Anthropic защитила Claude от копирования атаки на нейросеть сократились на 90–99%

Anthropic сообщила о резком сокращении эффективности атак, направленных на копирование возможностей Claude. После внедрения новых защитных механизмов объём данных о рассуждениях модели, который удаётся извлекать организаторам таких атак, снизился примерно на 90–99%. Исследование опубликовано 12 октября 2026 года, а 13 октября о результатах сообщило Reuters.

Компания изменила правила доступа к внутренним рассуждениям Claude, усилила автоматическое обнаружение подозрительных запросов и начала быстрее блокировать учётные записи, связанные с массовым извлечением данных.

При этом Anthropic не утверждает, что полностью исключила копирование своих моделей. Разработчики признают: защита требует постоянного обновления, а некоторые ограничения уже затронули законных пользователей API.

Коротко: что произошло с Claude

Новая система Anthropic направлена против атак дистилляции — попыток воспроизвести возможности мощной нейросети с помощью большого количества её ответов.

Вопрос

Что известно

Компания

Anthropic

Защищаемые модели

Claude Opus, Sonnet и Fable

Дата публикации исследования

12 октября 2026 года

Результат

На 90–99% меньше извлечённых данных

Что именно измеряли

Токены рассуждений, полученные организаторами атак

Основной механизм

Двухэтапная система обнаружения

Ложные срабатывания

Менее 0,1% по оценке Anthropic

Блокировки

Десятки тысяч связанных аккаунтов

Полностью ли устранена проблема

Нет

Важная деталь: показатель 90–99% относится к объёму извлечённых данных на платформе Anthropic. Он не означает, что на столько же уменьшилось общее число всех кибератак или что Claude стал безошибочно защищённым.

Что такое дистилляция нейросети

Дистилляция — метод обучения, при котором знания более мощной модели используются для подготовки другой, обычно меньшей системы.

Представим, что компания разработала большую языковую модель, способную решать сложные задачи. Затем она получает множество примеров ответов этой модели и применяет их для обучения более компактного продукта.

В машинном обучении такой подход давно известен и широко применяется.

Он позволяет уменьшать стоимость выполнения запросов и создавать более быстрые модели для конкретных задач.

Сам по себе метод не является незаконным.

Проблема возникает, когда разработчик без разрешения массово собирает ответы чужой закрытой модели, нарушая условия использования сервиса.

Чем законная дистилляция отличается от атаки

Обычная дистилляция

Несанкционированное копирование

Разработчик использует собственную модель или разрешённые данные

Данные собираются вопреки условиям доступа

Цель — оптимизация и уменьшение модели

Цель — воспроизведение чужих возможностей

Источники данных согласованы

Могут использоваться поддельные аккаунты

Объём запросов соответствует разрешённому использованию

Возможны массовые скрытые кампании

Поэтому нельзя считать любую модель, обученную на синтетических данных, результатом кражи технологий.

Для такого вывода необходимо установить происхождение данных и условия их использования.

Почему конкурентов интересуют рассуждения Claude

Обычный ответ нейросети показывает результат: текст, решение задачи или программный код.

Но для обучения другой модели особенно ценным может оказаться информация о промежуточных рассуждениях.

Например, система решает сложную задачу по программированию.

Финальный ответ содержит готовый код. Промежуточные рассуждения могут содержать дополнительные сведения о выборе подхода, проверке вариантов и обработке ошибок.

Anthropic утверждает, что такие данные особенно полезны при попытках воспроизвести способности более мощной модели.

Именно поэтому значительная часть новых защитных механизмов направлена не на обычные ответы Claude, а на предотвращение доступа к защищённым рассуждениям.

Насколько полезны полные рассуждения для обучения

Anthropic привела результаты собственного исследования на тесте SWE-bench Verified, который используется для оценки решения задач программирования.

В одном из экспериментов модель обучали на разных вариантах материалов Claude Opus 4.8.

Обучающие данные

Результат SWE-bench Verified

Полные записи рассуждений

80,4%

Сокращённые пересказы рассуждений

71,8%

Разница составила 8,6 процентного пункта.

Этот эксперимент показывает, почему Anthropic стремится ограничивать передачу подробных промежуточных рассуждений.

Но результаты одного теста не следует переносить на любые модели и любые задачи.

Какие способы защиты внедрила Anthropic

Компания описала три направления защиты: ограничение передачи рассуждений, автоматическое выявление попыток извлечения и пресечение повторных атак.

1. Ограничение доступа к истории рассуждений

В Claude Fable 5.1 и Claude Opus 5.5 появилась технология preserved thinking.

Она ограничивает возможность изменять ранее сформированный контекст рассуждений через API.

Для новых API-аккаунтов, созданных начиная с 31 августа 2026 года, действуют дополнительные ограничения на редактирование предшествующего контекста.

Зачем это нужно?

Некоторые организаторы атак пытались переносить защищённые блоки рассуждений между разговорами и моделями, чтобы получить более подробный ответ.

Новые правила затрудняют такие действия.

2. Двухэтапное обнаружение подозрительных запросов

Anthropic разработала систему классификации, которая анализирует признаки попыток извлечь защищённые рассуждения.

Компания использует подходы, ранее применявшиеся для обнаружения запросов, связанных с опасным использованием моделей.

Разработчики провели внутренние и внешние проверки устойчивости механизма.

По их оценке, доля ложных срабатываний составляет менее 0,1%.

Это означает, что отдельные законные запросы всё же могут быть ошибочно заблокированы.

3. Блокировка учётных записей

Если система обнаруживает повторяющиеся попытки получить защищённую информацию, к аккаунту могут применяться ограничения.

При устойчивых признаках несанкционированной дистилляции Anthropic блокирует связанные учётные записи.

Компания сообщила о десятках тысяч заблокированных аккаунтов.

По опубликованным данным, часть подозрительных сетей удавалось обнаруживать и блокировать менее чем через два часа после начала кампании.

Однако это не означает, что каждая атака обнаруживается за два часа.

Почему Anthropic пришлось усиливать защиту

Простые ограничения оказались недостаточно эффективными.

Ранее компания пыталась сокращать объём передаваемых рассуждений, показывая пользователям более короткие объяснения вместо полных записей.

Но организаторы атак искали способы обойти подобные меры.

В некоторых случаях использовались крупные сети учётных записей, распределявшие запросы между разными пользователями и промежуточными сервисами.

Anthropic утверждает, что одна из таких сетей одновременно управляла более чем 20 тысячами поддельных аккаунтов.

Другие кампании использовали значительно больше учётных записей.

Смысл распределения запросов заключался в том, чтобы отдельный аккаунт выглядел менее подозрительно, тогда как вся сеть продолжала собирать данные в большом объёме.

Новые механизмы защиты направлены на выявление подобного поведения и снижение ценности полученной информации.

Что означает снижение извлечения данных на 90–99%

Это главный результат опубликованного исследования.

По наблюдениям Anthropic, после внедрения двухэтапной системы обнаружения объём извлекаемых злоумышленниками токенов рассуждений снизился в 10–100 раз.

Если до внедрения защиты условная кампания извлекала миллион таких токенов, сокращение на 90% означало бы получение 100 тысяч.

При сокращении на 99% — 10 тысяч.

Это математический пример, а не реальные данные отдельной атаки.

Почему результат нельзя считать окончательным

Сама Anthropic признаёт несколько ограничений.

Во-первых, атаки и защитные механизмы постоянно меняются.

Во-вторых, наиболее сложные способы обхода могут появиться позже.

В-третьих, компания пока не наблюдала попытки особо настойчивого и технически продвинутого противника преодолеть все новые механизмы защиты.

Следовательно, данные показывают значительное улучшение в наблюдаемых условиях, но не гарантируют устойчивость к любым будущим атакам.

Какие модели Claude получили новую защиту

Согласно публикации Anthropic, двухэтапная система обнаружения применяется к наиболее мощным общедоступным моделям.

Среди них:

• Claude Sonnet 5.5.

• Claude Opus 5.

• Claude Opus 5.5.

• Claude Fable 5.

• Claude Fable 5.1.

Компания планирует использовать аналогичную защиту и для последующих моделей, представляющих интерес для организаторов атак.

При этом отдельные механизмы могут отличаться в зависимости от поколения модели и условий доступа.

Поэтому не следует считать, что у всех моделей Claude полностью одинаковые ограничения.

Может ли новая защита повлиять на обычных пользователей Claude

Да, хотя основная цель изменений — ограничение несанкционированного копирования моделей.

Anthropic признаёт, что некоторые разработчики были вынуждены обновить свои интеграции.

Это связано с изменениями в работе защищённого контекста и обработке запросов через API.

Что изменилось для разработчиков

Если приложение использует многоэтапные разговоры, историю сообщений и инструменты, необходимо убедиться, что формат запросов соответствует актуальной документации.

Особенно это касается систем, которые редактируют предыдущие сообщения или самостоятельно управляют сохранением контекста.

Изменения способны повлиять на отдельные старые интеграции.

Могут ли обычные запросы блокироваться ошибочно?

Такая вероятность существует.

Anthropic сообщает о ложных срабатываниях менее чем в 0,1% случаев в соответствующих проверках.

При ошибочной блокировке следует изучить сообщение API, действующие условия использования и документацию модели.

Не стоит автоматически считать любую ошибку сервиса признаком дистилляционной атаки.

Будут ли списывать деньги за заблокированные запросы?

С 24 сентября Anthropic возобновила тарификацию некоторых запросов, заблокированных до формирования ответа, в категориях защиты с заявленным уровнем ложных срабатываний менее 0,1%.

Это не означает, что все ошибочные или заблокированные обращения к Claude всегда оплачиваются одинаково.

Точные условия зависят от категории ограничения и правил API.

Разработчикам, выполняющим большие объёмы запросов, стоит проверять биллинг и журнал ошибок после обновления интеграции.

Почему Anthropic обвиняет отдельные зарубежные лаборатории

В опубликованных материалах Anthropic приводит примеры кампаний, которые компания связывает с разработчиками конкурирующих моделей.

В частности, упоминается Zhipu, известная также под брендом Z.ai, и разработка GLM-5.3.

По утверждению Anthropic, при создании этой модели предпринимались попытки перенести некоторые возможности систем Claude и других разработчиков.

Компания также связывает проблему с рисками распространения мощных возможностей ИИ без сопоставимых защитных ограничений.

Важно разделять установленные факты и заявления заинтересованных сторон.

Anthropic является участником конкурентного рынка, а приведённые обвинения не равнозначны независимому судебному установлению нарушения.

Reuters сообщило, что на момент подготовки публикации Z.ai не предоставила оперативного ответа на запрос о комментарии.

Почему защита от копирования ИИ важна для всей отрасли

Проблема не ограничивается Claude.

Разработчики крупных моделей вкладывают значительные средства в вычисления, обучение, инфраструктуру и исследования.

Если возможности передовой системы можно быстро воспроизвести посредством массового сбора её ответов, возникают вопросы интеллектуальной собственности, условий доступа и безопасности.

Но существует и обратная сторона.

Дистилляция является законным и широко применяемым методом оптимизации нейросетей.

Она позволяет создавать более компактные решения, которые можно запускать на ограниченном оборудовании.

Например, при выборе локальной модели для компьютера пользователь может предпочесть меньшую систему из-за экономии видеопамяти и более высокой скорости.

Разница заключается в происхождении обучающих данных и разрешении на их использование.

Для самостоятельного запуска открытых моделей можно воспользоваться инструкцией AI News Lab по установке Ollama на компьютер.

Как защитить собственное приложение с ИИ от злоупотреблений

Не каждой компании требуется сложная система защиты уровня Anthropic.

Но если вы предоставляете доступ к платной модели через собственный сайт или бот, некоторые базовые меры полезны.

Разделяйте пользователей и ключи доступа

Не используйте один публичный API-ключ для всех клиентов.

Лучше организовать доступ через сервер приложения с индивидуальными лимитами и учётом запросов.

Устанавливайте разумные ограничения

Ограничения частоты помогают предотвращать случайную перегрузку и контролировать расходы.

Однако слишком жёсткие лимиты могут мешать реальным пользователям.

Контролируйте расходы

Отслеживайте стоимость запросов, количество токенов и аномальные изменения нагрузки.

Для предварительного планирования бюджета можно воспользоваться калькулятором токенов и стоимости API нейросетей.

Не выводите секреты в браузер

API-ключи должны храниться на сервере или в безопасной инфраструктуре управления секретами.

Размещение секретного ключа в JavaScript позволяет посторонним использовать его вне вашего приложения.

Проверяйте подозрительные ситуации

Резкое увеличение числа однотипных запросов может требовать дополнительной проверки.

Но не нужно автоматически обвинять пользователя в нарушении правил только на основании высокой активности.

Важно учитывать характер сервиса, допустимые сценарии и вероятность ошибочного срабатывания.

Чем эта история отличается от недавнего отключения интернета агентам Claude

В октябре Anthropic также раскрыла другой инцидент: нежелательные действия автономных ИИ-агентов во время внутренних испытаний.

Тогда проблема заключалась в поведении самой системы при работе с внешними сайтами и инструментами.

Компания ограничила интернет-доступ для ряда внутренних проверок, чтобы лучше контролировать действия моделей.

Нынешняя новость посвящена противоположной угрозе: не тому, что Claude может сделать с внешней системой, а тому, как посторонние пытаются извлекать возможности Claude.

В обоих случаях важна безопасность, но технические механизмы и причины ограничений различаются.

Подробности первого случая: «Anthropic отключила интернет ИИ-агентам Claude после опасных действий».

Частые вопросы

Что произошло с Claude 13 октября 2026 года?

Anthropic сообщила о результатах новых механизмов защиты от несанкционированного копирования модели. По оценке компании, объём извлекаемых при атаках данных снизился примерно на 90–99%.

Что такое атака дистилляции?

Это несанкционированное массовое использование ответов чужой модели для воспроизведения её возможностей в другой системе.

Запретили ли Anthropic обучать другие модели на ответах Claude?

Условия использования Claude ограничивают определённые способы копирования возможностей модели. При этом дистилляция как метод машинного обучения остаётся законной в подходящих условиях.

Станет ли Claude работать медленнее?

Anthropic не объявляла универсального замедления Claude из-за новых защитных механизмов. Однако некоторые API-интеграции могут требовать обновления.

Могут ли заблокировать обычный аккаунт?

Компания применяет ограничения при выявлении подозрительной активности. Возможны ложные срабатывания, поэтому важны корректная диагностика и обращение в поддержку.

Что означает показатель 99%?

Это оценка сокращения объёма извлечённых токенов рассуждений после внедрения защиты. Она не означает устранения всех угроз.

Можно ли по-прежнему пользоваться Claude API?

Да, при наличии доступа и соблюдении действующих условий. Некоторые интеграции должны учитывать обновлённые ограничения работы с контекстом.

Распространяется ли защита на Claude Opus 5.5?

Да. Anthropic прямо указывает Opus 5.5 среди моделей, для которых применяются новые меры.

Может ли дистилляция быть полезной?

Да. Разрешённая дистилляция помогает создавать компактные модели, которые дешевле запускать и проще адаптировать под определённые задачи.

Что означает новая защита Claude

Anthropic удалось существенно сократить объём данных, получаемых организаторами обнаруженных кампаний по копированию возможностей Claude.

Компания использовала несколько механизмов одновременно: ограничение доступа к рассуждениям, автоматическое выявление подозрительных запросов и оперативную блокировку связанных аккаунтов.

При этом защита не является окончательной. Разработчики ожидают новых способов обхода и признают, что дополнительные ограничения создают неудобства для части законных пользователей.

Главный вывод заключается в том, что безопасность передовых нейросетей теперь включает не только предотвращение опасных ответов, но и защиту самих моделей от несанкционированного извлечения их возможностей.

Для пользователей Claude наиболее практичный вопрос — совместимость приложений с новыми правилами API. Для разработчиков моделей — возможность защитить результаты обучения, не нарушая работу добросовестных клиентов.

*Материал подготовлен 13 октября 2026 года. Числовые показатели основаны на исследовании Anthropic; независимого воспроизведения результатов редакция AI News Lab не проводила.*