Nyhet

Anthropic skärper skyddet för Claude mot destillering – utvunnen data ned 90–99 procent

Anthropic uppger att nya försvar har minskat mängden data som aktörer lyckas utvinna från AI-modellen Claude med omkring 90 till 99 procent. Förändringarna har genomförts under de senaste månaderna och beskrivs nu i ett blogginlägg. Syftet är att stoppa så kallad illegal destillering, där Claudes förmågor kopieras till andra modeller utan tillstånd.

Det viktigaste i korthet

• Enligt Anthropic har de nya metoderna minskat den data som destillerare utvinner med omkring 90–99 procent, och antalet utvunna resonemangstokens är 10–100 gånger lägre än tidigare.

• Ett tvåstegsklassificeringssystem körs på Claude Sonnet 5.5, Claude Opus 5 och 5.5 samt Claude Fable 5 och 5.1. Enligt Anthropic är andelen felaktiga blockeringar under 0,1 procent.

• Funktionen "preserved thinking" hindrar nya API-konton, skapade den 31 augusti 2026 eller senare, från att redigera Claudes tidigare kontext.

• Anthropic uppger att tiotusentals konton kopplade till destillering har stängts av, ofta inom två timmar efter att en kampanj startat.

• Sedan den 24 september debiterar Anthropic åter för förfrågningar som blockeras av skyddet innan Claude svarar, inom bland annat destillering.

• Anthropic säger sig ha tackat nej till betydande intäkter och trillioner tokens betalande trafik från destillerare.

Vad har hänt

Destilleringsattacker är dolda, storskaliga kampanjer där en modells förmågor utvinns och återskapas i en annan, utan upphovsutvecklarens tillstånd. Ofta används nätverk av falska konton. Enligt Anthropic gör metoden att företag kan närma sig toppnivån på en bråkdel av tiden och kostnaden. Företaget anser att det är ett problem av två skäl. Dels släpps destillerade modeller utan lika robusta skyddsräcken, vilket kan ge risker inom exempelvis biologi och cybersäkerhet. Dels byggs förmågorna enligt Anthropic in i utländska militära, underrättelse- och övervakningssystem.

Som exempel nämner Anthropic att Zhipu destillerade cyberförmågor från ledande amerikanska modeller när GLM-5.3 utvecklades. Zhipu försökte enligt bolaget destillera Claude Fable 5 men bytte till en äldre Claude-modell och en annan labbs modell när Claudes cykelskydd försämrade attackerna. Den amerikanska myndigheten CAISSI har bedömt GLM-5.3 som den mest cyberkapabla öppna viktmodellen hittills, och Anthropics egen forskning visar att modellens skydd lätt kan kringgås. Anthropic beskriver också ett fall där förfrågningar till Moonshots Kimi i hemlighet vidarebefordrades till Claude, bland annat från en användare som företaget tror var knuten till Kinas folkbefrielsearmé och som ville analysera övervakningsfilm av en enskild person.

Det mest värdefulla för destillerare är Claudes resonemang, alltså tankeprocessen som skrivs ut före svaret. Ett första steg var att låta Claude sammanfatta resonemanget. I Anthropics test nådde en modell tränad på fullständiga transkript 80,4 procent på SWE-bench Verified, jämfört med 71,8 procent med sammanfattade transkript. Angriparna gick då över till aktiv extraktion, med uppmaningar att återge resonemanget ordagrant. Ett labb testade 12 000 olika förfrågningar. De byggde också proxynätverk med hundratusentals falska konton, och ett nätverk hanterade över 20 000 konton samtidigt.

De nya försvaren har tre delar. Första delen styr var resonemang kan hamna: preserved thinking, spärr mot att tidigare modeller med svagare skydd läser resonemanget, och med Sonnet 5.5 är transkripten bara tillgängliga för den organisation som gjorde förfrågan. Andra delen är blockering med klassificerare av den typ som beskrivs i Anthropics forskning om konstitutionella klassificerare. Enligt Anthropic är den nu ungefär lika robust som skyddet mot hjälp med biovapen, och nya tekniker, som att be Claude översätta resonemanget eller skriva ut det i taggar, har täppts till. Tredje delen försvårar upprepade försök genom strängare användningsgränser och avstängningar.

Anthropic skriver att systemet fångar alla destilleringstekniker som beskrevs i företagets rapport från september. Bolaget efterlyser att alla modellutvecklare och plattformar agerar, eftersom destillerare sprider trafik över Anthropics API, molntjänster från tredje part och andra leverantörer.

Vad det betyder för dig i Sverige

Källan tar inte upp Sverige specifikt. Utvecklare som använder Claudes API kan påverkas av preserved thinking, som enligt Anthropic har krävt att vissa uppdaterat sina integrationer. Skyddet gäller nya API-konton skapade den 31 augusti 2026 eller senare. Anthropic uppger även att klassificerarna i färre än 0,1 procent av fallen kan blockera harmlösa förfrågningar, och att sådana blockerade förfrågningar nu debiteras. För vanliga användare beskriver företaget påverkan som minimal.

Det här vet vi inte än

Anthropic vet inte hur länge framgångarna håller i sig och räknar med att destillering förblir ett katt-och-råtta-spel som kräver fortsatt utveckling. Företaget har ännu inte sett något mycket sofistikerat och ihärdigt försök att kringgå skydden. Siffrorna om minskad extraktion gäller Anthropics egen plattform och bygger på företagets uppskattningar. Källan anger inte hur andra utvecklare och plattformar kommer att svara, och inte om några särskilda följder väntas för användare i Sverige.