封禁多少账号，只能说明平台执行了多少处置，无法证明攻击者少拿到了多少能力。Anthropic 最新报告称，新防线让被提取的推理 Token 降低了 90% 到 99%，同时也让部分开发者修改集成、让少量正常请求被拦截，并开始对某些被拦截请求收费。一套可验证的蒸馏防御，必须同时维护三本账：能力泄漏、正常用户摩擦、误伤成本。
证据核验时间：2026 年 10 月 13 日。Anthropic 的降幅与误伤率来自内部测量，尚无独立复现。Anthropic 也明确表示，新防线尚未遇到高度复杂且持续的规避行动。
蒸馏攻击偷走的是信息优势
知识蒸馏本身是一种合法训练方法。模型开发者可以授权学生模型学习教师模型的输出。蒸馏攻击则是在缺少授权的情况下，利用模型输出或受保护推理复制能力，常见特征是多账号、代理网络和大规模协调流量。
因此，安全目标不能停留在识别可疑 Prompt。防守方真正要压低的是攻击者每投入一单位资金、时间、身份和基础设施，能够带走多少有训练价值的信息。
Anthropic 新报告重点保护隐藏或受保护推理，因为中间推理可能比最终答案提供更多训练监督。Anthropic 在一项内部实验中，用 Claude Opus 4.8 完整推理训练预训练 Claude 模型，SWE-bench Verified 得分为 80.4%；使用推理摘要时为 71.8%。这只能证明该实验中的差异，不能外推为所有模型和任务上的固定价值比例。
攻击者也会适应。Anthropic 描述了跨代理网络和大量账号的提取尝试。OpenAI 在另一场协调蒸馏活动中观察到，两天高峰出现 1.6 万次相关模式请求，来自 4000 多名用户；扩大调查后识别出超过 1.5 万名用户的相关集群。OpenAI 特别注明，这些数字代表尝试，不代表全部提取成功。
这说明蒸馏防御是一个活动级问题。单请求分类器只是其中一个传感器。
Anthropic 现在用了哪些防线
第一层限制推理工件可以去哪里。Preserved Thinking 防止部分新账号编辑历史上下文；不同模型代际之间的推理读取受到约束；Claude Sonnet 5.5 还把推理工件绑定到产生它的组织。
第二层用两阶段分类器识别推理提取尝试。Anthropic 表示该系统经过内部和外部红队，并报告在受保护场景中的误伤率低于 0.1%。
第三层提高重复尝试的成本。持续提取会触发更严格的用量限制和账号处置。Anthropic 还恢复了对部分被安全系统提前拦截请求的收费，适用范围是其报告误伤率低于 0.1% 的领域。
防线部署后，Anthropic 估计自有平台上被提取的推理 Token 降低到原来的 1/10 至 1/100 以下，并称已经封禁数万个相关账号，很多账号在行动开始后两小时内被处理。
这些数字分别回答不同问题。Token 降幅衡量泄漏，误伤率衡量一类用户伤害，封禁时间衡量响应速度，账号数衡量处置规模。把它们压成一个成功率，会掩盖真正的权衡。
三本账的评测合同
第一本账：能力泄漏
这里要计算信息价值，而不只计算请求是否被拦截。测试集至少覆盖普通答案、推理摘要、受保护工件、跨会话迁移、跨模型迁移、工具输出、流式输出和合作云平台。
核心指标包括：每百万请求暴露的受保护 Token、不同技术族的成功率、受控学生模型从捕获数据中获得的能力增益、达到固定学生性能所需成本、第一方与合作平台之间的泄漏差异、补丁上线后的复发时间。
学生模型实验很重要。两批数据即使 Token 数量相同，训练价值也可能差异巨大。反过来，Token 泄漏减少很多，也不保证能力转移同比下降，因为剩余数据可能更集中、更有信息量。
第二本账：正常用户摩擦
安全控制会改变产品接口。Anthropic 承认 Preserved Thinking 要求部分开发者调整集成，被拦截请求也可能产生费用。这些影响应该进入主评测。
至少记录迁移失败、支持工单、额外延迟与 Token 成本、跨账号和跨组织工作流中断、需要申诉的拦截比例、恢复合法访问所需时间、被拒绝或延迟的收入，以及用户是否转向安全性更低的中转渠道。
摩擦本身也可能削弱安全。如果合规工作流变得困难，用户可能导出工件、共享凭据或使用第三方转发。评测对象应该是端到端工作流，而不只是模型端点。
第三本账：误伤成本
误伤率低于 0.1%，在超大规模平台上仍可能对应大量事件。必须同时报告比例、绝对数量、置信区间和分组结果。
重点分组包括语言、国家、账号年龄、组织规模、业务领域、工具使用、长会话、无障碍工作流与合法安全研究。还要区分处置强度：延迟回答、收费拦截、冻结账号和暂停整个组织，造成的损失完全不同。
误伤可以写成一条可核算公式：
误伤成本
= 检测错误率
× 处置严重度
× 纠正时间
× 受影响工作流价值
这样可以避免一个很低的分类错误率，掩盖缓慢或惩罚性过强的申诉流程。
可验证的分层防御架构
把工件绑定到上下文与身份
受保护推理需要携带可验证来源，让服务在会话、账号、组织、模型和合作平台之间检查。策略必须明确哪些迁移有效，哪些迁移需要重新授权。
组合内容信号与行为信号
内容分类器看单次请求，行为系统看重复尝试、账号协同、支付复用、网络重合、能力方向集中度和封禁后的策略变化。两层各自都有盲区。
让处置强度匹配证据强度
处置可以逐级升级：观察、挑战、更低额度、工件限制、临时冻结、人工调查、账号或网络处置。动作越强，越需要更强证据和更清晰的恢复通道。
在保护客户内容的前提下共享信号
OpenAI 指出，合作云平台和工具输出路径需要等价保护。模型提供者可以在可信渠道共享活动指标、工件格式和控制经验，同时限制客户内容和防御细节的暴露。
固定回归测试集
每次更新都应跑四组固定样本：已知提取技术、训练中未见的自适应变体、高价值合法工作流、需要升级判断的模糊请求。三本账分别发布变化。某一本账改善，同时另一本文档被隐藏损坏，仍然不能通过发布门禁。
这也解释了此前Claude Fable 与 Mythos 安全护栏成本评测中的核心结论：真正交付给用户的是模型、分类器、工件策略、回退、访问计划与恢复流程组成的完整系统。只看模型权重，既无法判断能力，也无法判断安全。
发布门禁
- 在冻结测试集上给出带统计边界的泄漏降幅。
- 用学生模型实验验证剩余数据的训练价值确实下降。
- 报告关键用户分组的误伤率和绝对数量。
- 给延迟、成本、迁移和支持影响设置预算。
- 针对每一级处置演练申诉与恢复目标。
- 第一方与合作平台使用等价控制。
- 防线伤害合法流量时具备回滚路径。
- 保留持续 Canary，因为攻击者会在部署后适应。
最终指标应该从封禁账号数，切换为攻击者每单位资源获得的有效能力，同时给正常用户伤害设置明确预算。
常见问题
什么是 AI 蒸馏攻击
未经授权使用模型输出或受保护推理，训练、复制或增强另一个模型。它通常以协调和规模化方式发生，并违反访问条款。
Defensive Distillation 是同一件事吗
不是。Defensive Distillation 是一种较早的鲁棒性训练方法。本文的蒸馏防御，指防止未经授权的能力提取。
为什么隐藏推理比最终答案更有价值
推理轨迹可能包含中间策略、任务拆解和更丰富的监督信号。实际价值取决于教师模型、任务、轨迹质量和学生训练方案。
很低的误伤率能否保证影响很小
不能。总体影响还取决于请求规模、被影响的人群、处置严重度、是否收费和恢复时间。比例之外必须报告绝对事件数和工作流损失。