Anthropic tvrdi da je presjekao do 99% krađe podataka za treniranje

Anthropic je 12. listopada 2026. objavio da su nove obrane Claudea smanjile količinu podataka prikupljenih neovlaštenom destilacijom za približno 90 do 99 posto, prema Reutersovu izvješću. Riječ je o ranoj procjeni tvrtke, a ne o neovisno potvrđenom mjerenju. Obrane ciljaju prikupljanje Claudeovih odgovora radi treniranja drugih modela.

Najvrjedniji dio takvih odgovora napadačima su tragovi zaključivanja: oni pokazuju kako Claude dolazi do rješenja, a ne samo njegov konačan odgovor. Anthropic je ograničio pristup tim tragovima, otežao prijenos zaštićenog konteksta i pooštrio postupanje s računima koji ga pokušavaju izvući. Dio dopuštenih API integracija pritom je morao biti prilagođen.

Kako se iz Claudea izvlače podaci za treniranje

Nedopuštena destilacija počinje velikim brojem zahtjeva upućenih sposobnijem modelu. Prikupljeni odgovori zatim služe za treniranje drugog modela koji treba oponašati njegove sposobnosti. Napadaču za to ne trebaju Claudeov izvorni kod ni parametri: dovoljno je da preko dostupne usluge prikupi mnogo kvalitetnih primjera. Nedopuštenost se odnosi na prikrivenu kampanju bez odobrenja proizvođača modela, a ne na svaki oblik učenja iz izlaza drugog sustava.

Anthropicov tehnički prikaz navodi da su zapisi Claudeova zaključivanja korisniji za takvo treniranje od samih konačnih odgovora. Odgovor pokazuje rezultat zadatka; zapis daje dodatne primjere puta do njega. Tvrtka je zato najprije počela sažimati zaključivanje prije prikaza korisniku, kako bi smanjila vrijednost podataka koje bi netko mogao pasivno prikupljati kroz obične zahtjeve.

Napadači su potom prešli na aktivno izvlačenje skrivenog zapisa. Pokušavali su izravno tražiti ranije zaključivanje ili premjestiti zaštićeni dio konteksta u drugi razgovor, gdje bi ga Claude mogao protumačiti kao već dostupan sadržaj. Za ponavljanje pokušaja koristile su se i mreže lažnih računa. Kad jedan račun izgubi pristup, drugi može nastaviti slati zahtjeve; zato sažimanje vidljivog odgovora samo po sebi ne zatvara put do zaštićenih podataka.

Što nove obrane mijenjaju

Obrana sada povezuje kontrolu konteksta, prepoznavanje zahtjeva za izvlačenje i ograničavanje upornog ponašanja računa. Očuvano zaključivanje sprječava nove API račune da uređuju raniji Claudeov kontekst. Time se otežava pokušaj u kojem se zaštićeni zapis prenese u drugi razgovor i predstavi modelu kao nešto što korisnik već smije vidjeti. To je promjena u načinu nastavka razgovora, a ne samo u duljini prikazanog odgovora.

Dodatna ograničenja zatvaraju put preko drugih modela i računa. Zapis zaključivanja snažnijeg modela ne bi smio postati čitljiv modelu sa slabijom zaštitom, a pristup određenim zapisima veže se uz organizaciju koja je poslala izvorni zahtjev. Ta ograničenja ciljaju upravo prijenos zaštićenog sadržaja kojim su napadači pokušavali zaobići sažimanje.

Zahtjeve koji traže skriveno zaključivanje obrađuje i klasifikator. Kad se pojavi nova tehnika izvlačenja, pravila se mogu ažurirati; među opisanim pokušajima nalaze se traženje prijevoda ranijeg zaključivanja i njegovo ispisivanje uz odgovor. Računi koji opetovano šalju takve zahtjeve mogu dobiti stroža ograničenja uporabe, a računi povezani s ustrajnim kampanjama mogu biti zabranjeni. Slojevi obrane tako ciljaju i pojedinačni zahtjev i mogućnost da se pokušaj ponovi drugdje.

Takav pristup ima trošak i za Anthropic: tvrtka navodi da je odbila bilijune tokena prometa koji bi inače bio plaćen. Učinak obrane zato nije samo pitanje može li se jedan zahtjev blokirati. Važno je i može li se napadaču otežati masovno prikupljanje odgovora čak i kada otvara nove račune ili mijenja način postavljanja pitanja.

Što zapravo mjeri pad izvlačenja

Objavljena procjena odnosi se na količinu Claudeovih tokena zaključivanja koju su prepoznati napadači uspjeli izvući na Anthropicovoj platformi. Ona nije postotak svih spriječenih napada niti mjera sposobnosti modela treniranog na podacima koji su ipak prikupljeni. Promet preko drugih pružatelja pristupa također nije isto što i promet koji Anthropic može mjeriti na vlastitoj platformi.

Procjena ovisi o prepoznavanju prometa povezanog s destilacijom. Ako se promijene računi, obrasci zahtjeva ili tehnika izvlačenja, promijenit će se i ono što sustav može uočiti. Anthropic zasad nije objavio neovisnu provjeru navedenog pada te priznaje da još nije vidio vrlo sofisticiran i uporan pokušaj zaobilaženja novih mjera. Zato rezultat opisuje učinak u prometu koji tvrtka prati, a ne trajno svojstvo zaštite.

Širi kontekst nije ograničen na jedan API. Destilacija je postala dio tehnološkog nadmetanja u kojem sposobnosti naprednih modela imaju i komercijalnu i sigurnosnu vrijednost. No za razumijevanje ove objave presudna je uža razlika: obrana pokušava smanjiti količinu korisnog zaključivanja koju je moguće prikupiti, čak i kad pristup Claudeovim konačnim odgovorima ostaje moguć.

Posljedice za dopuštene API zahtjeve

Očuvano zaključivanje može zahvatiti aplikacije koje su prije nastavka razgovora uređivale raniji Claudeov kontekst. Takva integracija mora drukčije sastavljati ili prenositi razgovor kako bi radila uz novo ograničenje. Promjena se može osjetiti i u dopuštenom tijeku rada jer sustav ne razlikuje namjeru korisnika samo prema tome želi li on zadržati prethodni kontekst.

Klasifikator može zaustaviti i bezazlen zahtjev. Anthropic stopu takvih pogrešnih uzbuna opisuje kao nisku, ali priznaje da one postoje. Zahtjevi blokirani prije Claudeova odgovora u obuhvaćenim sigurnosnim područjima ponovno se naplaćuju, pa pogrešno zaustavljanje može imati trošak. Za razvojne timove učinak će biti vidljiv u potrebnim izmjenama integracije te u tome nailaze li njihovi dopušteni zahtjevi na nova ograničenja.

Obrane ujedno mijenjaju što korisnik može očekivati od prikazanog zaključivanja: sažetak može ostati dostupan, dok puni zaštićeni zapis i njegov prijenos između konteksta podliježu strožim pravilima. Ta razlika objašnjava zašto aplikacija koja se oslanjala na konačne odgovore može raditi kao prije, a aplikacija koja je upravljala ranijim kontekstom može zahtijevati izmjenu. Trajnost učinka protiv napada pokazat će budući pokušaji izvlačenja; za korisnike API-ja posljedica je već sada promijenjeno ponašanje dijela integracija.

Pročitajte i:

• Osobni podatak nestao je s Googlea, ali ne nužno i s interneta