri ke model secara berulang untuk mengumpulkan outputnya, lalu menggunakan data itu untuk melatih sistem pesaing. Teknik ini memungkinkan seseorang menumpang pada riset perusahaan lain tanpa membayarnya. Pengamanan baru Anthropic dimaksudkan untuk membuat proses tersebut jauh lebih tidak efektif.
Bagaimana serangan itu bekerja
Dalam serangan distilasi, penyerang tidak perlu mengakses kode atau bobot model yang mendasarinya. Mereka hanya perlu kemampuan mengirim kueri dan merekam responsnya. Dengan menjalankan jutaan prompt melalui model, mereka dapat membangun dataset yang menangkap sebagian besar perilakunya. Dataset itu kemudian menjadi bahan pelatihan bagi model saingan, yang dapat meniru kemampuan model asli dengan biaya pengembangan sebagian kecilnya.
Bagi perusahaan AI, ini adalah masalah keamanan sekaligus bisnis. Output tersebut mewakili berbulan-bulan riset dan pengeluaran komputasi yang signifikan. Jika pesaing dapat memanen output itu dengan murah, insentif untuk berinvestasi dalam model terdepan menyusut. Pertahanan Anthropic bertujuan memutus rantai itu dengan membuat data yang dipanen kurang berguna atau lebih sulit dikumpulkan dalam skala besar.
Apa yang diubah Anthropic
Perusahaan tidak merinci mekanisme teknis persisnya, tetapi mengatakan pertahanan tersebut dirancang untuk mendeteksi dan mengganggu upaya distilasi secara real time. Itu bisa berarti membatasi laju pola kueri yang mencurigakan, menambahkan noise pada output, atau memberi watermark pada respons agar dapat dilacak. Anthropic mengklaim hasilnya adalah pengurangan 90 hingga 99 persen dalam data yang berhasil dipanen penyerang.
Rentangnya lebar karena efektivitasnya bervariasi menurut metode serangan. Operasi scraping kasar bervolume tinggi mungkin diblokir hampir seluruhnya, sementara pendekatan yang lebih hati-hati dan lambat masih bisa lolos. Anthropic mengatakan akan terus menyetel sistem seiring adaptasi para penyerang.
Ini bukan pertama kalinya perusahaan AI membahas distilasi. OpenAI dan Google sama-sama menuduh pesaing menggunakan output model mereka untuk melatih sistem pesaing. Namun, hasil terkuantifikasi yang dipublikasikan jarang terjadi. Angka Anthropic memberikan tolok ukur konkret tentang seberapa baik satu set pertahanan bekerja, setidaknya menurut pengukuran perusahaan sendiri.
Pencurian model berada di persimpangan keamanan, kekayaan intelektual, dan daya saing nasional. Pemerintah mulai memperlakukan model AI canggih sebagai aset strategis. Jika distilasi dapat dibatasi, itu memperkuat alasan bagi perusahaan untuk terus berinvestasi dalam model yang lebih besar dan mahal tanpa takut karya mereka disalin dalam semalam.
Ada juga sudut keamanan. Jika aktor jahat mendistilasi model dan menghapus fine-tuning keamanannya, mereka dapat menciptakan versi yang tidak selaras yang lebih sulit dipantau. Pertahanan Anthropic tidak secara langsung menangani skenario itu, tetapi dengan membuat distilasi lebih sulit, mereka menaikkan biaya bagi siapa pun yang mencobanya.
Pengumuman ini muncul saat Anthropic menghadapi persaingan yang meningkat dari model open-weight yang gratis digunakan dan dimodifikasi. Model tersebut dapat didistilasi tanpa kueri API apa pun, sehingga pertahanan baru tidak berlaku untuknya. Pendekatan perusahaan adalah taruhan bahwa model eksklusif berbasis API akan tetap cukup bernilai sehingga pelanggan mau membayar untuk akses, dan bahwa melindunginya sepadan dengan upaya rekayasa.
Anthropic belum mengatakan apakah akan menerbitkan makalah teknis atau membuka sumber alat pertahanannya. Untuk saat ini, angka 90 hingga 99 persen adalah klaim yang tidak dapat diverifikasi dengan mudah oleh peneliti luar. Perusahaan mengatakan akan terus memperbarui sistem seiring pemahaman yang lebih baik tentang cara penyerang beroperasi.
Pesaing kemungkinan mengamati dengan saksama. Jika pertahanan itu bertahan, itu bisa menjadi fitur standar API AI komersial. Jika tidak, permainan kucing-dan-tikus antara penyedia model dan pemanen data akan berlanjut, dengan masing-masing pihak menyesuaikan diri terhadap langkah terbaru pihak lain.
