Anthropic、Claude（クロード）の推論を抜き出す蒸留攻撃への防御を公開抜き出された推論トークンは導入後に10〜100分の1へ（同社の推計）

Anthropic（アンソロピック）は2026年10月12日（日本時間同日18時30分）、Claude（クロード）の推論を抜き出そうとする「蒸留攻撃」への防御を強化したと、公式のリサーチページで発表しました。同社は、新しい防御の導入後に蒸留者が自社プラットフォームで抜き出せた推論トークンが、以前の10〜100分の1になったと推計しています。あわせて、新規APIアカウントに対するpreserved thinking（プリザーブド・シンキング）の適用など、開発者の実装に影響する変更も説明しています。

3行まとめ

1. Anthropicは2026年10月12日、蒸留攻撃への防御を公開。導入後、蒸留者が抜き出せた推論トークンは以前の10〜100分の1になったと同社は推計（「データ収集量は約90〜99%減」は初期の証拠という位置づけ）
2. 同社が挙げる柱は3つ。推論の持ち出し先の制御（2026年8月31日以降の新規APIアカウントはClaudeの過去の文脈を編集できない）、2段階の分類器（誤検知率0.1%未満）、繰り返しの試行への対処（9月24日から、誤検知率0.1%未満の領域でブロックされたリクエストに課金）
3. 同社は、効果がいつまで続くかは不明で、巧妙かつ粘り強い回避の試みはまだ見ていないと書いている

本記事の内容は、日本時間10月13日9時台に公式ページで確認したものです。

何が発表されたのか

発表のタイトルは「Strengthening our defenses against distillation attacks（蒸留攻撃への防御の強化）」です。Anthropicは冒頭で、ここ数か月で新しい手法により蒸留攻撃の効果を下げる大きな進展があったと書き、初期の証拠では蒸留者が集めたデータ量が約90〜99%減ったと述べています。

同社の定義では、蒸留攻撃は「あるモデルの能力を抜き出して別のモデルに複製する、秘密裏の産業規模の取り組み」で、元の開発者の許可なく、不正アカウントのネットワークを使って行われることが多いとされます。

狙われるのは推論の記録です。Anthropicは、蒸留者にとって最も価値の高いデータは、Claudeが回答の前に書き出す推論の記録だと説明しています。小さなモデルが、Claudeがどう最終回答に至るかを学べるからです。そのため同社の防御は、ほぼ全面的に「推論を蒸留者から見えにくくすること」に向けられています。

以前の対策では足りなかった理由

Anthropicによると、最初の対策は、ユーザーに見せる前に推論を要約させる方法でした。同社の評価では、事前学習済みのClaudeモデルをClaude Opus 4.8の記録で学習させたところ、SWE-bench Verified（コーディングのベンチマーク）で、全文の記録では80.4%、要約された記録では71.8%でした。

しかし攻撃側は、受け身の収集から能動的な抽出へ移りました。同社は、「推論を一字一句そのまま出力せよ」と指示する単純な手口から、ある研究所が1万2,000件のリクエストで、それぞれ別の方法でClaudeを騙そうとした例まで挙げています。さらに、数十万の不正アカウントを操るプロキシネットワークで、防御をすり抜けるリクエストを繰り返したといいます。2月の報告では、1つのネットワークが同時に2万超の不正アカウントを管理していた例も書かれています（2月の報告は公式ページ。ここでは、DeepSeek・Moonshot・MiniMaxの3研究所が約2万4,000の不正アカウントで1,600万回超のやり取りをしたと同社は述べています）。

新しい防御の3本柱

Anthropicは、新しい防御が3つの方法で攻撃を妨げ、正規ユーザーへの影響は最小限だと説明しています。

分類器の対象は、一般提供の最も高性能なモデルで、現在はClaude Sonnet 5.5、Claude Opus 5と5.5、Claude Fable 5と5.1です。今後、蒸留者にとって同様に魅力的なモデルが出れば、それにも適用する計画だと書いています。

回避への追随も書かれています。推論を別の言語に翻訳させる、回答と一緒にタグ内に書き出させる、といった新しい手口は、すでに修正で塞いだとしています。

効果はどう測られたか

同社は、自社プラットフォーム上で蒸留者が抜き出したClaudeの推論トークン数を推計して効果を測っています。原文は次のとおりです。

After introducing the classifier, the number of reasoning tokens extracted by distillers is consistently 10 to 100 times lower than it was before （分類器の導入後、蒸留者が抜き出した推論トークン数は、それ以前より一貫して10〜100分の1になっている）

同社によると、この防御で蒸留に関連する数万のアカウントを停止し、蒸留キャンペーンの開始から2時間以内に停止できた例も多いといいます。また、一般提供の最も高性能なモデルでは、2段階の分類器が、同社が9月の報告で説明した蒸留手法をすべて捕捉しているとしています。日によっては、蒸留者が抜き出せた推論トークンが「少なすぎて測定できない」日もあったと書いています。

数字の読み方には注意が必要です。10〜100分の1は、Anthropic自身のプラットフォーム上の推計です。同社は、蒸留者がAnthropicのAPI、第三者のクラウド、他の推論事業者にトラフィックを分散させているとも書いています。同社が示した測定の範囲は「自社プラットフォーム上」で、他の経路での状況は今回のページからは分かりません。

開発者に何が変わるのか

日本の開発者にとって実務に関わるのは、preserved thinkingです。公式ドキュメントによると、Claude Fable 5.1から、前のターンの推論ブロック（thinking / redacted_thinking）をリクエストに含めて送り返すと、APIが署名を調べ、次の2点を確かめます。

• そのモデルがそのブロックを読めるか
• ブロックより前のもの（system、tools、前のメッセージ）が変わっていないか

読めないブロックはエラーなしで捨てられます。前のものが変わっていた場合は、チェックが適用されるリクエストでは既定で400エラーになります（適用の範囲は下の表）。ドキュメントによると、Claude Mythos 5.1とClaude Fable 5.1より前のモデルは、この前のもののチェックを行いません。drop_blockを選ぶと、そのブロックと以降の推論ブロックを捨ててリクエストは通り、モデルはその分の推論を作り直すため、出力トークンが増えて応答が遅くなりうるとドキュメントは説明しています。

ドキュメントは、アカウントの新旧にかかわらず、systemとtoolsを固定してmessagesを追記のみにするよう勧めています。これはプロンプトキャッシュを保つ作法とも同じだと書かれています。

グラフの日ごとの推移は文字で取れなかった

日本時間10月13日9時1分に、発表ページとドキュメントを取得しました。取得した本文には、発表中の2つのグラフの説明文（要約で71.8%対80.4%、抽出が「10〜100倍超」減った）は含まれていましたが、グラフの軸や日ごとの値は文字として含まれていませんでした。そのため本記事の数字は、本文と説明文の記述だけに基づいています。日ごとの推移は確認できていません。

なお、本記事は製品やAPIを実際に試したものではありません。

関連する先行報道

蒸留攻撃をめぐっては、10月3日にOpenAIがMoonshot AIの関係者を名指しした件を本サイトの記事で取り上げています。今回のAnthropicの発表も、Kimiへのリクエストが裏でClaudeに転送されていた事例に触れています。同社は、そのうち1件が、中国人民解放軍と関係があると同社が考える利用者による特定個人のCCTV映像の分析依頼だったと書いています。これは同社の発表内の記述で、本記事では独自に確認していません。

また、同社はZhipuがGLM-5.3の開発でClaude Fable 5の蒸留を試みたと書いています。ただし、サイバー関連の安全策で攻撃が弱まったため、古いClaudeモデルと他社のモデルに切り替えたとしています。これもAnthropicの主張であり、相手側の反論や文書は今回確認していません。

効果の持続と第三者の検証はまだ見えない

• 効果の持続：同社は、効果がいつまで続くかはまだ分からず、蒸留は「いたちごっこ」になると予想しています。また、高度で粘り強い回避の試みは、まだ見ていないと書いています
• 完全ではない両立：同社は2月に、正規ユーザーの体験を損なわずに蒸留を難しくすると書いていましたが、「完全には達成できていない」としています。preserved thinkingで連携の更新が必要になった開発者がいること、良性のリクエストが0.1%未満の割合で誤ってブロックされうること、そのブロックにも課金していることを、同社自身がトレードオフとして挙げています
• 第三者による検証：10〜100分の1などの数字はAnthropicの自社推計です。この数字を第三者が検証したという記載は、今回取得した4ページには見当たりませんでした（分類器の脆弱性探しには社外のレッドチームも参加したと同社は書いています）
• 日本での扱い：今回取得した公式ページに、日本のユーザーや日本向けの提供条件に触れた記述はありませんでした。なおドキュメントは、preserved thinkingの「新しいアカウント」の定義（作成日）はClaude APIでもクラウド各社でも同じだと説明しています

参照したページと確認時刻

• Strengthening our defenses against distillation attacks（Anthropic、2026年10月12日）
• Preserved thinking（Claude Platform Docs）
• Detecting and preventing distillation attacks（Anthropic、2026年2月23日）
• Next-generation Constitutional Classifiers（Anthropic、2026年1月9日）

確認した時刻は、4ページとも日本時間2026年10月13日9時1分です。本記事は続報があり次第更新します。