Гонка базовых моделей перешагнула этап простого масштабирования вычислительных мощностей и превратилась в жесткую войну на истощение в сфере экономики инференса. Компания Anthropic заявляет о существенном прогрессе в снижении эффективности атак дистилляции против Claude: по предварительным данным, новые методы позволили сократить объем собираемых злоумышленниками данных на 90–99 процентов. По данным компании, эти оборонительные барьеры фактически перекрыли триллионы токенов прибыльного трафика, который ранее генерировали злоумышленники, пытавшиеся паразитировать на их инвестициях в НИОКР.
Промышленная дистилляция через сети мошеннических аккаунтов стала основным механизмом для второстепенных лабораторий, позволяющим обходить разорительную стоимость разработки базовых систем. Zhipu задействовала именно эту схему для создания GLM-5.3, переключившись на более раннюю итерацию Claude после того, как первоначальные защитные фильтры ухудшили их попытки извлечения данных. Как отмечает Центр стандартов и суперинтеллекта в области ИИ (CAISSI), GLM-5.3 в настоящее время является наиболее способной моделью с открытыми весами на рынке, причем внутренние оценки Anthropic указывают на тревожную готовность модели самостоятельно писать эксплойты от начала до конца.
Инфраструктурные барьеры против пассивного и активного извлечения
Фундаментальная цель дистилляции заключается в сборе миллионов пар ответов от превосходной модели для обучения более дешевых и мелких нисходящих систем. Главной ценностью при таком извлечении данных являются следы внутреннего рассуждения — токены скрытой цепочки рассуждений, которые Claude генерирует перед выдачей окончательного ответа. Первоначальная защита Anthropic опиралась на принудительное создание моделью резюме своих внутренних рассуждений перед отправкой. Внутреннее тестирование показало, что обучение дистиллированной модели на сырых следах рассуждений Claude Opus 4.8 повысило ее производительность на бенчмарке кодирования SWE-bench Verified до 80,4 процента, тогда как использование исключительно суммарных следов ограничило результат до 71,8 процента.
«Наша первоначальная работа по борьбе с дистилляцией начиналась с простых мер, предназначенных для блокировки пассивной дистилляции, при которой злоумышленники отправляют запросы к модели как обычный пользователь, а затем обучаются на этих ответах».
Однако по мере ужесточения защитных фильтров злоумышленники перешли от пассивного наблюдения к активному извлечению. Сети ботов начали внедрять явные переопределения промптов — например, требуя от модели выводить свои предыдущие рассуждения дословно и посимвольно — чтобы разрушить слои суммаризации и выставить весь внутренний монолог напоказ.
Экономические издержки защиты интеллектуальной собственности
Защита проприетарных моделей на уровне инференса не является бесплатным упражнением. Новые фильтры Anthropic заставили легитимных корпоративных клиентов перерабатывать свои интеграции, в то время как сама компания добровольно пожертвовала высокомаржинальным доходом, отрезав трафик от предполагаемых дистилляторов. Перенос защиты интеллектуальной собственности непосредственно в конвейер инференса превращает предотвращение копирования из юридической мысли задним числом в постоянные, регулярные операционные расходы. Сохранит ли эта юнит-экономическая модель жизнеспособность в условиях бесконечного цикла эскалации против все более автономных сетей извлечения — остается открытым вопросом для каждого участника рынка.