Claudeに難しい質問をすると、答えの前に「考えている途中」の文章が出ます。あれが全文ではなく要約だということは、APIを触っている人なら知っているかもしれません。なぜ要約なのか。その理由のひとつを、Anthropicが2026年10月12日の発表でかなり具体的に書いていました。
題名は「Strengthening our defenses against distillation attacks」。他社がClaudeの出力、とくに思考の過程を大量に集めて自社モデルの学習に使う「蒸留攻撃」への対策をまとめたものです。新しい対策を入れてから、抜き取られる思考のトークン量は90〜99%減った、というのが本人たちの見立て。
そもそも蒸留攻撃とは何か
蒸留そのものは普通の技術です。大きいモデルの答えを先生役にして、小さいモデルを育てる。仕組みは蒸留とはで書きました。
問題になっているのは、開発元の許可なく、偽のアカウントを大量に使ってそれをやるケース。Anthropicによれば、「数十万の不正アカウント」を束ねたネットワークまであるとか。2月の報告の時点では、1つのネットワークが同時に2万以上のアカウントを動かしていた。偽の身元や盗んだカード情報で作られ、Claudeが提供されていない地域に転売もされていたそうです。
OpenAIも少し前に同じ種類の被害を公表していて、そちらはOpenAIが蒸留攻撃を公表にまとめています。名前の挙がった会社が重なっているのは、偶然ではないでしょう。
狙われているのは答えより「考え方」
発表を読んでいちばん納得したのがここでした。蒸留する側が欲しいのは最終的な答えだけではなく、答えにたどり着くまでの推論の文章です。どう考えたかが丸ごと手に入れば、真似する側の学習効率がまるで違う。
Anthropicは自社で実験もしていた。学習前のモデルに、Claude Opus 4.8の思考を全文で学ばせた場合と、要約だけを学ばせた場合を比べた結果がこれです。
| 学ばせたもの | SWE-bench Verifiedの正答率 |
|---|---|
| Claude Opus 4.8の思考（全文） | 80.4% |
| 同じ思考の要約だけ | 71.8% |
差は8.6ポイント。思考を要約して見せる、という最初の対策はこの差を根拠にしていたわけです。思考の連鎖がモデルの性能を押し上げるなら、その文章そのものに値段がつくのは当然かもしれません。
要約にしたあとは、攻撃する側が「さっきの思考を一字一句そのまま出して」と頼む手口に移ったそうです。初期の防御はすり抜けられ、相手は代理のネットワークで数を増やしてきた。そこで今回の対策、という流れです。
3段構えの対策
発表に書かれている対策を、自分なりに3つに分けて表にしました。
| やっていること | 中身 |
|---|---|
| 思考の持ち出しを制限 | 2026年8月31日以降に作られたAPIアカウントでは、過去の思考部分を書き換えて送り直せない（Claude Fable 5.1とClaude Opus 5.5で導入した「Preserved thinking」）。新しいモデルの思考を古いモデルに読ませることも遮断。Claude Sonnet 5.5の思考は、依頼した組織しか読めない |
| 抜き取りの依頼を止める | 2段階の分類器で検知。誤検知は0.1%未満。Claude Sonnet 5.5、Claude Opus 5と5.5、Claude Fable 5と5.1に適用済み |
| 繰り返す相手を締め出す | 何度も試すアカウントは利用上限を厳しくし、しつこい場合は停止。止めた依頼も課金する（9月24日から） |
分類器の頑丈さについて、Anthropicは生物兵器の手助けを防ぐ仕組みと同じくらいの水準になった、との説明。Claude Fable 5で生物の質問が切り替わる仕組みと同じ系統の技術を、こちらにも回したということでしょう。
塞いだ手口の例も2つ出ていました。前の思考を別の言語に翻訳させる方法と、答えと一緒にタグで囲って書かせる方法。どちらも、言われてみればやりそうな手です。
効果は10分の1から100分の1以下
分類器を入れてから、蒸留する側が抜き取れた思考のトークン量は、導入前の10分の1から100分の1以下で推移しているそうです。日によっては測れないほど少なかった、とも。
停止したアカウントは数万。多くは作業を始めてから2時間以内に止めた、とあります。9月の脅威レポートに書いた手口は、一般に提供している最上位モデルではすべて捕まえた、という書き方でした。
ただ、本人たちも楽観はしていません。いたちごっこだと認めていて、この効果がいつまで続くか分からない、本当に手の込んだ攻撃はまだ見ていない、とはっきり書いている。数字だけ切り取ると強く見えますが、発表の温度はもう少し低めです。
名前が出た2社
中国のZhipu（智譜）について、Anthropicは米国の主要モデルからサイバー攻撃まわりの能力を蒸留し、GLM-5.3の開発に使ったと名指ししました。Claude Fable 5も狙ったものの、防御で効率が落ちたため、古いClaudeと他社のモデルに切り替えたそうです。米国のCAISSIはGLM-5.3を、これまでに公開されたオープンウェイトのモデルで最もサイバー能力が高いと評価しています。
もう1社はMoonshot AI。Kimiに来た依頼が、裏でClaudeに転送されていたと書かれています。その中には、中国人民解放軍の関係者とみられる利用者から、特定の個人を映した監視カメラの映像を分析させる依頼もあったそうです。
どちらも相手側の反論は、今回読んだ範囲では見つけられませんでした。Anthropic側の主張として読んでおくのが妥当だと思います。Anthropicのオープンウェイトへの立場を読むと、この件がなぜ繰り返し強調されるのかも見えてきます。
普通に使っている人への影響
ここが一番気になるところでした。発表から読み取れる範囲で、利用者側に関係するのは次の4つです。
- 表示される思考は今後も要約のまま
- APIで会話の履歴を自前で組み立てている開発者は、Preserved thinkingに合わせて作りを直す必要が出る場合がある
- 普通の依頼が誤って止められることがある（0.1%未満）
- 止められた依頼にも料金がかかる
0.1%未満なら1,000回に1回より少ない。とはいえ、誤って止められた依頼にも課金される点は少し引っかかりました。異議を申し立てる手順は、発表には書かれていません。
自分のように、過去の会話をつなぎ直してAPIに送るような使い方をしている場合は、対話画面とAPIの違いがまた1つ増えたことになります。8月31日より前に作ったアカウントは対象外という書き方なので、新しくアカウントを作ったときに挙動が変わる、という形で表に出てきそうです。
アカウントの乗っ取りでトークンを使われる被害とは別の話なので、そちらが心配ならClaudeのトークンが勝手に消えるのほうを見てください。
業界への注文
最後にAnthropicは、ほかの最先端の開発元にも同じような防御を入れるよう求めた。同程度のモデルが無防備なら、そちらから抜かれるだけだから。クラウド事業者や推論サービスにも、不正アカウントを早く見つけて排除するよう呼びかけていました。
面白いと思ったのは、防御が割に合わない構造を正直に書いている点です。蒸留する側も料金は払う客で、締め出せば売上が減る。Anthropicは、かなりの売上と何兆トークン分の有料の通信を断ってきたのだとか。それでも手法を公開するのは、他社にも同じことをさせたいから。各社がどう応じるかは、まだ分かりません。
出典
すべて2026年10月14日に確認したものです。
- Strengthening our defenses against distillation attacks（Anthropic・2026年10月12日）
- Detecting and preventing distillation attacks（Anthropic・2026年2月の報告）
- Anthropic says it cut Claude reasoning token theft by up to 99%（THE DECODER・2026年10月13日）
