Anthropic 反蒸馏战报：蒸馏数据降 90%-99%、点名智谱，但数字经不起细抠

10 月 12 日，Anthropic 发布《Strengthening our defenses against distillation attacks》，10 月 13 日路透社跟进报道。核心数字：针对 Claude 的蒸馏攻击所窃取的数据量下降了约 90% 到 99%，推理 token 被提取量是之前的 1/10 到 1/100；代理网络反复探测被大幅封堵；数万个涉蒸馏账号被封；检测系统误报率低于 0.1%。

最抓眼球的是点名：Anthropic 指控智谱（Z.ai）在研发 GLM-5.3 期间试图蒸馏 Claude（报告里点的是 Claude Fable 5 的网络安全能力），被拦截后转去薅旧版 Claude 和别家模型。截至路透发稿，智谱没有回应。

先说这篇战报真正重要的三层意思：

第一，大厂正式把“蒸馏”从灰色地带升级成“攻击”。以前蒸馏是圈内公开的秘密——小模型站在大模型肩膀上，便宜又好用。现在 Anthropic、OpenAI、Google 三家口径一致：蒸馏=让对手低成本复制前沿能力，上升到“安全与国家安全风险”。这意味着以后各家对推理过程的访问只会越来越严，靠“套娃”做模型的路基本被堵死了。

第二，数字要拆开看，别被标题带着走。“90%-99%”听起来精确，实际是 10 倍到 100 倍的区间；Anthropic 只公布了前后对比图，没给原始数据和计算方法，第三方没法复现——下降里有多少是真被防住了、多少是攻击者转移去薅别家，Anthropic 自己都承认后者存在。“误报率低于 0.1%”说的是分类器指标，不等于“只有 0.1% 的正常账号被误封”，被封账号里有多少申诉成功，它没说。

第三，对普通开发者的直接影响比新闻大。9 月 24 日起，被拦截的请求照样计费；依赖“改写保留的推理上下文”的合法集成会被新机制误伤，Anthropic 自己都承认有开发者被迫改代码。所以如果你在 Claude 上做了二次开发，现在该检查的是：你的集成碰没碰 preserved reasoning（保留的推理上下文），以及申诉通道顺不顺——别等到被封了才发现。

最后说个耐人寻味的时间巧合：被点名的同一家公司（智谱/Z.ai），同一天（10 月 12 日）发布了法律垂类模型 GLM-Legal。一边是“偷能力”的指控，一边是“交作业”的成绩单——开源与闭源、追赶与封堵的攻防，2026 年下半场只会更激烈。

可信度：官方口径（Anthropic 10-12 报告 + 路透社 10-13 报道交叉）；“智谱蒸馏”为 Anthropic 单方指控，被点名方未回应，非独立调查结论；90%-99% 为厂商自报区间，无第三方复现。