Anthropic发布了一份火药味十足的技术防御报告，宣称通过上线两阶段分类器等机制，把自家平台上被抽取的Claude内部推理标记（reasoning tokens）体量压低了90%至99%。在这份报告里，这家美国头部大模型机构直接点名了两家中国创业公司智谱与月之暗面，指控对方通过数以万计的账号池进行系统性能力窃取。
很多解读把这当成一场闭源阵营的大捷，仿佛一道防火墙竖起，盗火者的管道就此被彻底掐断。然而剥开公关修辞的技术骨架会发现，这既不是一次封号算法的全面胜利，也不是蒸馏战役的终局。
降幅99%背后，究竟统计了什么
根据Anthropic披露的数据，所谓99%的降幅，仅仅是指其自身API接口流出的内部思维链Token绝对体量减少了10至100倍。
这根本不是99%的攻击识别率，更不代表通过蒸馏得到的小模型性能被削弱了99%。思维链（Chain of Thought）作为支撑复杂逻辑推理的底层台阶，在当前的大模型竞争里就是核心资产。Anthropic内部做过一组对照实验：在软件工程基准测试SWE-bench Verified上，使用完整思维链训练的小模型跑分可以达到80.4%；而一旦剥离或裁剪这些内部思考过程，仅使用摘要化数据训练，小模型的得分会骤降至71.8%。
近九个百分点的断崖落差，解释了顶尖实验室为什么把思维链当成命根子，也解释了对手为什么不惜代价要拿到这些中间推理痕迹。
然而防守方在公关叙事上偷换了概念。减少了数据外泄的绝对量，只证明水管的阀门拧紧了，并不等于池塘里的鱼不再长肉。
蒸馏暗战升级：从暴力搬运到模型当裁判
在Anthropic对两家中国公司的指控细节里，最耐人寻味的反常点在于数据蒸馏的具体手法。外行眼中的抄袭是把A模型的输出原封不动喂给B模型，但现实中的能力搬运早就演化成了高度工业化的协同工程。
报告指控月之暗面在2026年5至7月间发起了超过2300万次交互，其中10天内通过5380个虚假账号将近30万次Kimi用户请求直接转发给Claude。月之暗面曾在路透社9月的报道中否认整体蒸馏指控，目前对这份10月技术报告里的详细路由数据尚未给出逐条公开反驳。
而针对智谱的指控则展现了更复杂的战术。报告称智谱在2026年6至7月的17天内发起了超340万次交互。但在开发GLM-5.3的网络能力时，智谱并非端到端照抄Claude：在无法直接穿透Claude防护的情况下，实际方案是由另一家美国大模型生成解法，再调用Claude Opus 4.6来充当判官，对生成的解法进行质量评估和打分清洗。
顶级模型不再只是被搬运的原材料，它被架在了质检员的工位上。这种通过顶级模型判分、在外部完成强化学习闭环的手法，比传统的直接抓取隐蔽得多。抓贼容易，但要把一个在接口前只做选择题判分的账号定性为窃密，证据链的技术归因成本极高。
误伤与扣费：防守成本被转嫁给开发者
为了堵死这些隐藏极深的漏斗，Anthropic祭出了极为严苛的风控体系，而代价正在由普通的外部开发者承担。
公司声称其分类器的单次请求误报率低于0.1%。在海量调用的工业级API体系下，这个数字极具迷惑性。单次请求的千分之一误报，放大到每天数以亿计的并发请求中，意味着每天都有大量合法调用被安全机制当头截断。更严峻的是，单次拦截会直接触发风控连坐，导致正常的企业和科研账号被错误冻结。
真正引发公愤的是经济结算层面的霸王条款。Anthropic在报告中坦承存在合法用户被误拦的情况，但这些被系统错误拦截的请求，依然会被算入账单照常计费。
防守方把自家围栏漏风的安全成本，折算成了过路开发者的买路钱。
- 风险.高压API分类器不仅会误封正常开发者的业务接口，被错误拦截的请求依然会被强制扣除Token费用。
天下熙熙，皆为利来。平台既要守住技术护城河，又不愿意自己承担风控的漏网损耗，最终选择让生态里的底层客户买单。
靠API风控筑墙，终究是一场西西弗斯式的防守
Anthropic官方自己也承认，这套两阶段防御机制的长期有效性仍然未知，它还没有经历过高强度、针对性的对抗绕过测试。
学术界早已证明了这种防线的脆弱。2026年8月的独立研究《Stealing Reasoning Traces from Proprietary LLM APIs》证实，Anthropic、OpenAI与Google均曾存在利用可移植加密推理块提取思维链的系统级漏洞。
不仅如此，防御的有效性在不同任务之间分化严重。2026年3月发表的《DistillGuard》评测表明，单纯剥离思维链虽然会让模型的数学能力从67.8%腰斩至31.4%，但代码生成能力在剥离前后几乎不受影响。
这意味着，试图通过API层面的文本阻断来垄断能力扩散，本身就违背了软件工程的发展规律。
工业革命时期，英国曾立法禁止纺织机械出口并严惩技术工匠外流，甚至把图纸走私定为叛国罪，但这一禁令最终没能阻止机械纺织技术在大西洋彼岸落地生根。技术本质上是一种可压缩的数学规律，只要API对外敞开营业，只要两端的输入输出具备统计关联，试图完全杜绝知识外溢就只能是单方面的愿望。
Anthropic切断的只是低成本的批量抽水泵，却无法阻断深层的知识渗透。当封禁规则越来越密、误伤账单越来越厚，高墙困住的或许不是精通伪装的专业对手，而是原本依赖这个生态生存的普通开发者。