Anthropic连封数万账号，把抄作业这条路彻底焊死了

2026年10月14日

就在刚才，Anthropic 发了一条帖子，语气像极了期末巡考的老师：自有平台上，蒸馏能拿走的推理数据少了约 90%—99%，规模只剩原来的 1/10—1/100，数万个相关账户被清退。有些账号开练不到两小时，封号通知就来了。为了这批「学生」，它连数万亿 token 的付费流量都拒了——搁谁家账单上都算得起眼的一笔生意。

抄答案这事，其实从来不只是抄答案。AI 圈的人都知道，要蒸馏出一个够用的开源模型，光拿到输出不够，关键得拿到答题前的思维链：看它怎么拆题、怎么试、怎么发现自己想错了。Anthropic 自己做过对照实验，用 Opus 4.8 的对话记录去训练一个预训练过的 Claude 模型，在 SWE-bench Verified 编程测试上，学完整推理的拿到 80.4%，只学摘要的只有 71.8%，差了 8.6 个百分点。差这 8.6 个点，就是「能用」和「好使」的分界线，也是完整草稿为什么值钱的答案。

所以 Anthropic 早早把完整草稿收起来，只给外界看推理摘要。Claude 照常认真做题，想抄的人只能拿到删减版。于是攻击者开始诱导 Claude 把藏起来的推理重新讲一遍。据官方披露，有实验室试过 12000 条请求，每条都换一种骗法，只要试出一种有效写法，就能拿去批量复制。它自己还记录过一个代理网络同时管着超过 2 万个欺诈账号，背后还有更大的账号网络。看起来是用户在排队提问，实际上是训练数据在批量生产。

可把草稿藏起来真没那么省心。Claude 做长任务时自己也得接着读上一轮的思路，所以受保护的推理会被保存下来再交回模型。用户看到的是加密内容，负责续写的 Claude 却必须能看懂。强模型嘴严，攻击者就把它留下的推理交给同一家防护较弱的模型，诱导后者复述出来。8 月发布的一项独立研究就展示过这种路径：加密算法没被破解，秘密照样流出去，因为读过它的模型能被哄着再讲一遍。Anthropic 只好连「谁能接着读」也管起来。

Fable 5.1 和 Opus 5.5 引入了 preserved thinking（保留思考），对 8 月 31 日及以后创建的 API 账户校验此前的上下文——前文被动过手脚，原来的受保护推理就不能照常复用了，弱模型自然读不到结果。到了 Sonnet 5.5，推理还要认组织，只能由最初发起请求的组织接着用。囤一堆账号，不等于攒了一堆能接力抄作业的同学。

留在同一个账号里反复套话，也开始越来越贵。Anthropic 把 Constitutional Classifiers 的防护思路用到反蒸馏上，用两阶段分类系统识别并拦截试图套取完整推理的请求，把真实提取记录交给红队反复测试，攻击者每找到新写法，防守方就补进下一轮防护。按它的评估，这套系统稳健程度已与阻止 Claude 协助制造生物武器的防护大致相当，误报率低于 0.1%。为了守一副解题草稿，用上了这个级别的防御，确实有点没想到。

攻击者开始给请求换装，让 Claude 换一种语言交代推理，或者把内容塞进特殊标签里绕过检查，官方已经观察到这些手法并补了缺口。反复套取推理的账号会被限流，持续尝试的关联账户会被封。光有一套能骗过模型的话术还不够，账号和预算也得扛得住。从 9 月 24 日起，生物、蒸馏攻击和前沿大模型开发这几个低误报率类别，恢复对拦截请求收费——请求还没等到 Claude 回答就被安全系统拒绝，同样要付钱。

真正的麻烦在这：系统一旦认错人，老老实实来干活的客户也可能收到这张账单。Anthropic 自己承认，分类器仍会误拦正常请求，这些请求如今也可能被收费。平台看到的是一笔拦截记录，撞上的开发者面对的却是活没干成、钱还扣了。就算没被误拦，开发者调整系统指令、清理旧工具结果或修改工具列表，也可能让原先的推理块失效。在官方一项多轮编程测试里，思考强度开到最高、每个会话丢一次推理块，输出 token 就多出 20.1%。防盗措施是加强了，可对开发者来说，连整理对话记录都得留心会不会让模型重新开工。

理论上 Anthropic 还是愿意让 Claude 替你干活的。可一旦你想让它教出自己的替代品，这位按 token 收费的老师，已经把封号通知和账单都准备好了。蒸馏这条路被堵得越来越窄，往后那些想白嫖思维链开源复刻的人，要么另找出路，要么就得上更大的成本。这其中的分寸，恐怕还得看下一批开源模型到底能从别处挖到多少料了。

相关链接