Raport Anthropic o destylacji zarzuca nową kampanię kopiowania Claude
Anthropic twierdzi, że trzy chińskie firmy AI wygenerowały ponad 186 milionów interakcji z Claude w odrębnych kampaniach zaprojektowanych w celu pozyskania cennych możliwości modelu. Raport Anthropic o destylacji wskazuje Alibaba, Moonshot AI i DeepSeek, opisując taktyki, które rzekomo wykraczały poza zwykłe trenowanie modeli.
Główny zarzut dotyczy danych chain-of-thought, czyli generowanego tekstu przedstawiającego pośrednie rozumowanie, zanim model udzieli ostatecznej odpowiedzi. Anthropic twierdzi, że firmy próbowały uzyskać ten materiał za pośrednictwem skoordynowanych kont, usług proxy oraz technik odtwarzających ślady rozumowania ukryte przez Claude.
Raport wskazuje też na bardziej bezpośrednią kwestię. Anthropic zarzuca, że Moonshot AI i DeepSeek czasami przekazywały zapytania klientów do Claude, przedstawiając uzyskane odpowiedzi jako własne. Jeśli to prawda, praktyka ta zacierała granicę między konkurencyjnym rozwojem modeli a nieujawnionym przetwarzaniem danych klientów.
Pozostają to zarzuty Anthropic, bezpośredniego konkurenta mającego interesy komercyjne i polityczne w wyniku sprawy. Alibaba, Moonshot AI i DeepSeek nie odniosły się publicznie do konkretnych twierdzeń w chwili publikacji raportu. Dostępne dowody nie przeszły niezależnego audytu technicznego.
Spór ma więc dwie warstwy. Jedna dotyczy tego, czy konkurenci niewłaściwie pozyskiwali odpowiedzi Claude na potrzeby trenowania modeli. Druga — czy klienci nieświadomie wysyłali kod źródłowy, dane uwierzytelniające, dokumenty korporacyjne lub informacje o nadzorze do zewnętrznego dostawcy modeli.
Co Anthropic twierdzi, że wykryło
Anthropic zarzuca istnienie skoordynowanego systemu pozyskiwania możliwości, a nie pojedyncze przypadki deweloperów eksperymentujących z odpowiedziami Claude.
Anthropic opublikowało nowe ustalenia 10 września 2026 r. w ramach szerszego raportu o analizie zagrożeń. Firma twierdzi, że od lutego wykryła i zakłóciła nieautoryzowane kampanie wymierzone w modele klasy Opus.
Destylacja modeli jest legalną metodą treningową, w której jeden model uczy się na odpowiedziach wygenerowanych przez inny, zazwyczaj silniejszy system. Twórcy AI powszechnie wykorzystują ją we własnych rodzinach modeli, aby przenosić umiejętności do mniejszych lub wydajniejszych modeli.
Spór zaczyna się, gdy konkurent uzyskuje te odpowiedzi za pomocą kont lub metod dostępu naruszających zasady dostawcy. Kwestionowane działania mogą też obejmować prompty stworzone specjalnie po to, by ujawnić chronione rozumowanie lub inne zastrzeżone zachowania.
Anthropic nazywa rzekome operacje nielegalnymi, ponieważ miały wykorzystywać fałszywe konta, proxy rezydencjalne, jednorazowe adresy e-mail i pośrednie sieci dostępu. Firma twierdzi, że metody te ukrywały, kto składał zapytania, oraz omijały ograniczenia regionalne.
Największą kampanię opisaną w raporcie Anthropic o destylacji przypisano Alibaba i jej organizacji badawczej Qwen. Anthropic twierdzi, że Alibaba wygenerowała ponad 151 milionów interakcji między majem a lipcem 2026 r.
W szczytowym momencie, według przedstawionych danych, operacja Alibaba zbliżała się do 3 milionów interakcji dziennie za pośrednictwem ponad 3 500 fałszywych kont. Zapytania miały dotyczyć inżynierii oprogramowania, rozwoju jądra systemu, zadań agentowych oraz prac wymagających długich sekwencji decyzji.
Anthropic twierdzi, że Alibaba wykorzystywała dwie główne pule kont. Jedna z nich miała obejmować prawie 5 000 kont wspieranych przez proxy rezydencjalne, jednorazowe adresy e-mail i wirtualne karty płatnicze.
Gdy Anthropic zablokowało tę pulę, ruch miał zostać przekierowany na inną ścieżkę dostępu. Ta szybka migracja jest istotna, ponieważ sugeruje zorganizowany proces zdolny do wymiany infrastruktury po podjęciu działań egzekucyjnych.
Anthropic zarzuca także, że Alibaba zmuszała Claude do umieszczania śladów rozumowania w tagach tekstowych przed wygenerowaniem ostatecznej odpowiedzi. Powstałe transkrypcje miały być przygotowywane do nadzorowanego dostrajania, które trenuje model na przykładach pożądanego zachowania.
Według Anthropic przykłady te wspierały rozwój Qwen 3.5, 3.6 i 3.7. Firma twierdzi również, że Claude pomagał w pracach nad środowiskami uczenia ze wzmocnieniem oraz badaniami nad architekturą modeli w Alibaba.
Wnioski te opierają się na własnej telemetrii i procesie atrybucji Anthropic. Publiczny raport zawiera opisy i zagregowane pomiary, ale nie ujawnia źródłowych rejestrów kont ani pełnego zbioru zapytań.
To ograniczenie jest ważne. Czytelnicy mogą ocenić, czy rzekome metody wydają się wiarygodne, lecz nie mogą odtworzyć organizacyjnej atrybucji Anthropic wyłącznie na podstawie opublikowanych materiałów.
Raport mimo to zmienia zakres kontrowersji. Wcześniejsze debaty często skupiały się na tym, czy odpowiedzi jednego modelu przypominały styl innego. Anthropic opisuje teraz trwałą infrastrukturę, ukierunkowane kategorie możliwości i ruch liczony w dziesiątkach milionów interakcji.
Dlatego najnowsze ataki destylacyjne na Claude zasługują na większą uwagę niż zwykłe konkurencyjne testy porównawcze. Anthropic przedstawia je jako trwałe programy ekstrakcji zintegrowane z badaniami nad modelami i operacjami treningowymi.
Raport Anthropic o destylacji wskazuje problem z danymi klientów
Najpoważniejszy zarzut nie dotyczy tego, że chińskie laboratoria uczyły się od Claude, lecz tego, że klienci rzekomo trafiali do Claude, nie mając o tym wiedzy.
Anthropic twierdzi, że Moonshot AI po cichu przekazywało część zapytań kierowanych do modeli Kimi do Claude. Klienci mieli widzieć odpowiedzi wygenerowane przez Claude, prezentowane za pośrednictwem usługi Moonshot.
W jednym dziesięciodniowym okresie Moonshot miało, według Anthropic, przekazać prawie 300 000 zapytań klientów, głównie do modeli Opus. Ruch miał przechodzić przez 5 380 fałszywych kont, które wydawały się działać przede wszystkim z Singapuru i Japonii.
Anthropic twierdzi, że Moonshot zachowało przynajmniej część powstałych interakcji. Według firmy następnie pozyskiwało transkrypcje rozumowania, które mogły wspierać dalsze trenowanie modeli.
Raport opisuje technikę zwaną atakiem cross-session replay. Claude może zwrócić kryptograficzne odniesienie do chronionego rozumowania zamiast ujawniać pełny ślad rozumowania.
To odniesienie, nazywane podpisem rozumowania, umożliwia autoryzowanym systemom kontynuowanie rozmowy bez otrzymywania oryginalnego wewnętrznego tekstu. Anthropic zarzuca, że Moonshot zapisywało te podpisy, otwierało nowe sesje i skłaniało Claude do odtworzenia powiązanego rozumowania.
DeepSeek miało stosować podobny proces. Anthropic twierdzi, że DeepSeek identyfikowało zapytania przychodzące przez narzędzia programistyczne, w tym Claude Code, Claude Agent SDK i OpenCode.
Wybrani użytkownicy byli następnie rzekomo kierowani do Claude Opus. Użytkownicy mieli sądzić, że DeepSeek przetwarza ich prompty, podczas gdy systemy Anthropic faktycznie otrzymywały ten materiał.
Raport przypisuje Moonshot ponad 23 miliony interakcji między majem a lipcem. Osobno przypisuje DeepSeek ponad 12,1 miliona interakcji w ciągu 14 dni lipca.
Liczby te nie są bezpośrednio porównywalne, ponieważ okresy obserwacji są różne. Pozostają też pomiarami raportowanymi przez Anthropic, a nie niezależnie zweryfikowanymi sumami.
Konsekwencje dla prywatności nie zależą wyłącznie od tego, czy każda interakcja stała się danymi treningowymi. Samo przekazanie promptu może ujawnić informacje innemu podmiotowi przetwarzającemu dane, operatorowi infrastruktury i innej jurysdykcji prawnej.
Anthropic twierdzi, że przekazywany materiał obejmował korporacyjny kod źródłowy, dane uwierzytelniające, wewnętrzne plany i dane osobowe umożliwiające identyfikację. Niektóre przykłady dotyczyły użytkowników pracujących z systemami rządowymi lub należącymi do państwa.
Jeden przykład związany z Moonshot miał zawierać informacje z nadzoru z setek kamer w Chengdu. Anthropic oceniło, że użytkownik był prawdopodobnie powiązany z Chińską Armią Ludowo-Wyzwoleńczą i sądził, że Kimi analizuje ten materiał.
Inny przykład dotyczył inżyniera opracowującego wewnętrzny system dla dużego chińskiego przedsiębiorstwa państwowego. Sesja ta miała ujawnić wewnętrzny kod i aktywne dane uwierzytelniające kilku firm.
Przykłady DeepSeek cechowała podobna wrażliwość. Anthropic twierdzi, że jedno zapytanie obejmowało specyfikacje i cele strategiczne programu AI w chińskiej firmie technologicznej.
Inne miało zawierać dane uwierzytelniające połączone z rosyjską rządową bazą danych. Trzecie dotyczyło rzekomo oprogramowania porównującego przemieszczanie się osób z chińskimi rejestrami policyjnymi.
Anthropic zredagowało wrażliwe wartości w swoich publicznych przykładach. Chroni to dotknięte strony, lecz zarazem uniemożliwia osobom z zewnątrz potwierdzenie zapisów lub ustalenie, w jaki sposób dane zostały przekazane.
Raport stwierdza, że nie może ustalić, czy klienci otrzymali powiadomienie o takim przekierowaniu. To sformułowanie ma znaczenie, ponieważ firma obserwuje ruch docierający do Claude, ale nie ma bezpośredniego dostępu do każdej umowy z klientem ani informacji ujawnianych w interfejsie.
Ukryty mechanizm przekierowywania różniłby się od usługi, która jasno informuje użytkowników, że wybiera spośród zewnętrznych modeli. Routery modeli mogą być użyteczne, lecz świadome korzystanie wymaga ujawnienia informacji o dostawcach, przechowywaniu danych i ich obsłudze.
Dla deweloperów praktyczna lekcja wykracza poza każdą z wymienionych firm. Prompty przesyłane do asystentów programistycznych często zawierają szczegóły repozytoriów, wartości konfiguracji, informacje o klientach i fragmenty wewnętrznej dokumentacji.
Sama etykieta modelu nie przesądza, gdzie materiał jest przetwarzany. Zespoły potrzebują kontraktowych odpowiedzi dotyczących podmiotów przetwarzających dane, logiki routingu, przechowywania, wykorzystania w treningu i obsługi geograficznej.
Najnowsze zarzuty łączą więc konkurencję modeli z bezpieczeństwem łańcucha dostaw. Deweloper może zaakceptować jednego dostawcę, jednocześnie nieświadomie przesyłając wrażliwą pracę przez systemy innego dostawcy.
Jak miały działać rzekome ataki destylacyjne na Claude
Anthropic opisuje wielowarstwowy proces ekstrakcji łączący omijanie kontroli dostępu, inżynierię promptów, odzyskiwanie rozumowania i przygotowanie danych treningowych.
Prosto wyjaśniona destylacja modelu AI zaczyna się od nauczyciela i ucznia. Nauczyciel generuje użyteczne przykłady, a uczeń uczy się odtwarzać zachowanie nauczyciela na podstawie tych przykładów.
Proces ten może być autoryzowany. Laboratorium może wykorzystywać odpowiedzi swojego najsilniejszego modelu, aby ulepszyć mniejszy model, który również posiada.
Staje się on antagonistyczny, gdy twórca modelu ucznia ukrywa swoją tożsamość, omija ograniczenia dostępu lub pozyskuje odpowiedzi wbrew zasadom umownym. Granice prawne mogą się różnić, lecz rozróżnienie techniczne i bezpieczeństwa pozostaje istotne.
Anthropic twierdzi, że kampanie najpierw potrzebowały niezawodnego dostępu do Claude. Ponieważ Anthropic nie oferuje Claude komercyjnie w Chinach, operatorzy mieli rzekomo polegać na sieciach proxy i fałszywych kontach.
Sieć proxy kieruje zapytania przez pośredników, którzy mogą ukrywać pierwotną organizację. Anthropic wcześniej opisywało systemy „hydra cluster”, w których zastąpienie jednego zablokowanego konta nie wyłącza szerszej operacji.
W swoich ustaleniach z lutego Anthropic podało, że DeepSeek, Moonshot AI i MiniMax łącznie wygenerowały ponad 16 milionów interakcji za pośrednictwem około 24 000 fałszywych kont.
Lutowe ujawnienie przypisywało Moonshot ponad 3,4 miliona interakcji, a MiniMax ponad 13 milionów. Opisywało wcześniejszą kampanię DeepSeek jako mniejszą i częściowo skoncentrowaną na odpowiedziach wrażliwych na cenzurę.
Wrześniowy raport zarzuca znacznie większy ruch podczas późniejszych kampanii. Same zgłoszone przez Alibaba 151 milionów wymian znacznie przewyższa łączną liczbę ujawnioną w lutym.
Sama skala nie przekłada się automatycznie na lepszy model. Wartość treningowa zależy od doboru pytań, jakości odpowiedzi, filtrowania, zakresu pokrycia oraz tego, jak skutecznie zebrane przykłady trafiają do późniejszych etapów szkolenia.
Domniemani operatorzy robili więc więcej niż zadawanie ogólnych pytań. Anthropic twierdzi, że koncentrowali zapytania na wartościowych zdolnościach, w tym programowaniu, używaniu narzędzi, planowaniu długoterminowym i rozumowaniu agentowym.
Rozumowanie agentowe opisuje zdolność modelu do wyboru i wykonywania kilku działań prowadzących do celu. Może być ono trudne do wytrenowania, ponieważ udane przykłady wymagają spójnych decyzji na wielu etapach.
Ślady rozumowania mogą zwiększać użyteczność takich przykładów. Odpowiedź końcowa mówi uczniowi, jaki rezultat ma naśladować, natomiast pośredni ślad może zapewnić bardziej szczegółową ścieżkę treningową.
Widocznego śladu rozumowania nie należy jednak traktować jako idealnego zapisu wewnętrznych obliczeń modelu. Modele mogą tworzyć wiarygodne wyjaśnienia, które nie odzwierciedlają w pełni procesu stojącego za odpowiedzią.
Ta niepewność nie czyni danych bezwartościowymi. Ustrukturyzowane przykłady rozumowania nadal mogą dostarczać użytecznych wzorców do nadzorowanego dostrajania, ewaluacji lub zadań uczenia ze wzmocnieniem.
Anthropic zarzuca, że Alibaba używał stałych instrukcji, które zmuszały Claude do wypisywania rozbudowanego rozumowania w tagach inline. Firma twierdzi, że wyniki zostały oczyszczone i przekształcone w dane do dostrajania.
Moonshot i DeepSeek miały natomiast dążyć do uzyskania chronionych sygnatur rozumowania. Ich zgłoszona metoda odtwarzania miała na celu odzyskanie pełnego tekstu z odwołań zaprojektowanych tak, by zachować ciągłość bez ujawniania surowego rozumowania.
Anthropic twierdzi, że Moonshot łączył to wydobywanie z zapytaniami pozyskanymi z ruchu klientów. DeepSeek miał wybierać niektóre sesje powiązane z narzędziami programistycznymi firm trzecich i przekazywać je Claude.
Taka mieszanka dawałaby twórcy modelu dwie korzyści. Rzeczywiste prompty klientów dostarczają realistycznych zadań, a silniejszy model nauczycielski zapewnia szczegółowe odpowiedzi i przykłady rozumowania.
Ta sama mieszanka tworzy najostrzejszy konflikt dotyczący prywatności opisany w raporcie. Klienci mogą nieświadomie stać się źródłem promptów, kodu, dokumentów i informacji zwrotnych dla procesu szkoleniowego.
Kampanie wydają się również opierać na powstającym rynku pośredników. Anthropic twierdzi, że niektórzy dostawcy proxy oferują dostęp do ograniczonych modeli, zachowując jednocześnie wymiany, które później mogą zostać sprzedane.
Według raportu współdzielona infrastruktura proxy czasami obsługiwała kilka organizacji. Anthropic twierdzi, że konta powiązane z Alibaba obserwowano także podczas przekazywania zapytań związanych z DeepSeek i Xiaomi.
Nie dowodzi to wspólnej kampanii tych firm. Sugeruje raczej, że wspólni pośrednicy mogą ułatwiać dostęp, jednocześnie komplikując ustalenie odpowiedzialności.
Odpowiedź techniczna musi więc działać na kilku poziomach. Blokowanie pojedynczych kont nie zatrzyma sieci, która stale tworzy konta zastępcze.
Anthropic twierdzi, że korzysta z klasyfikatorów behawioralnych, analizy metadanych, wykrywania skoordynowanych kont i zabezpieczeń na poziomie modelu. Udostępnia także wskaźniki firmom chmurowym, innym laboratoriom AI i władzom państwowym.
Każdy środek wiąże się z kompromisami. Agresywne wykrywanie może utrudniać działanie legalnym badaczom lub klientom, których ruch przypomina zautomatyzowane zbieranie danych.
Zabezpieczenia na poziomie modelu mogą również wpływać na użyteczne funkcje. Ograniczanie ciągłości rozumowania lub zwiększanie utrudnień w dostępie o dużym wolumenie może obniżyć wartość API dla autoryzowanych zastosowań.
Ataki polegające na destylacji Claude są zatem częściowo problemem tożsamości. Dostawcy muszą ustalić, kto kontroluje konto, kto ostatecznie korzysta z jego zapytań oraz czy kilka kont należy do jednego skoordynowanego operatora.
Są także problemem bezpieczeństwa informacji. Dostawcy muszą ograniczać to, co ujawniają wyniki, nie czyniąc modeli mniej pomocnymi w legalnej pracy.
Spór dotyczy również konkurencji w AI
Oskarżenia Anthropic pojawiają się w chwili, gdy chińscy twórcy modeli zwiększają presję konkurencyjną dzięki wydajnym i szeroko dostępnym systemom.
Rodzina Qwen firmy Alibaba, modele Kimi firmy Moonshot oraz systemy DeepSeek konkurują z amerykańskimi modelami granicznymi w programowaniu, rozumowaniu i zastosowaniach biznesowych. Ich postępy podważają założenie, że ograniczenia dotyczące mocy obliczeniowej utrzymają trwałą lukę w możliwościach.
Destylacja może skracać cykle rozwoju, ponieważ laboratorium pozyskuje wysokiej jakości przykłady bez odtwarzania każdego etapu badań modelu nauczycielskiego. Anthropic argumentuje, że nieautoryzowane wydobywanie zmniejsza zarówno czas, jak i koszt potrzebne do zbliżenia się do możliwości Claude.
Argument ten wspiera szersze stanowisko Anthropic w kwestii polityki. Firma opowiada się za kontrolą eksportu i traktuje możliwości modeli jako strategiczne aktywa wymagające ochrony.
Rząd Stanów Zjednoczonych przyjął podobne ujęcie sprawy. We wrześniu FBI, National Security Agency oraz Cybersecurity and Infrastructure Security Agency oskarżyły kilka chińskich firm o prowadzoną na skalę przemysłową ekstrakcję danych z amerykańskich modeli.
Rządowy komunikat miał wymieniać Alibaba, DeepSeek, Moonshot AI, MiniMax, StepFun i Z.ai. Stwierdzono w nim, że działalność była wymierzona w Claude, GPT, Gemini i Grok co najmniej od końca 2024 roku.
Chiny odrzuciły te oskarżenia. Ich Ministerstwo Handlu nazwało zarzuty bezpodstawnymi i opisało destylację jako powszechną praktykę stosowaną przez firmy AI na całym świecie.
Ministerstwo oskarżyło również Stany Zjednoczone o dążenie do monopolu w AI. W odpowiedzi, opisanej w relacji Associated Press, zagrożono środkami odwetowymi, jeśli chińskie firmy zostaną objęte dalszymi ograniczeniami.
Ten sprzeciw uwypukla nierozstrzygniętą granicę. Twórcy modeli w całej branży szkolą je na ogromnych zbiorach materiałów stworzonych przez ludzi, często bez indywidualnych negocjacji z każdym autorem.
Krytycy kwestionują więc, czy wiodące laboratoria mogą rościć sobie wyłączne prawo kontroli nad wygenerowaną wiedzą po zbudowaniu modeli na zbiorach danych o skali internetu. To etyczne wyzwanie dla stanowiska Anthropic, choć nie stanowi odpowiedzi na konkretne zarzuty dotyczące dostępu i prywatności.
Zwykła destylacja również jest szeroko rozpowszechniona. Anthropic samo podkreśla, że metoda staje się problematyczna z powodu obchodzenia zabezpieczeń, ekstrakcji na potrzeby konkurencji i naruszania zasad dostępu.
Debata nie powinna sprowadzać się do twierdzenia, że każde uczenie się na wynikach modeli jest kradzieżą. Badacze porównują modele, użytkownicy zestawiają odpowiedzi, a programiści tworzą aplikacje zależne od kilku dostawców.
Istotne pytania dotyczą upoważnienia, skali, ukrywania i celu. Fałszywe tożsamości oraz ukryte przekierowywanie ruchu sytuowałyby domniemaną działalność daleko poza zwykłym porównywaniem.
Mimo to komercyjny interes Anthropic zasługuje na uwagę. Firma odnosi korzyści, gdy decydenci, klienci i dostawcy usług chmurowych przyjmują jej definicję nielegalnej destylacji.
Silniejsze wymogi dotyczące tożsamości mogłyby chronić Claude, ale mogłyby też podnosić bariery wejścia dla niezależnych programistów. Ograniczenia dotyczące syntetycznych danych treningowych mogłyby sprzyjać firmom, które już kontrolują wiodące modele i duże zastrzeżone zbiory danych.
Publicznie dostępne dowody nie pozwalają jeszcze rozstrzygnąć każdego twierdzenia o przypisaniu odpowiedzialności. Anthropic ma dostęp do wewnętrznej telemetrii, lecz zewnętrzni badacze nie dysponują surowym materiałem potrzebnym do zbadania fałszywie pozytywnych wyników ani alternatywnych wyjaśnień.
Alibaba, Moonshot AI i DeepSeek również nie przedstawiły szczegółowych kontrdowodów. Milczenie nie potwierdza twierdzeń Anthropic, ale pozostawia techniczną relację firmy w dużej mierze bez odpowiedzi.
Wiarygodna odpowiedź musiałaby odnieść się do zgłoszonej infrastruktury kont, wolumenów zapytań, metadanych powiązanych z pracownikami i chronologii. Ogólna obrona destylacji modeli nie wyjaśniałaby nieujawnionego przekierowywania ruchu klientów.
Wyniki konkurencyjne wprowadzają dodatkową komplikację. Wysoka wydajność w benchmarkach nie może ujawnić, w jaki sposób model uzyskał swoje możliwości.
Podobne wyniki mogą wynikać ze współdzielonych danych publicznych, wspólnych metod szkolenia, autoryzowanych danych syntetycznych lub nieautoryzowanej ekstrakcji. Podobieństwa stylu są słabym dowodem bez wspierającej telemetrii.
Zarzuty Anthropic są bardziej szczegółowe, ponieważ opisują zachowanie sieci i wewnętrzne wzorce zapytań. Szczegółowość nie jest jednak tym samym co niezależny dowód.
Właściwy wniosek jest węższy niż polityczne ujęcie każdej ze stron. Anthropic opublikował poważne, technicznie szczegółowe zarzuty, które uzasadniają zewnętrzną kontrolę i bezpośrednie odpowiedzi ze strony wymienionych firm.
Czego twierdzenia jeszcze nie dowodzą
Raport przedstawia istotne obserwacje wewnętrzne, lecz nie dowodzi niezależnie, jak każda zebrana wymiana wpłynęła na wydany model.
Anthropic twierdzi, że wyodrębnione przez Alibaba transkrypcje wspierały Qwen 3.5, 3.6 i 3.7. Łączy również ten ruch z pracami nad środowiskami uczenia ze wzmocnieniem i architekturą modeli.
Są to doniosłe twierdzenia. Publiczny dokument nie przedstawia jednak wag modeli, zapisów treningowych, wewnętrznej komunikacji Alibaba ani odtwarzalnego łańcucha dowodów kryminalistycznych.
To samo ograniczenie dotyczy Moonshot i DeepSeek. Anthropic może zaobserwować zapytanie docierające do Claude, powiązać jego metadane z infrastrukturą i analizować powtarzające się wzorce promptów.
Nie może bezpośrednio obserwować każdego późniejszego etapu w środowisku treningowym konkurenta. Stwierdzenia dotyczące ostatecznego wykorzystania w szkoleniu łączą zatem telemetrię z przypisaniem odpowiedzialności i wnioskowaniem Anthropic.
To rozróżnienie powinno pozostać widoczne. Raport wspiera twierdzenie, że zgodnie z systemami Anthropic skoordynowany ruch docierał do Claude.
Nie pozwala on publicznie obliczyć dokładnych zysków wydajności wynikających z tego ruchu. Nie pokazuje też, że którykolwiek wymieniony model zależał przede wszystkim od wyników Claude.
Szkolenie modeli wykorzystuje wiele źródeł danych i metod. Syntetyczne przykłady mogą poprawiać wąskie umiejętności, podczas gdy szersze możliwości zależą od szkolenia bazowego, oryginalnych badań, uczenia ze wzmocnieniem i oceny przez ludzi.
Zgłoszone łączne liczby wymian mogą również brzmieć bardziej rozstrzygająco, niż są w rzeczywistości. Wymiana może zawierać wartościowy przykład rozumowania, nieudaną próbę, duplikat lub odpowiedź odrzuconą podczas filtrowania.
Bez wskaźników akceptacji i wag treningowych osoby z zewnątrz nie mogą przeliczyć 151 milionów wymian na wiarygodną miarę transferu możliwości.
Istnieje również różnica między naruszeniem warunków świadczenia usług a naruszeniem prawa karnego. Anthropic opisuje kampanie jako ataki, lecz kwalifikacja prawna zależy od jurysdykcji, metod dostępu, umów i mających zastosowanie przepisów dotyczących nadużyć komputerowych.
Zarzuty dotyczące prywatności wymagają odrębnej weryfikacji. Anthropic twierdzi, że widział wrażliwe materiały klientów, jednak nie może potwierdzić, jakie informacje Moonshot lub DeepSeek przekazały tym użytkownikom.
Usługa może ujawniać przetwarzanie przez strony trzecie w warunkach, których użytkownicy rzadko czytają. Nie rozstrzygałoby to, czy ujawnienie było wystarczające, ale mogłoby zmienić faktyczny opis zgody.
Raport pozostawia również otwartą kwestię liczby osób dotkniętych problemem. Przedstawia szczegółowe przykłady i opisuje wrażliwe dane setek użytkowników w powiązanej działalności związanej z przekierowywaniem ruchu, lecz nie publikuje pełnej liczby.
Anthropic ma istotne powody, aby nie ujawniać surowych zapisów. Ich publikacja mogłaby narazić klientów, ujawnić metody wykrywania lub pomóc operatorom projektować sposoby obejścia zabezpieczeń.
Tworzy to znany problem w raportowaniu bezpieczeństwa. Dowody najbardziej przydatne do niezależnej walidacji mogą również osłabiać zabezpieczenia lub szkodzić osobom, których dane zostały przechwycone.
Uważna lektura pozwala więc uniknąć dwóch skrajności. Twierdzeń nie należy odrzucać wyłącznie dlatego, że Anthropic jest konkurentem.
Nie powinny też być powtarzane jako ustalone fakty bez wskazania źródła. Oryginalny materiał właściwie przedstawia te ustalenia jako zarzuty wysunięte przez Anthropic.
Niezależne potwierdzenie mogłoby pochodzić z kilku źródeł. Dostawcy usług chmurowych mogą dysponować zapisami rozliczeń, kont i ruchu sieciowego, które potwierdzałyby opisaną infrastrukturę.
Organy regulacyjne mogłyby zbadać informacje ujawniane klientom oraz transgraniczne przetwarzanie danych. Wymienione firmy mogłyby opublikować wyniki audytów, zasady routingu lub wyjaśnienia techniczne, które bezpośrednio odniosłyby się do zarzutów.
Klienci nie powinni czekać na rozstrzygnięcie każdego sporu, zanim poprawią swoje zabezpieczenia. Organizacje mogą ograniczać użycie sekretów w promptach, monitorować endpointy AI i wymagać zatwierdzonych konfiguracji routingu.
Deweloperzy powinni zmienić każde poświadczenie przesłane do usługi o niepewnym statusie. Powinni też przejrzeć logi pod kątem promptów zawierających tokeny produkcyjne, dane klientów lub nieopublikowany kod.
Te środki ostrożności dotyczą problemu szerszego niż raport Anthropic o destylacji. Asystenci AI są coraz częściej osadzani w edytorach, terminalach, przeglądarkach i aplikacjach biznesowych.
Każda integracja tworzy ścieżkę przepływu danych. Zespoły bezpieczeństwa muszą rozumieć całą tę ścieżkę, a nie tylko markę wyświetlaną w interfejsie.
Trzy sygnały, które warto obserwować w następnej kolejności
O kolejnym etapie zdecydują techniczne potwierdzenia, ujawnienia dostawców oraz mierzalne zmiany w infrastrukturze dostępu.
Pierwszym sygnałem będzie niezależne potwierdzenie ze strony dostawców chmury lub śledczych rządowych. Anthropic twierdzi, że działania opierały się na dużych pulach kont, serwerach proxy i metodach płatności zaprojektowanych tak, by ukryć kontrolę organizacyjną.
Infrastruktura na taką skalę powinna pozostawić ślady poza Anthropic. Dowody potwierdzające wzmocniłyby zarówno atrybucję, jak i zgłoszone łączne wolumeny ruchu.
Brak potwierdzenia nie obalałby tych twierdzeń, ponieważ dostawcy mogą unikać publicznych ujawnień. Jednak działania regulacyjne oparte wyłącznie na nieopublikowanej telemetrii konkurenta spotkałyby się z uzasadnioną kontrolą.
Drugim sygnałem będzie konkretna odpowiedź Alibaba, Moonshot AI lub DeepSeek. Każda z tych firm musi odnieść się do czegoś więcej niż tylko do pytania, czy destylacja jest powszechna.
Kluczowe pytania dotyczą oszukańczego dostępu, routingu klientów, odtwarzania sygnatur rozumowania, retencji danych oraz wykorzystywania wyników Claude w szkoleniu. Szczegółowe zaprzeczenia lub niezależne audyty osłabiłyby relację Anthropic, gdyby bezpośrednio wyjaśniały te obserwacje.
Dalsze milczenie utrzymałoby niepewność. Szerokie polityczne odrzucenie zarzutów również pozostawiłoby kwestie techniczne bez odpowiedzi.
Trzecim sygnałem będzie widoczna zmiana w sposobie, w jaki dostawcy czołowych modeli kontrolują zautomatyzowany dostęp. Anthropic twierdzi, że wzmacnia kontrole tożsamości, wykrywanie zachowań oraz zabezpieczenia przed odzyskiwaniem rozumowania.
Jeśli inne laboratoria i platformy chmurowe przyjmą podobne środki, pokaże to, że branża postrzega skoordynowane pozyskiwanie danych jako wspólne zagrożenie operacyjne. Może to również utrudnić dostęp legalnym deweloperom na nieobsługiwanych rynkach.
Dostawcy mogą wprowadzić bardziej rygorystyczną weryfikację, limity wolumenu lub ograniczenia umowne dotyczące treningu syntetycznego. Mogą też modyfikować wyniki, gdy systemy wykryją wzorce związane z pozyskiwaniem możliwości modelu.
Badacze powinni obserwować, czy te kontrole zmniejszają zgłaszane wolumeny kampanii bez pogarszania normalnego korzystania z API. Zabezpieczenie blokujące rzeczywistych klientów przeniosłoby koszty na szerszą społeczność deweloperską.
Nabywcy korporacyjni powinni zadać dostawcom modeli jedno bezpośrednie pytanie: która firma faktycznie przetwarza każdy prompt? Odpowiedź powinna obejmować modele awaryjne, routery zewnętrzne, retencję, wykorzystanie do szkolenia oraz lokalizacje przetwarzania.
Deweloperzy mogą również oddzielić eksperymenty niskiego ryzyka od repozytoriów zawierających poświadczenia, dane klientów lub wewnętrzną strategię. Lokalna redakcja danych i zatwierdzone bramy zmniejszają szkody wynikające z nieoczekiwanego routingu.
Pracownicy umysłowi powinni traktować poufne prompty jak wszelkie inne dane wysyłane do zewnętrznego podmiotu przetwarzającego. Znajomy interfejs nie gwarantuje znajomej ścieżki infrastruktury.
Główne pytanie nie brzmi już, czy destylacja modeli AI istnieje. Chodzi o to, czy ukryty dostęp i nieujawniony routing stały się rutynowymi narzędziami konkurencji dotyczącej czołowych modeli.
Raport Anthropic o destylacji przedstawia jak dotąd najbardziej szczegółową publiczną wersję tego zarzutu. Jego liczby i opisane mechanizmy wymagają zbadania, lecz wnioski nadal wymagają niezależnej weryfikacji.
W ciągu najbliższych trzech miesięcy warto obserwować dowody infrastrukturalne, bezpośrednie odpowiedzi firm oraz bardziej rygorystyczne kontrole dostawców. Łącznie te sygnały pokażą, czy był to odosobniony spór, czy trwała zmiana w bezpieczeństwie AI.
Do tego czasu czytelnicy powinni rozdzielać dwie oceny. Anthropic udokumentował to, co, jak twierdzi, zaobserwował, podczas gdy wymienione firmy nie potwierdziły publicznie tej relacji.
Zanim zaufasz nazwie modelu na ekranie, zapytaj dostawców, dokąd trafiają prompty. Dla organizacji pracujących z wrażliwymi informacjami pytanie to jest dziś równie istotne jak jakość modelu.
