Anthropic blokuje kradzież rozumowania Claude'a

Anthropic poinformował o skutecznej walce z masowymi próbami kopiowania możliwości jego modeli Claude. Firma twierdzi, że nowe mechanizmy obronne obniżyły wolumen przechwytywanych tokenów rozumowania – wewnętrznych kroków łańcucha myślowego modelu – od 90 do nawet 99 procent. To odpowiedź na proceder, który w branży AI przybrał rozmiary przemysłowe.

Zjawisko, o którym mowa, nosi nazwę destylacji (distillation) – polega na systematycznym kopiowaniu zdolności dużego modelu po to, by wytrenować na ich podstawie własny, mniejszy system. Anthropic nie tylko opisuje problem, ale wskazuje konkretnych uczestników tego procederu.

Na czym polega przemysłowa destylacja modeli AI

Destylacja sama w sobie nie jest nowym zjawiskiem – to technika znana w uczeniu maszynowym od lat. Problem pojawia się, gdy przyjmuje formę zorganizowanego, masowego pozyskiwania danych z cudzego modelu bez zgody jego twórcy. Właśnie z taką sytuacją mierzy się Anthropic.

Sieci fałszywych kont jako narzędzie ataku

Według Anthropic atakujący nie działają pojedynczo. Wykorzystują rozbudowane sieci składające się z setek tysięcy fałszywych kont, które równolegle odpytują model i wyciągają z niego pożądane informacje. Skala tego zjawiska sprawia, że mówimy o operacji przypominającej działalność przemysłową, a nie pojedyncze próby nadużyć.

Celem ataków są tokeny rozumowania – czyli wewnętrzne kroki, które model wykonuje, zanim udzieli odpowiedzi. To właśnie one mają największą wartość dla podmiotów chcących odtworzyć możliwości Claude’a we własnych systemach, ponieważ ujawniają sposób, w jaki model dochodzi do rozwiązania.

Zhipu i Moonshot pod lupą Anthropic

Anthropic wprost wymienia dwa chińskie podmioty, które miały brać udział w procederze: Zhipu oraz Moonshot. Zarzuty wobec każdego z nich mają inny charakter.

Zhipu i model GLM-5.3

Firma Zhipu miała według Anthropic pozyskiwać zdolności z zakresu cyberbezpieczeństwa z wiodących amerykańskich modeli, a następnie wykorzystać je do rozwoju własnego systemu GLM-5.3. To szczególnie wrażliwy obszar – umiejętności ofensywne w cyberprzestrzeni mogą być wykorzystane w sposób trudny do kontrolowania.

Moonshot i ukryte zapytania

Z kolei Moonshot miał potajemnie kierować zapytania przez Claude’a, nie ujawniając tego faktu. Tego typu działania podważają zaufanie do ekosystemu API i pokazują, jak trudno jest zweryfikować rzeczywisty cel, w jakim podmiot korzysta z modelu.

Anthropic ostrzega, że skopiowane w ten sposób zdolności mogą trafić do zagranicznych systemów wojskowych oraz nadzorczych. To podnosi stawkę dyskusji z poziomu sporów biznesowych do kwestii bezpieczeństwa międzynarodowego.

Jakie zabezpieczenia wdrożył Anthropic

Firma nie poprzestała na diagnozie – wdrożyła konkretne rozwiązania techniczne i organizacyjne, które mają utrudnić masowe pozyskiwanie danych z Claude’a.

Ograniczenie dostępu do kroków rozumowania

Pierwszym filarem obrony jest ograniczenie dostępu do wewnętrznych kroków rozumowania modelu. Skoro to właśnie one są najbardziej pożądanym celem ataków, ich ochrona bezpośrednio zmniejsza atrakcyjność całego procederu.

Klasyfikator wykrywający próby ekstrakcji

Drugim elementem jest klasyfikator, którego zadaniem jest rozpoznawanie prób wyciągania danych z modelu. System analizuje wzorce zapytań i identyfikuje te, które odbiegają od typowego, legalnego użytkowania.

Automatyczne bany dla oznaczonych kont

Trzecim filarem są automatyczne blokady nakładane na konta oznaczone jako podejrzane. Anthropic przyznaje, że w wyniku tych działań zablokowano już dziesiątki tysięcy kont. Skala banów pokazuje zarówno rozmiar problemu, jak i determinację firmy w jego zwalczaniu.

Skutki uboczne i apel do branży

Anthropic otwarcie przyznaje, że wdrożone mechanizmy nie działają idealnie. W procesie wykrywania nadużyć ofiarą zabezpieczeń padają także legalni użytkownicy, którzy nie mają nic wspólnego z destylacją. To klasyczny problem systemów opartych na wykrywaniu anomalii – im ostrzejsze filtry, tym większe ryzyko fałszywych trafień.

Mimo tych zastrzeżeń firma apeluje do innych twórców modeli AI o przyjęcie podobnych rozwiązań ochronnych. Argumentacja jest prosta: jeśli tylko część dostawców zabezpieczy swoje systemy, atakujący przeniosą wysiłek na te, które pozostaną otwarte. Skuteczna obrona wymaga więc skoordynowanego działania całej branży.

Sprawa pokazuje szerszy trend. Modele AI stają się na tyle wartościowym aktywem, że ich ochrona zaczyna przypominać zabezpieczenia własności intelektualnej w innych sektorach technologicznych. Pytanie brzmi, czy dobrowolne inicjatywy poszczególnych firm wystarczą, czy konieczne będą regulacje na poziomie międzynarodowym.

Na razie Anthropic udowadnia, że skuteczna obrona jest możliwa – redukcja wycieku tokenów o 90-99 procent to wynik, który robi wrażenie. Ale wojna z destylacją dopiero się rozkręca, a jej stawka obejmuje nie tylko interesy biznesowe, lecz także bezpieczeństwo globalne.