مهر
اخبار
دفاع تازه‌ی Anthropic در برابر تقطیر مدل؛ استخراج استدلال Claude تا ۹۹ درصد کم شد
شرکت Anthropic می‌گوید لایه‌های دفاعی تازه‌اش، مقدار استدلال Claude را که «تقطیرکنندگان» می‌توانند بردارند ۹۰ تا ۹۹ درصد کاهش داده است؛ خبری که برای هر کسب‌وکار و توسعه‌دهنده‌ای که با API مدل‌های زبانی کار می‌کند اهمیت دارد.
لیست مطالب
۱. ماجرا چیست و چرا مهم است؟
شرکت Anthropic، سازنده‌ی خانواده‌ی مدل‌های Claude، در تاریخ ۱۲ اکتبر ۲۰۲۶ پستی با عنوان «تقویت دفاع‌ها در برابر حملات تقطیر» منتشر کرد. ادعای اصلی ساده است: روش‌های جدید، داده‌ای را که تقطیرکنندگان از Claude برداشت می‌کنند حدود ۹۰ تا ۹۹ درصد کم کرده‌اند. خود شرکت تأکید می‌کند که این عدد بر اساس شواهد اولیه است و نباید آن را نتیجه‌ی قطعی و همیشگی دانست.
اهمیت خبر فقط به یک شرکت برنمی‌گردد. رقابت در هوش مصنوعی تا حد زیادی بر سر «چه کسی ارزان‌تر و سریع‌تر به توانایی سطح بالا می‌رسد» است. اگر بشود توانایی یک مدل پیشرو را با هزینه‌ی بسیار کمتر در مدل دیگری کپی کرد، ارزش سرمایه‌گذاری میلیارد دلاری روی آموزش مدل‌ها زیر سؤال می‌رود. برای آشنایی بیشتر با بازیگران این میدان می‌توانید مقاله‌ی OpenAI چیست را هم بخوانید.
۲. تقطیر مدل (Distillation) دقیقاً چیست؟
در تعریف Anthropic، حمله‌ی تقطیر یعنی تلاش پنهانی و در مقیاس بزرگ برای کپی‌کردن توانایی یک مدل در مدل دیگر، بدون اجازه‌ی توسعه‌دهنده‌ی اصلی. این کار معمولاً با شبکه‌ای از حساب‌های جعلی انجام می‌شود. مهاجم سؤال‌های زیادی از مدل قدرتمند می‌پرسد، پاسخ‌ها را جمع می‌کند و با آن‌ها مدل خودش را آموزش می‌دهد.
خود تقطیر در دنیای تحقیقاتی یک تکنیک رایج و قانونی است؛ شرکت‌ها از آن برای ساخت نسخه‌های کوچک‌تر مدل‌های خودشان استفاده می‌کنند. مشکل زمانی پیش می‌آید که کسی بدون مجوز از مدل رقیب این کار را انجام دهد. به گفته‌ی Anthropic، چنین روشی به شرکت‌ها اجازه می‌دهد توانایی‌های پیشرو را با کسری از زمان و هزینه‌ی توسعه تقریب بزنند.
۳. چرا «زنجیره‌ی استدلال» ارزشمندترین هدف است؟
طبق گزارش، گران‌بهاترین داده برای تقطیرکننده، متن استدلال مدل است، چون نشان می‌دهد مدل چگونه به جواب می‌رسد و فقط خود جواب را نمی‌دهد. Anthropic عددی هم برای نشان‌دادن این اهمیت آورده است: مدلی که روی متن کامل استدلال آموزش دیده در آزمون SWE-bench Verified امتیاز ۸۰٫۴ درصد گرفته، در حالی که مدلی که فقط روی خلاصه‌ی استدلال آموزش دیده ۷۱٫۸ درصد کسب کرده است.
به همین دلیل مهاجم‌ها از روش «منفعل» به روش «فعال» رفتند. در روش منفعل، درخواست‌های عادی فرستاده می‌شود و روی پاسخ‌ها آموزش انجام می‌گیرد. در روش فعال، از Claude خواسته می‌شود استدلال قبلی‌اش را عیناً بازنویسی کند، به زبان دیگری ترجمه کند یا داخل تگ‌هایی کنار جواب بنویسد. Anthropic می‌گوید یک آزمایشگاه بی‌نام ۱۲ هزار درخواست فرستاد که هر کدام روش متفاوتی برای فریب‌دادن Claude و افشای استدلال داشت.
۴. لایه‌ی اول: کنترل مسیر استدلال
اولین لایه‌ی دفاعی جلوی بیرون‌رفتن متن استدلال را می‌گیرد. در مدل‌های Claude Fable 5.1 و Opus 5.5 قابلیتی به نام «preserved thinking» فعال شده است. بر اساس آن، حساب‌های API که از ۳۱ اوت ۲۰۲۶ به بعد ساخته شده‌اند نمی‌توانند زمینه‌ی قبلی Claude را ویرایش کنند؛ ترفندی که مهاجم‌ها برای بیرون‌کشیدن استدلال محافظت‌شده به کار می‌بردند.
علاوه بر این، استدلال محافظت‌شده‌ی این مدل‌ها دیگر برای مدل‌های قدیمی‌تر و با پادمان ضعیف‌تر قابل خواندن نیست. در Claude Sonnet 5.5 هم متن استدلال فقط برای سازمانی نمایش داده می‌شود که درخواست را فرستاده است. این یعنی حتی اگر یک واسطه یا سرویس ثالث وسط راه باشد، نمی‌تواند به‌راحتی از استدلال برداشت کند.
۵. لایه‌ی دوم: طبقه‌بند دومرحله‌ای
لایه‌ی دوم یک طبقه‌بند دومرحله‌ای است که بر پایه‌ی تحقیقات Anthropic درباره‌ی «constitutional classifiers» ساخته شده و تلاش برای استخراج استدلال را شناسایی و مسدود می‌کند. شرکت می‌گوید این سامانه هم به‌صورت داخلی و هم توسط افراد بیرونی آزمون نفوذ شده و آسیب‌پذیری‌های پیدا‌شده رفع شده است.
نکته‌ی جالب، مقایسه‌ی استحکام آن است: به ادعای Anthropic، میزان مقاومت این طبقه‌بند تقریباً هم‌سطح پادمان‌هایی است که برای جلوگیری از کمک به ساخت سلاح زیستی دارد. نرخ خطای مثبت‌کاذب، یعنی مسدودشدن اشتباه درخواست‌های بی‌خطر، کمتر از ۰٫۱ درصد گزارش شده است. این طبقه‌بند روی Sonnet 5.5، Opus 5 و 5.5 و Fable 5 و 5.1 فعال است و قرار است برای مدل‌های جذاب آینده هم گسترش یابد.
شرکت می‌گوید وصله‌های سریع هم چند ترفند مشخص را بسته‌اند، مثل درخواست ترجمه‌ی استدلال قبلی به زبانی دیگر یا خواستن نوشتن آن داخل تگ‌ها در کنار پاسخ نهایی.
۶. لایه‌ی سوم: سخت‌گیری روی تکرارکننده‌ها
لایه‌ی سوم اقتصادی و عملیاتی است. حساب‌هایی که پیوسته تلاش می‌کنند استدلال را بیرون بکشند با محدودیت مصرف سخت‌تر روبه‌رو می‌شوند و در صورت تکرار، بن می‌شوند. از ۲۴ سپتامبر ۲۰۲۶ نیز درخواست‌هایی که سپر امنیتی پیش از پاسخ‌دادن Claude مسدود می‌کند، در حوزه‌های مشخصی از جمله تقطیر، هزینه‌بر هستند.
Anthropic می‌گوید تا امروز ده‌ها هزار حساب مرتبط با تقطیر را بن کرده و در مواردی این کار ظرف دو ساعت پس از شروع کمپین انجام شده است. همچنین می‌گوید درآمد قابل‌توجهی و ترافیک پولی «در حد تریلیون‌ها توکن» را از تقطیرکنندگان رد کرده است.
۷. چه کسانی در گزارش نام برده شده‌اند؟
این گزارش فقط درباره‌ی فناوری نیست و نام آزمایشگاه‌هایی هم در آن آمده است. شرکت Zhipu طبق ادعای Anthropic برای توسعه‌ی GLM-5.3 توانایی‌های سایبری مدل‌های آمریکایی را تقطیر کرده و پس از اینکه پادمان‌های سایبری Claude حملاتش را مختل کرد، به مدل قدیمی‌تر Claude و مدل یک آزمایشگاه دیگر رو آورده است. نهاد CAISI وابسته به NIST هم مدل GLM-5.3 را سایبری‌ترین مدل متن‌باز عرضه‌شده تا امروز ارزیابی کرده، هرچند توانایی آن را به‌طور محسوسی پایین‌تر از مدل‌های پیشروی آمریکا دانسته است.
درباره‌ی شرکت Moonshot گفته شده درخواست‌های مدل‌های Kimi به‌طور پنهانی به Claude ارسال می‌شده است. Anthropic می‌گوید یکی از کاربران را مرتبط با ارتش آزادی‌بخش خلق چین می‌داند که می‌خواسته تصاویر دوربین مداربسته‌ی یک فرد را تحلیل کند. همچنین در گزارش‌های قبلی این شرکت، از DeepSeek، MiniMax، Alibaba و Xiaomi هم نام برده شده بود. این‌ها ادعاهای خود Anthropic هستند و طرف‌های نام‌برده‌شده در این منابع پاسخی نداده‌اند.
شبکه‌های واسط نیز بخشی از ماجرا هستند: طبق گزارش، این شبکه‌ها صدها هزار حساب جعلی کنترل می‌کردند، دسترسی را در مناطق پشتیبانی‌نشده می‌فروختند و از هویت و کارت‌های پرداخت جعلی یا دزدیده‌شده استفاده می‌کردند. یکی از آن‌ها همزمان بیش از ۲۰ هزار حساب را مدیریت می‌کرد.
۸. هزینه‌ی دفاع برای کاربران و توسعه‌دهنده‌ها
Anthropic صادقانه می‌پذیرد که دفاع‌ها بی‌هزینه نیستند. «preserved thinking» باعث می‌شود بعضی توسعه‌دهنده‌ها مجبور شوند یکپارچه‌سازی‌های خود را به‌روز کنند. طبقه‌بندها هم کمتر از ۰٫۱ درصد مواقع ممکن است درخواست بی‌خطر را اشتباهاً مسدود کنند و چون درخواست‌های مسدودشده حالا هزینه دارند، این خطای کوچک برای کاربر پولی هم هست. این شرکت حتی اعتراف می‌کند هدفی که در فوریه اعلام کرده بود، یعنی سخت‌کردن تقطیر بدون تأثیر روی کاربران قانونی، هنوز به‌طور کامل محقق نشده است.
اگر شما تازه با API مدل‌ها کار می‌کنید، توصیه‌ی عملی این است که مستندات را دنبال کنید و پیش از ارتقای مدل، یکپارچه‌سازی را در محیط آزمایشی تست کنید. برای مهارت‌های پایه‌ی پرامپت‌نویسی هم راهنمای نوشتن پرامپت برای مبتدی‌ها نقطه‌ی شروع خوبی است.
۹. معنای این خبر برای رقابت هوش مصنوعی
این اتفاق نشان می‌دهد «سرقت توانایی» به یک مسئله‌ی امنیتی و اقتصادی جدی تبدیل شده است. Anthropic استدلال می‌کند مدل‌های تقطیرشده‌ی غیرمجاز بدون پادمان‌های مشابه به مرز توانایی نزدیک می‌شوند و خطر سوءاستفاده در حوزه‌هایی مثل زیست‌شناسی و امنیت سایبری را بالا می‌برند، و این توانایی‌ها ممکن است به سامانه‌های نظامی، اطلاعاتی و نظارتی کشورهای دیگر هم برسد. برای نگاه واقع‌بینانه‌تر به قابلیت‌ها و محدودیت‌های این فناوری، پتانسیل و محدودیت‌های واقعی هوش مصنوعی را ببینید.
از سوی دیگر شرکت از بقیه‌ی بازیگران صنعت می‌خواهد همکاری کنند. به گفته‌ی Anthropic، تقطیرکنندگان ترافیک خود را بین API این شرکت، سرویس‌های ابری ثالث و دیگر ارائه‌دهندگان استنتاج پخش می‌کنند، بنابراین جلوگیری مؤثر نیازمند شناسایی سریع و حذف حساب‌های جعلی در همه‌ی پلتفرم‌هاست. این شرکت می‌گوید انگیزه‌های بازار گاهی خلاف این است، چون دفاع هزینه دارد و تقطیرکنندگان مشتری پولی هستند. انتشار جزئیات روش‌ها هم برای نشان‌دادن این است که راه جایگزین ممکن است.
در همین فضای رقابتی، خبرهای دیگری هم این روزها دیده می‌شود، از تراشه‌های اختصاصی تا رقابت قیمتی مدل‌ها. برای دنبال‌کردن آن‌ها صفحه‌ی اخبار هوش مصنوعی را مرور کنید. همچنین نگاه کسب‌وکاری به این روند را در اهمیت هوش مصنوعی برای کسب‌وکارها بخوانید.
۱۰. محدودیت‌ها و نکات احتیاط
چند نکته را نباید فراموش کرد. نخست، عدد ۹۰ تا ۹۹ درصد را خود Anthropic و بر اساس تخمین توکن‌های استدلال استخراج‌شده روی پلتفرم خودش محاسبه کرده است؛ یعنی کاهش ۱۰ تا بیش از ۱۰۰ برابری پس از اجرای کامل طبقه‌بند. هنوز ارزیابی مستقل منتشر نشده است. دوم، شرکت می‌گوید نمی‌داند این دستاورد تا کی دوام می‌آورد و انتظار دارد بازی موش و گربه ادامه یابد. سوم، هنوز حمله‌ی بسیار پیچیده و پایداری برای دورزدن دفاع‌های جدید ندیده است.
پس این خبر را باید «پیشرفت قابل‌توجه» خواند و نه «پایان ماجرا». در عمل، هر چه دفاع‌ها قوی‌تر شوند، مهاجم‌ها هم روش‌های خلاقانه‌تری امتحان می‌کنند.
۱۱. پرسش‌های متداول
تقطیر مدل غیرقانونی است؟
خود تقطیر یک تکنیک فنی رایج است. مسئله‌ی این گزارش، تقطیر «بدون اجازه» و از طریق حساب‌های جعلی و دورزدن محدودیت‌های سرویس است. قضاوت حقوقی درباره‌ی هر مورد به قوانین هر کشور و شرایط استفاده‌ی سرویس بستگی دارد.
آیا Claude برای کاربران عادی کندتر یا محدودتر شده؟
طبق گزارش، تأثیر روی کاربران عادی کم است. فقط بعضی توسعه‌دهنده‌ها باید یکپارچه‌سازی را به‌روز کنند و کمتر از ۰٫۱ درصد درخواست‌های بی‌خطر ممکن است اشتباهاً مسدود شوند.
«preserved thinking» یعنی چه؟
قابلیتی است که در Fable 5.1 و Opus 5.5 مانع می‌شود حساب‌های API ساخته‌شده از ۳۱ اوت ۲۰۲۶ به بعد، زمینه‌ی قبلی Claude را ویرایش کنند. هدف آن بستن یکی از راه‌های برداشت استدلال محافظت‌شده است.
آیا این دفاع‌ها برای همه‌ی مدل‌های Claude فعال است؟
طبقه‌بند روی Sonnet 5.5، Opus 5 و 5.5 و Fable 5 و 5.1 فعال است و Anthropic قصد دارد آن را برای مدل‌های جذاب آینده هم گسترش دهد.
آیا ادعای ۹۰ تا ۹۹ درصد مستقل تأیید شده است؟
در منابعی که بررسی کردیم، تأیید مستقلی دیده نشد؛ این عدد تخمین خود Anthropic است.
۱۲. جمع‌بندی
گزارش ۱۲ اکتبر نشان می‌دهد جنگ بر سر «استدلال مدل‌ها» وارد مرحله‌ی تازه‌ای شده است. دفاع سه‌لایه‌ی Anthropic، از کنترل دسترسی تا طبقه‌بند و بن حساب، به گفته‌ی خود شرکت استخراج را به‌شدت کم کرده، اما بدون ارزیابی مستقل و با هزینه‌هایی برای توسعه‌دهنده‌ها همراه است. اگر در کار با API هستید، به‌روزرسانی‌های مستندات را جدی بگیرید و برای آموزش‌های کاربردی به آموزش‌های ChatGPT و هوش مصنوعی سر بزنید. منبع اصلی این خبر، گزارش رسمی خود Anthropic است و ما فقط ادعاهای منتشرشده را بازگو و شفاف‌سازی کرده‌ایم.
همچنین برای دیدن تفاوت مدل‌ها در عمل می‌توانید مقایسه‌ی ChatGPT و DeepSeek را بخوانید.
نسخهٔ فوری این مطلب در تلگرام: اینجا بخوانید
