Anthropic maakt kopiëren van Claude tot 99 procent lastiger
Anthropic zegt dat concurrenten nog maar een fractie kunnen weghalen van wat ze vroeger uit Claude haalden. In een blogpost van 12 oktober meldt het bedrijf dat nieuwe afweermaatregelen de hoeveelheid buitgemaakte data bij zogeheten distillatie-aanvallen met 90 tot 99 procent hebben verminderd. Tienduizenden accounts zijn inmiddels geblokkeerd.
Wat is een distillatie-aanval?
Bij distillatie stuurt een partij op grote schaal vragen naar een sterk model en gebruikt de antwoorden, en vooral de redeneerstappen, om een eigen model te trainen. Anthropic omschrijft het als heimelijke campagnes op industriële schaal, meestal via netwerken van frauduleuze accounts. Volgens Resultsense testten aanvallers eerder 12.000 verschillend geformuleerde verzoeken en bouwden ze proxynetwerken met honderdduizenden accounts, deels betaald met gestolen betaalgegevens.
Het probleem speelt in de hele sector. OpenAI nam eerder dit jaar ook al maatregelen tegen diefstal van verborgen redeneerstappen.
Drie lagen afweer
De eerste maatregel heet preserved thinking en zit in Claude Fable 5.1 en Claude Opus 5.5. API-accounts die op of na 31 augustus 2026 zijn aangemaakt, kunnen de eerdere context van een gesprek niet meer aanpassen. Daarmee wordt het lastiger om oude redeneringen opnieuw uit het model te trekken. Redeneertranscripten zijn voortaan alleen zichtbaar voor de organisatie die het verzoek deed.
De tweede laag is een classificatiesysteem in twee fasen dat pogingen herkent om de redenering van Claude te onttrekken. Het is gebaseerd op eerder onderzoek naar constitutionele classifiers en heeft volgens Anthropic een foutpositief-percentage van minder dan 0,1 procent.
Wie blijft proberen, krijgt strengere limieten of een ban. Anthropic schrijft dat accounts vaak binnen twee uur na de start van een campagne worden afgesloten. Sinds 24 september rekent het bedrijf ook weer kosten voor verzoeken die door de beveiliging worden tegengehouden, in elk geval in categorieën met minder dan 0,1 procent foutpositieven.
Zhipu en Moonshot bij naam genoemd
Opvallend is dat Anthropic Chinese partijen expliciet noemt. Zhipu zou cybercapaciteiten van Amerikaanse modellen hebben gedistilleerd voor GLM-5.3. Het probeerde eerst Claude Fable 5, maar stapte volgens Anthropic over op een ouder Claude-model toen de cyberbeveiliging de aanvallen afzwakte. In een ander geval werden verzoeken aan de Kimi-modellen van Moonshot ongemerkt doorgestuurd naar Claude. Eén van die verzoeken kwam van een gebruiker die Anthropic in verband brengt met het Chinese Volksbevrijdingsleger en die camerabeelden van een specifiek persoon wilde analyseren.
Dezelfde week publiceerde Anthropic ook onderzoek naar kleine modellen die zichzelf kopiëren op IoT-apparaten. Het bedrijf profileert zich steeds nadrukkelijker op veiligheid, zoals eerder met het cyberprogramma rond Mythos.
Wat betekent dit?
Voor de meeste Claude-gebruikers verandert er weinig. Ontwikkelaars die in hun integraties eerdere context bewerken, moeten wel aan de slag: Anthropic erkent dat zij hun code moeten aanpassen. Ook kan een legitiem verzoek af en toe worden geblokkeerd, en dat verzoek kost dan wel geld, merkt Pulse 2.0 op.
Voor de sector laat het zien hoe waardevol redeneerdata is geworden. Wie een model kan nabootsen zonder zelf miljarden aan training uit te geven, heeft een flinke voorsprong. Anthropic noemt het zelf een kat-en-muisspel en zegt nog geen geavanceerde, volhardende pogingen te hebben gezien om de nieuwe afweer te omzeilen. Dat die pogingen komen, lijkt een kwestie van tijd. Hoe aanvallers AI-tools nu al misbruiken, bleek eerder uit de zaak waarin één hacker met Claude Code Koreaanse banken aanviel.
