Anthropic meldet weniger Reasoning-Diebstahl: So funktioniert die neue Distillation-Abwehr

Was Anthropic am 12. Oktober veroeffentlicht hat

Anthropic hat am 12. Oktober 2026 einen Forschungsbericht ueber neue Schutzmassnahmen gegen industrielle Modell-Destillation veroeffentlicht. Gemeint sind koordinierte Versuche, grosse Mengen von Antworten und insbesondere interne Reasoning-Daten eines leistungsstarken Modells zu sammeln, um damit ein anderes Modell zu trainieren.

Nach Anthropics eigener Messung fiel die Menge der von solchen Akteuren extrahierten Reasoning-Tokens nach Einfuehrung der neuen Klassifikatoren dauerhaft auf ein Zehntel bis ein Hundertstel des vorherigen Niveaus. Das Unternehmen fasst dies als Rueckgang um etwa 90 bis 99 Prozent zusammen und berichtet von zehntausenden gesperrten Konten.

Diese Zahlen beschreiben Beobachtungen auf Anthropics Plattform. Sie wurden nicht von einer unabhaengigen Stelle bestaetigt und messen weder die weltweite Menge unerlaubter Distillation noch die dauerhafte Wirksamkeit gegen neue Angriffsmethoden.

Bestaetigt ist der offizielle Bericht. Die Erfolgswerte und Angaben zum Umfang der Angriffe sind Herstellerangaben von Anthropic.

Warum Reasoning-Daten fuer Modellkopien wertvoll sind

Bei Distillation lernt ein kleineres oder anderes Modell aus Ausgaben eines leistungsstaerkeren Systems. Fuer legitime Forschung und Produktentwicklung ist das ein etabliertes Verfahren, wenn Rechte, Einwilligungen und Nutzungsbedingungen eingehalten werden. Anthropic richtet sich in seinem Bericht gegen verdeckte Kampagnen mit falschen Konten, Proxy-Netzen oder gestohlenen Zahlungsdaten.

Besonders wertvoll seien aus Sicht des Unternehmens ausfuehrliche Reasoning-Transkripte. Sie enthalten nicht nur eine Antwort, sondern Zwischenschritte, mit denen ein Trainingsmodell komplexe Loesungswege nachahmen kann. In einem internen Versuch erreichte ein Modell mit vollstaendigen Transkripten 80,4 Prozent auf SWE-bench Verified; mit zusammengefasstem Reasoning waren es laut Anthropic 71,8 Prozent.

Der Benchmark-Vergleich zeigt eine moegliche Wirkung der Trainingsdaten, ist aber kein allgemeiner Leistungsnachweis. Anthropic beschreibt weder alle Versuchsdetails noch eine unabhaengige Replikation.

Die neue Abwehr besteht aus drei Ebenen

Die erste Ebene begrenzt, wohin geschuetztes Reasoning uebertragen werden kann. Mit der Funktion preserved thinking koennen neuere API-Konten fruehere Denk-Kontexte nicht frei veraendern. Reasoning bestimmter Modelle laesst sich zudem nicht von aelteren Modellen mit schwaecheren Schutzmechanismen lesen. Bei Claude Sonnet 5.5 ist der Zugriff auf die Organisation beschraenkt, die den urspruenglichen Request erzeugt hat.

Die zweite Ebene ist ein zweistufiges Klassifikatorsystem. Es soll Prompts erkennen, die geschuetztes Reasoning direkt oder ueber Umwege extrahieren wollen. Anthropic gibt fuer das System eine Fehlalarmrate von unter 0,1 Prozent an und setzt es derzeit bei mehreren allgemein verfuegbaren Spitzenmodellen ein.

Die dritte Ebene richtet sich gegen wiederholte Versuche. Verdaechtige Konten erhalten strengere Limits oder werden gesperrt. Seit dem 24. September berechnet Anthropic in ausgewaehlten Bereichen auch Anfragen, die ein Schutzsystem vor einer Modellantwort blockiert, sofern die gemessene Fehlalarmrate unter 0,1 Prozent liegt.

• Reasoning-Kontexte lassen sich nicht beliebig zwischen Konten, Organisationen und Modellen verschieben
• Zweistufige Klassifikatoren erkennen bekannte Extraktionsmuster
• Red-Teams suchen gezielt nach Umgehungen und liefern neue Trainingsdaten fuer die Abwehr
• Limits, Sperren und Kosten sollen massenhafte Wiederholungen unattraktiver machen

Was sich fuer legitime API-Nutzer aendert

Die Schutzmassnahmen sind nicht voellig unsichtbar. Anthropic schreibt, dass preserved thinking einige Entwickler zu Anpassungen ihrer Integrationen gezwungen habe. Anwendungen sollten Reasoning-Bloecke unveraendert an die API zurueckgeben und nicht darauf bauen, interne Denk-Kontexte zwischen Organisationen oder Modellen zu verschieben.

Ausserdem koennen legitime Prompts in seltenen Faellen faelschlich blockiert werden. Die vom Unternehmen genannte Rate von weniger als 0,1 Prozent klingt klein, kann bei sehr hohen Anfragevolumen aber sichtbar werden. Teams sollten Blockierungen, Wiederholungen und Kosten deshalb getrennt beobachten.

Wer Claude produktiv einsetzt, sollte die aktuelle API-Dokumentation als verbindliche Quelle behandeln. Der Forschungsbericht beschreibt die Strategie, ersetzt aber keine technische Migrationsanleitung fuer ein konkretes SDK oder Modell.

Praktisch relevant sind vor allem unveraenderte Reasoning-Bloecke, Organisationsgrenzen sowie Monitoring fuer blockierte und dennoch berechnete Requests.

Was der Bericht nicht beweist

Anthropic raeumt ein, bislang keinen hoch entwickelten und dauerhaft hartnaeckigen Umgehungsversuch gegen das vollstaendige neue System beobachtet zu haben. Das Unternehmen erwartet ausdruecklich ein fortlaufendes Wettruesten und weiss noch nicht, wie lange die gemessenen Verbesserungen anhalten.

Der Rueckgang extrahierter Tokens sagt zudem nicht, wie viel nutzbares Trainingswissen Angreifer ausserhalb von Anthropics eigener Plattform sammeln. Traffic kann ueber Drittanbieter und andere Inferenzplattformen laufen. Auch aus weniger Daten koennen neue Verfahren moeglicherweise mehr Nutzen ziehen.

Ein weiterer Teil des Berichts ordnet bestimmte auslaendische Unternehmen und staatliche Interessen ein. Diese Zuschreibungen stammen von Anthropic und verlinkten US-Quellen. Sie sind nicht notwendig, um die technische Funktionsweise der Schutzmassnahmen zu verstehen, und werden hier nicht als unabhaengig festgestellte Tatsachen uebernommen.

Ein sinnvoller Pruefrahmen fuer Entwicklerteams

Unternehmen muessen keine eigene Anti-Distillation-Forschung aufbauen, sollten aber nachvollziehen koennen, wie ihre Anwendungen mit geschuetztem Reasoning umgehen. Besonders wichtig sind Integrationen, die Konversationen speichern, zwischen Modellen weiterreichen oder Requests ueber mehrere Organisationen verteilen.

Vor einem Modellwechsel oder SDK-Update empfiehlt sich ein begrenzter Regressionstest mit typischen Mehrschritt-Workflows. Dabei sollten nicht nur Antwortqualitaet und Latenz, sondern auch Blockierungsrate, Retry-Verhalten, Kosten und die korrekte Rueckgabe geschuetzter Bloecke erfasst werden.

Fehlermeldungen sollten nicht automatisiert mit leicht veraenderten Prompts in grossen Schleifen beantwortet werden. Das kann Kosten erzeugen, Sicherheitsmechanismen triggern und die eigentliche Ursache verschleiern. Besser sind klar begrenzte Wiederholungen und eine manuelle Pruefung ungewoehnlicher Muster.

• Reasoning-Bloecke gemaess aktueller API-Dokumentation unveraendert behandeln
• Blockierte Requests, Fehlalarme und Kosten separat messen
• Modell- und Organisationswechsel in realistischen Mehrschritt-Tests pruefen
• Automatische Retries begrenzen und auffaellige Serien untersuchen
• Keine internen Denkprotokolle als stabile Produktschnittstelle voraussetzen

Die MindrAils-Einordnung

Der Bericht zeigt, dass der Wettbewerb zwischen Frontier-Modellen nicht nur ueber Benchmarks und Preise laeuft. Auch der Schutz erzeugter Trainingssignale wird zu einer eigenen Infrastrukturaufgabe, die Identitaetspruefung, Klassifikatoren, Abrechnung und API-Design miteinander verbindet.

Die gemeldete Reduktion um 90 bis 99 Prozent ist bemerkenswert, bleibt aber eine Momentaufnahme des Herstellers. Besonders glaubwuerdig wirkt, dass Anthropic nicht nur Erfolge nennt, sondern auch Integrationsaufwand, Fehlalarme, Kosten und die erwartete Anpassung der Angreifer offen beschreibt.

Fuer normale API-Nutzer ist die wichtigste Konsequenz weniger geopolitisch als betrieblich: Geschuetzte Reasoning-Daten werden staerker als kontrollierter Kontext behandelt. Anwendungen sollten deshalb auf dokumentierte Schnittstellen, belastbare Telemetrie und austauschbare Modelllogik setzen, statt interne Denkspuren fest in ihre Architektur einzubauen.