Anthropic表示，它已部署新的防御措施，可将攻击者通过蒸馏从其Claude模型中提取的训练数据量减少90%至99%。该公司宣布这些措施是其保护模型完整性和专有技术更广泛努力的一部分。
蒸馏攻击涉及反复查询模型以收集其输出，然后利用这些数据训练竞争系统。该技术使他人能够搭便车利用另一家公司的研究成果而无需付费。Anthropic的新保障措施旨在使这一过程的效果大打折扣。
攻击如何运作
在蒸馏攻击中，对手无需访问模型的底层代码或权重。他们只需要能够发送查询并记录响应。通过向模型输入数百万条提示，他们可以构建一个捕获其大部分行为的数据集。该数据集随后成为竞争对手模型的训练材料，后者能以开发成本的一小部分模仿原模型的能力。
对AI公司而言，这既是安全问题也是商业问题。这些输出代表着数月的研究和大量的计算投入。如果竞争对手能够廉价地获取这些输出，投资前沿模型的动力就会减弱。Anthropic的防御旨在通过使收集到的数据用处更小或更难大规模收集来打破这一链条。
Anthropic改变了什么
该公司未详细说明具体技术机制，但表示这些防御旨在实时检测和干扰蒸馏尝试。这可能意味着对可疑查询模式进行速率限制、在输出中添加噪声，或对响应加水印以便追踪。Anthropic声称结果是攻击者能成功获取的数据减少了90%至99%。
范围之所以宽泛，是因为有效性因攻击方法而异。粗暴的大规模抓取操作可能几乎被完全阻止，而更谨慎、低频缓慢的方法仍可能通过。Anthropic表示，随着对手适应，它将继续调整系统。
这并非AI公司首次谈论蒸馏。OpenAI和Google都曾指责竞争对手利用其模型的输出训练竞争系统。但公开的量化结果很少见。Anthropic的数字为一组防御措施的表现提供了具体基准，至少按该公司自己的衡量标准如此。
模型窃取处于安全、知识产权和国家竞争力的交汇点。各国政府开始将先进AI模型视为战略资产。如果蒸馏能够被遏制，这将增强公司继续投资更大、更昂贵模型的理由，而无需担心其工作一夜之间被复制。
还有一个安全角度。如果恶意行为者蒸馏了一个模型并剥离了安全微调，他们可以创建一个更难监控的未对齐版本。Anthropic的防御并未直接解决这种情况，但通过增加蒸馏难度，它们提高了任何尝试者的成本。
该公告发布之际，Anthropic正面临来自可免费使用和修改的开放权重模型的日益激烈的竞争。这些模型可以在没有任何API查询的情况下被蒸馏，因此新防御措施不适用于它们。该公司的做法是押注专有的、基于API的模型将保持足够高的价值，使客户愿意付费访问，并且保护它们值得付出工程努力。
Anthropic尚未表示是否会发表技术论文或将防御工具开源。目前，90%至99%这一数字是外部研究人员难以轻易验证的说法。该公司表示，随着对攻击者运作方式的了解更多，它将继续更新系统。
竞争对手可能正在密切关注。如果这些防御措施经得起考验，它们可能成为商业AI API的标准功能。如果不行，模型提供商与数据收集者之间的猫鼠游戏将继续，双方都会根据对方的最新动作进行调整。
