前沿模型最值钱的东西正在从答案变成思考过程，围绕它的窃取与反窃取也随之升级。Anthropic于10月12日发布题为加强对蒸馏攻击防御的博文，宣称新上线的防护手段已把蒸馏攻击者从其模型中获取的数据量压低约90%到99%，并罕见地直接点名智谱与月之暗面两家中国公司，披露已封禁数万个关联账号，为此主动拒绝了数万亿词元的付费流量。这家以安全研究著称的公司，第一次把模型窃取防御的细节摊开在阳光下。
要理解这场攻防，得先说清蒸馏这个词的双面性。让小模型向大模型学习是业界常规做法，自家模型蒸馏自家数据完全正当，Anthropic针对的是另一类行为：竞争对手或黑产大规模调用前沿模型的接口，把输出内容当作训练材料，试图复制其能力。据博文披露，攻击者最爱盯的不是最终答案，而是逐步推理过程，其训练价值远高于一条简洁的结论。攻击者甚至直接在提示词里要求模型逐字输出先前的推理内容，因为一步一步的思考记录里藏着大量无法从答案反推的中间判断。
这笔账到底有多值钱，Anthropic给出了一个直观对比：用Claude Opus 4.8完整推理转录训练出的模型，在SWE-bench Verified基准上得分80.4%，而只用摘要版转录训练的对照模型只有71.8%，接近9个点的差距全部来自中间推理细节。另据披露，有一家实验室曾用1.2万个各不相同的诱导请求反复试探，试图骗模型吐出思维链。推理数据既然如此值钱，围绕它的工业化窃取自然愈演愈烈，据称有代理网络控制着数十万个虚假账号。
Anthropic的防御体系分三层。第一层叫保留思维防护，随Claude Fable 5.1与Opus 5.5引入：2026年8月31日之后新建的API账号禁止编辑模型的先前对话上下文，堵住了蒸馏者把受保护的推理块在对话、模型与账号之间搬运，再借防护较弱的旧款模型把思维链全文读出来的老路。配合这一机制，Sonnet 5.5的推理记录仅对发起请求的组织可见，别人借你的账号也读不走。
第二层是两阶段分类器，基于其宪法分类器研究构建，专门拦截试图提取推理内容的请求，已部署在Sonnet 5.5、Opus 5与5.5、Fable 5与5.1等多款模型上。官方披露其误报率低于0.1%，稳健度已与阻止生物武器协助的安全防护大体相当，上线后还陆续拦截了把推理翻译成其他语言、用标签包住答案再输出等新花样。第三层是执法与定价：反复尝试提取推理的账号会遭遇更严格的用量限制直至封禁，自9月24日起，被防护拦下的请求照常计费，让攻击尝试从免费探测变成真金白银的成本。
博文中最受关注的是对两家中国公司的指控。Anthropic称，智谱在构建GLM-5.3期间，蒸馏了美国前沿模型的网络攻防能力，先针对Claude Fable 5下手，在对方网络安全防护削弱其攻击效果后，转而攻击更旧款的Claude型号与另一家实验室的模型；Anthropic还称其研究发现GLM-5.3自身的安全防护很容易被绕过。对月之暗面，Anthropic指其涉及大规模推理词元蒸馏，其中一条代理网络同时控制着超过2万个虚假账号。需要强调的是，以上均为Anthropic单方面指控，两家公司尚未公开回应，相关事实仍有待独立核实。
执法数据同样惹眼：数万个与蒸馏关联的账号被封禁，往往在账号开始攻击后两小时内处理完毕；被拒绝的蒸馏流量换算成词元数以万亿计，这意味着Anthropic为防守主动放弃了可观的收入。据公司自己测算，分类器上线以来，蒸馏者从其平台提取的推理词元量持续保持在从前的十分之一到百分之一之间，有些日子甚至低到无法测量，这组数字正是九成到九成九降幅的出处。
对这组漂亮数字，需要读出两层含义。其一是口径：90%到99%与降低10到100倍是同一件事的两种说法，并非两次独立测量，而且统计范围仅限Anthropic自有平台，蒸馏者的流量同时散布在第三方云平台与其他推理服务商那里，全行业层面的实际窃取量没人说得清。其二是定性：Anthropic自己也把这称为早期证据，承认目前尚未遇到高度复杂、持续对抗的绕过尝试，一旦真正的猫鼠游戏开场，防御优势能维持多久仍是未知数。
同日Anthropic还披露了Opus 5.5的降价动作，输入输出定价降至每百万词元4美元与20美元，缓存读取费用下调60%，官方估算单位任务成本较Opus 5低约四成。降价与防窃取一攻一守指向同一件事：推理能力正在被当作需要重兵把守的核心资产，价格战守市场，防御战守家底，两条战线都不允许失手。
这场围绕思维链的攻防战，本质是前沿能力稀缺性的直接映射。当模型间的能力差距收窄，窃取一条顶尖思维链的边际收益就水涨船高，防御方每堵住一条路，攻击方就会寻找下一条，代理网络、第三方云、接口转售都是现成的通道。对中国公司被点名的部分，舆论场上也需要多一分审慎，指控与事实之间隔着举证与回应的完整流程，在双方各自表态之前，先让子弹飞一会儿。
可以确定的是，模型安全从合规话题变成了资产负债表话题。愿意为防御放弃万亿词元收入的公司，等于向市场宣告自家推理数据值这个价；而更多厂商接下来要回答的问题是，自家的思维链防护做到哪一层了。蒸馏与反蒸馏的军备竞赛，大概率会随着推理模型的普及而长期化，这场仗没有终局，只有下一轮。