Anthropic Chặn Chưng Cất Claude: Token Suy Luận Bị Lấy Giảm 65 Lần, Chỉ Đo Trên Nền Tảng Của Hãng
Ngày 12/10/2026 Anthropic công bố cách chặn tấn công chưng cất vào lý luận của Claude và nói lượng token suy luận kẻ chưng cất lấy được giảm 10 đến 100 lần. Biểu đồ trong bài ghi trung bình 8.800 lần trước và 135 lần sau, tức khoảng 65 lần, nhưng hai trong 18 ngày sau vọt lên chỉ còn thấp hơn mức cũ
Ngày 12/10/2026 Anthropic công bố cách họ chặn tấn công chưng cất vào lý luận của Claude: bộ phân loại hai tầng chạy trên các mô hình mạnh nhất, "suy nghĩ được bảo toàn" cho tài khoản API mới, cấm tài khoản và tính phí lượt bị chặn. Hãng nói lượng token suy luận kẻ chưng cất lấy được giảm 10 đến 100 lần. Biểu đồ trong bài cho thêm số: trung bình 8.800 lần trước và 135 lần sau (đơn vị là ngày yên nhất sau khi bật), tức khoảng 65 lần, nhưng hai trong 18 ngày sau vọt lên đến mức chỉ còn thấp hơn mức cũ khoảng 11 đến 13 lần (Locaith đọc bằng mắt). Số đo chỉ trên nền tảng của chính Anthropic, trong khi bài thừa nhận kẻ chưng cất còn phân tán qua đám mây bên thứ ba và nhà cung cấp suy luận khác.
Bài đưa ra những con số nào
Chưng cất (distillation) là dùng câu trả lời của một mô hình mạnh để dạy mô hình khác. Anthropic nói loại dữ liệu giá trị nhất là bản ghi lý luận mà Claude viết ra trước khi trả lời, nên các biện pháp của họ nhắm gần như toàn bộ vào việc làm cho phần lý luận khó lấy. Đây là các con số của bài và điều Locaith kiểm được:
| Con số (Anthropic công bố) | Ghi chú của Locaith |
|---|---|
| Giảm "khoảng 90 đến 99%" dữ liệu bị lấy (đoạn mở đầu); "thấp hơn 10 đến 100 lần" (thân bài) | Cùng một khoảng nói hai cách: thấp hơn 10 lần là giảm 90%, thấp hơn 100 lần là giảm 99%. |
| SWE-bench Verified: 80,4% khi học từ bản ghi lý luận đầy đủ, 71,8% khi học từ bản tóm tắt | Chênh 8,6 điểm (Locaith trừ), tương đương giảm 10,7% so với 80,4%. Bài không nêu điểm của chính mô hình đó trước khi chưng cất. |
| Biểu đồ log: trung bình 8.800 lần ngày yên nhất trước khi bật rào chắn, 135 lần sau; đỉnh 56.000 lần | 8.800 chia 135 là 65,2 lần, tức giảm khoảng 98,5% (Locaith chia). Số token tuyệt đối chưa công bố. |
| Dương tính giả dưới 0,1% với bộ phân loại hai tầng, "bền gần bằng" rào chắn chống giúp chế tạo vũ khí sinh học | Hãng tự đánh giá và tự đo. Bài không nói 0,1% tính trên tổng yêu cầu hay trên yêu cầu bị gắn cờ. |
| Cấm "hàng chục nghìn tài khoản", thường trong chưa đầy hai giờ sau khi một tài khoản bắt đầu chiến dịch | Cùng bài: mạng proxy điều khiển "hàng trăm nghìn tài khoản giả"; báo cáo tháng 2: một mạng quản lý hơn 20.000 tài khoản cùng lúc. Bài không nói số tài khoản của các mạng đó ở thời điểm bị cấm. |
| Từ chối "doanh thu đáng kể" và "hàng nghìn tỉ token lưu lượng trả tiền" từ kẻ chưng cất | Không có con số doanh thu: chưa công bố. |
Ba lớp phòng thủ bài mô tả
- Kiểm soát nơi lý luận có thể đi. "Suy nghĩ được bảo toàn" (preserved thinking), ra mắt cùng Claude Fable 5.1 và Opus 5.5, chặn tài khoản API tạo từ 31/8/2026 sửa ngữ cảnh trước đó của Claude, để khó dùng mạng proxy thử lặp lại. Lý luận của các mô hình này cũng không cho mô hình cũ, rào chắn yếu hơn, đọc; với Sonnet 5.5, bản ghi lý luận chỉ tổ chức đã gửi yêu cầu mới truy cập được.
- Chặn và vá. Bộ phân loại hai tầng theo kiểu "constitutional classifiers", đã được đội đỏ trong và ngoài hãng thử và vá. Chạy trên Sonnet 5.5, Opus 5 và 5.5, Fable 5 và 5.1. Bản vá gần đây cắt các kỹ thuật như bảo Claude dịch lý luận trước đó sang ngôn ngữ khác hoặc viết ra trong thẻ kèm câu trả lời.
- Làm lặp lại khó hơn. Người liên tục cố trích lý luận bị hạn mức chặt hơn và có thể bị cấm tài khoản. Từ 24/9, Anthropic tính phí lại các yêu cầu bị chặn trước khi Claude trả lời, ở những nhóm (gồm chưng cất) có dương tính giả dưới 0,1%.
Tóm tắt lý luận: mất 8,6 điểm, nhưng không có mức gốc
Biện pháp sớm nhất là bắt Claude tóm tắt lý luận trước khi hiện cho người dùng. Anthropic thử bằng cách cho một mô hình Claude tiền huấn luyện học từ bản ghi của Claude Opus 4.8: học từ bản ghi đầy đủ thì mô hình đạt 80,4% trên SWE-bench Verified, học từ bản tóm tắt thì đạt 71,8%. Locaith đọc vị trí hai đường tham chiếu trên biểu đồ là khoảng 81% (Claude Opus 4.5) và khoảng 73% (Claude Haiku 4.5), nên khoảng 8,6 điểm bị mất tương đương khoảng cách giữa hai mốc đó.
- Không có mức gốc. Bài không nêu điểm của cùng mô hình tiền huấn luyện khi chưa học gì từ Opus 4.8. Không có nó, Locaith không tính được phần lợi ích của chưng cất bị tóm tắt xoá đi: có thể rất lớn hoặc chỉ một phần.
- 71,8% vẫn cao. Chỉ riêng việc tóm tắt không chặn được chưng cất, và đó là lý do bài kể kẻ tấn công chuyển từ lấy thụ động sang ép Claude lộ lý luận đầy đủ, kể cả một hãng thử 12.000 yêu cầu, mỗi yêu cầu một cách đánh lừa.
- Mô hình học là Claude, không phải của đối thủ. Mức độ chuyển sang kiến trúc khác chưa được bài nêu.
Biểu đồ log: trung bình 65 lần, nhưng không đều
Mỗi cột là một ngày. Đơn vị là ngày +7 (26/9), ngày yên nhất Anthropic đo được sau khi bật rào chắn; ngày 0 là 19/9, ngày đầu tiên bật đủ. Biểu đồ có 31 ngày trước (từ 19/8) và 18 ngày sau (19/9 đến 6/10). Hai đường đứt nét ghi trung bình trước là 8.800 lần và trung bình sau là 135 lần. Thương số 65,2 nằm trong khoảng "10 đến 100 lần" mà bài viết.
Locaith đọc các cột sau ngày 0 bằng mắt: có 7 ngày đánh dấu tam giác ("quá ít để đo"), các cột còn lại cộng lại ra trung bình khoảng 132 lần, sát con số 135 in trên biểu đồ, nên cách đọc đáng tin. Điều lộ ra là phân bố lệch. Hai ngày, 2/10 (ngày +13) và 6/10 (ngày +17), cao khoảng 700 đến 800 lần ngày yên nhất. Hai ngày này chiếm khoảng 63% tổng của 18 ngày sau, và mỗi ngày chỉ thấp hơn mức trung bình cũ khoảng 11 đến 13 lần, tức mép dưới của khoảng "10 đến 100". Ngày +17 cũng là ngày cuối của biểu đồ, trong khi bài đăng ngày 12/10: sáu ngày cuối không có số liệu.
Câu "nhất quán thấp hơn 10 đến 100 lần" đúng ở mức trung bình, còn ở mức từng ngày thì có đuôi dài. Bài cũng nói chưa biết lợi ích kéo dài bao lâu và "chưa thấy nỗ lực tinh vi và bền bỉ nào để vượt các biện pháp này". Biểu đồ không cho biết hai điều: số token tuyệt đối (đơn vị là ngày yên nhất, nên chưa công bố), và cách xác định một yêu cầu chưng cất là "thành công". Nếu việc xác định dựa vào chính bộ phân loại, những lần lọt qua mà không bị nhận diện sẽ không nằm trong số đo. Đó là suy luận của Locaith từ việc bài không mô tả phương pháp, không phải khẳng định số đo sai.
Ngoài nền tảng của Anthropic thì sao
Con số 10 đến 100 lần là "trên nền tảng của chính chúng tôi". Bài viết rõ rằng kẻ chưng cất phân tán lưu lượng qua API của Anthropic, các nền tảng đám mây bên thứ ba và nhà cung cấp suy luận khác, và rằng nỗ lực của Anthropic "sẽ bị phá hỏng nếu kẻ tấn công dễ dàng dùng mô hình có năng lực tương đương mà thiếu rào chắn chống chưng cất tương tự, như Zhipu đã làm với GLM-5.3". Hãng kể Zhipu ban đầu nhắm vào Claude Fable 5, bỏ cuộc sau khi rào chắn an ninh mạng làm hỏng đòn tấn công, rồi chuyển sang một mô hình Claude cũ hơn và mô hình của một phòng thí nghiệm khác. Nói cách khác, đo giảm trên một nền tảng có thể đi cùng với việc lưu lượng dời sang nơi khác, và số liệu của bài không phân biệt được hai khả năng này.
- Đối chiếu bên ngoài Anthropic: Trung tâm của NIST (CAISI) công bố ngày 17/9/2026 rằng GLM-5.3 là "mô hình trọng số mở có năng lực an ninh mạng cao nhất từng phát hành", nhưng chậm khoảng bốn tháng so với tuyến đầu của Mỹ trên tổng hợp các bài đo của họ. Anthropic ngày 29/9 nói rào chắn của GLM-5.3 có thể bị vượt từ 64% đến 100% bằng kỹ thuật đơn giản trong thử nghiệm giả lập của hãng, còn các mô hình Claude có rào chắn không bị vượt trong thử nghiệm đó. Phần này là của Anthropic, chưa có nhóm thứ ba nhân bản.
- Phía Trung Quốc: theo Anadolu (qua Tasnim, 12/9/2026), người phát ngôn Bộ Ngoại giao Mao Ning phản đối "cố gắng bôi nhọ Trung Quốc bằng cách bóp méo sự thật" sau báo cáo tháng 9 của Anthropic. Locaith không tìm thấy phản hồi nào cho bài ngày 12/10.
- Gán cáo buộc: các vụ việc nêu tên (Zhipu, Moonshot) dựa trên nhật ký của chính Anthropic. Locaith không có nguồn độc lập để kiểm.
Cái giá: chặn nhầm, tính phí, đổi tích hợp
Bài thừa nhận ba cái giá: suy nghĩ được bảo toàn buộc một số nhà phát triển cập nhật tích hợp; bộ phân loại có thể (dưới 0,1% trường hợp) chặn nhầm yêu cầu lành tính; và nay các yêu cầu bị chặn đó bị tính phí. Hãng nói đã từ chối "doanh thu đáng kể" và "hàng nghìn tỉ token". Locaith lưu ý hai khoảng trống: mẫu số của 0,1% (hai cách tính cho ra số yêu cầu bị chặn nhầm rất khác nhau) và con số doanh thu.
Nhận định của Locaith dành cho đội phát triển, không phải lời Anthropic: nếu cổng LLM hoặc tác tử của bạn sửa, cắt tỉa hay chuyển khối lý luận cũ giữa các cuộc hội thoại, mô hình hoặc tài khoản, đó đúng là hành vi các rào chắn nhắm tới. Với tài khoản API tạo từ 31/8/2026 trên Fable 5.1 và Opus 5.5, việc sửa ngữ cảnh trước đó bị chặn; nên thử trước trên môi trường phát triển. Doanh nghiệp chỉ dùng Claude qua ứng dụng thì ít bị ảnh hưởng.
Giới hạn của bài này
Locaith chỉ đọc bài công bố của Anthropic và các nguồn liên quan; không có dữ liệu thô nào. Mọi số đo hiệu quả (10–100 lần, 8.800 và 135, 80,4% và 71,8%, dương tính giả dưới 0,1%) do Anthropic tự công bố, chưa có kiểm toán độc lập. Giá trị các cột trên biểu đồ log được Locaith đọc bằng mắt (sai số khoảng 20%), nên con số 700–800 lần, 63% và 11–13 lần chỉ là ước lượng; trung bình 132 từ cách đọc này sát 135 in trên biểu đồ. Các con số 8,6 điểm, 65,2 lần và 98,5% là phép tính của Locaith. Vị trí hai đường tham chiếu Opus 4.5 và Haiku 4.5 cũng đọc bằng mắt. Bài chưa nêu mức gốc của thí nghiệm SWE-bench, mẫu số của 0,1% và phương pháp ước tính token bị lấy.
Nguồn:
- Anthropic — Strengthening our defenses against distillation attacks, 12/10/2026 — toàn bộ số liệu và hai biểu đồ
- Anthropic — Detecting and countering misuse of AI: September 2026, tháng 9/2026 — mục chưng cất bất hợp pháp, Zhipu
- Anthropic — GLM-5.3 and the spread of advanced cyber capabilities, 29/9/2026 — vượt rào chắn 64–100%
- NIST — CAISI's Assessment of Z.ai's GLM-5.3 Cyber Capabilities, 17/9/2026 — đánh giá độc lập của cơ quan chính phủ Mỹ
- Tasnim News Agency (theo Anadolu) — Beijing Rejects 'Distorting Facts' After Anthropic Claims Chinese AI Labs Engaged in Distillation, 12/9/2026 — phản hồi của Bộ Ngoại giao Trung Quốc
Locaith đọc trực tiếp các nguồn trên ngày 14/10/2026. Các phép tính (8,6 điểm, 10,7%, 65,2 lần, 98,5%) và cách đọc biểu đồ bằng mắt là của Locaith. Các câu trích từ văn bản tiếng Anh do Locaith dịch. Ảnh bìa: tranh ghép minh hoạ do Anthropic đăng cùng bài viết (đúng tỉ lệ 1200×630, Locaith không cắt). Ảnh trong bài: hai biểu đồ của Anthropic, Locaith thu nhỏ về bề ngang 1400 px. Ban Biên Tập Locaith biên soạn và phân tích ngày 14/10/2026.