Anthropic、蒸留対策で止めた依頼も課金へ 抜き取りは最大99%減った

Anthropic、蒸留の抜き取りを90〜99%減らした　狙いはClaudeの思考

Anthropicは、Claudeの答えを集めて別のAIに真似させる「蒸留攻撃」への対策を強め、抜き取られるデータを約90〜99%減らしたと発表した。狙われているのは答えより、答える前にClaudeが書く思考の過程だ。思考まで学ばせると、小さなモデルが答えの出し方まで真似できる。

差は数字に出ている。Claude Opus 4.8の思考を全文で学ばせたモデルはSWE-bench Verifiedで80.4%を取ったが、要約した思考だけだと71.8%にとどまった。Anthropicはこの結果から、思考を外へ出さない方向に守りを寄せた。

相手の規模も大きい。2月の報告では、1つの網が2万件を超える不正アカウントを同時に操っていた。中国のZhipuはGLM-5.3を作る過程で米国のモデルから蒸留したと名指しされ、米国のCAISSIはGLM-5.3をこれまでで最もサイバー能力が高いオープンウェイトのモデルと評価している。

止めた依頼も9月24日から課金　誤検知は0.1%未満

対策は3本立てだ。思考を持ち出せる先を絞るpreserved thinking、思考を吐き出させる依頼を止める2段の分類器、繰り返す相手の上限を締めてアカウントを止める運用になる。分類器はサイバー分野の制限と同じ作りで、いまはClaude Sonnet 5.5・Claude Opus 5と5.5・Claude Fable 5と5.1で動いている。

利用者の財布に響くのは課金の扱いだ。9月24日から、Claudeが答える前に安全装置が止めた依頼にも料金がかかるようになった。対象は蒸留など誤検知が0.1%未満の分野に限られる。

それでも普通の依頼が1,000件に1件未満の割合で止められ、その分も払うことになる。Anthropic自身も、正規の利用者に影響を出さない目標は完全には達していないと認めている。

8月31日以降のAPIアカウントは要注意　日付の入れ直しで400エラー

開発者が手を入れる必要があるのはpreserved thinkingのほうだ。Claude Fable 5.1以降は、送り返した思考より前のシステムプロンプト・ツール・会話の中身が変わると、その思考を無効にする。2026年8月31日（UTC）以降に作ったアカウントでは、この確認が初めから効いている。

AInformationが公式の説明書を読むと、引っかかる作り方が具体的に並んでいた。依頼のたびにシステムプロンプトへ今日の日付を入れ直す、古いツールの結果を削る、途中でツールを足し引きする、古い会話を手元で要約して後ろだけ残す、などだ。

厄介なのは古いアカウントだと何も起きない点だ。説明書は、自分の鍵でエラーが出なくても影響が無いとは言えないと書いている。自作のツールを取引先が自分の鍵で使うと、新しいアカウントを持つ相手が先に400エラーを受ける。Claude Sonnet 5.5とClaude Haiku 5.5の思考は、作ったアカウントの外では読まれない決まりも加わった。

自社のClaude連携で確かめること　会話は追記だけにする

Claude Code・claude.ai・Claude Agent SDKが依頼を組み立てている場合は何も変えなくてよい。自前でAPIを呼んでいる会社は、次の順で確かめておきたい。

• 同じ会話の2回目以降で、システムプロンプトとツールの一覧を作り直していないか
• 日付やメモの更新は、書き換えでなく新しい発言として後ろに足しているか
• ベータのヘッダー「thinking-binding-controls-2026-08-01」を付けて、古いアカウントでも警告を見ているか
• 途中でモデルを切り替えるとき、前のモデルの思考が読まれず消える組み合わせではないか

すぐに止めたくないなら、無効な思考を落として続ける「drop_block」という設定もある。ただし説明書は、Claudeが消えた思考を作り直すので出力のトークンが大きく増えうると注意している。つなぎに使い、作りの直しを先に進めるほうが料金の面でも安く済みそうだ。

Anthropic自身は、蒸留との攻防はいたちごっこが続くと見ている。守りが強まるたびに、正規の利用者が直す箇所も増えていく可能性がある。