حمله «تقطیر» به مدل‌های هوش مصنوعی چیست و Anthropic چطور ۹۰ تا ۹۹ درصد آن را متوقف کرد؟

وقتی یک شرکت میلیاردها دلار خرج آموزش یک مدل هوش مصنوعی می‌کند، رقبا راهی برای «میان‌بُر» دارند: به‌جای ساختن از صفر، از خروجی‌های همان مدل برای آموزش مدل خودشان استفاده کنند. به این کار تقطیر (Distillation) می‌گویند. Anthropic در ۲۰ مهر ۱۴۰۵ جزئیات دفاع‌های تازه‌اش در برابر این کار را منتشر کرد و گفت داده‌های جمع‌شده توسط تقطیرکنندگان ۹۰ تا ۹۹ درصد کاهش یافته است.

تقطیر چیست؟#

تقطیر در اصل یک تکنیک مشروع و رایج است: یک مدل بزرگ (معلم) خروجی تولید می‌کند و یک مدل کوچک‌تر (شاگرد) از آن یاد می‌گیرد. شرکت‌ها اغلب مدل‌های کوچک خودشان را همین‌طور می‌سازند.

مشکل وقتی شروع می‌شود که این کار بدون اجازه و در مقیاس صنعتی روی مدل یک شرکت دیگر انجام شود: یک رقیب خودش را مشتری عادی جا می‌زند، با شبکه‌ای از حساب‌های جعلی میلیون‌ها پرامپت دقیق می‌فرستد، خروجی‌ها را جمع می‌کند و با آن‌ها مدل رقیب را آموزش می‌دهد. این را حمله تقطیر می‌نامند.

چرا «استدلال» گنجینه اصلی است؟#

مدل‌های مدرن قبل از جواب، استدلالشان را مرحله‌به‌مرحله می‌نویسند. Anthropic می‌گوید ارزشمندترین داده برای تقطیرکنندگان دقیقاً همین متن استدلال است؛ چون به مدل کوچک یاد می‌دهد چطور به جواب برسد، نه فقط چه جوابی بدهد. برای همین دفاع‌های تازه تقریباً کاملاً روی سخت کردن دسترسی به استدلال تمرکز دارند.

دفاع سه‌لایه Anthropic#

1. کنترل مسیر استدلال: محدود کردن اینکه استدلال Claude به کجا می‌رود. مثلاً با Claude Sonnet 5.5، متن استدلال فقط برای سازمانی که درخواست را فرستاده قابل دسترس است.
2. مسدود کردن و وصله کردن: شناسایی و بستن تلاش‌های استخراج با یک طبقه‌بند دومرحله‌ای.
3. سخت کردن تکرار: محدودیت‌های ویژه برای کسانی که بارها تلاش می‌کنند.

یکی از قابلیت‌های جدید Preserved Thinking است که مانع می‌شود حساب‌های تازه API، کانتکست قبلی Claude را ویرایش کنند (ترفندی که برای فریب مدل استفاده می‌شد).

نتایج#

• کاهش ۹۰ تا ۹۹ درصدی داده استدلالی دزدیده‌شده
• نرخ هشدار اشتباه زیر ۰٫۱ درصد؛ یعنی کاربران عادی تقریباً اثری حس نمی‌کنند
• طبق گزارش‌ها، Anthropic حاضر شده بخشی از درآمد را برای اعمال این محدودیت‌ها از دست بدهد

پیشینه ماجرا#

Anthropic پیش‌تر در سال ۲۰۲۶ اعلام کرده بود که چند شرکت هوش مصنوعی چینی با ده‌ها هزار حساب جعلی و میلیون‌ها گفتگو تلاش کرده‌اند توانایی‌های Claude را تقطیر کنند. در گزارش تازه، نام Zhipu و Kimi هم مطرح شده است. این ادعاها از طرف Anthropic است و شرکت‌های نام‌برده موضع خودشان را دارند.

چرا برای ما مهم است؟#

• اقتصاد مدل‌های مرزی: اگر تقطیر ارزان باشد، انگیزه سرمایه‌گذاری روی مدل‌های قوی کم می‌شود.
• رقابت متن‌باز: بخشی از جهش سریع برخی مدل‌ها ممکن است به تقطیر مربوط باشد؛ بحثی که در مقاله بنچمارک‌ها هم به آن اشاره کردیم.
• حساب‌های اشتراکی و غیرعادی: سیستم‌های ضدتقطیر، الگوهای استفاده غیرعادی را رصد می‌کنند؛ این یکی از دلایلی است که شرکت‌ها با حساب‌های مشترک یا رفتار غیرمعمول سخت‌گیرند.

حمله تقطیر برای کاربر معمولی چه معنایی دارد؟#

شاید فکر کنی این ماجرا فقط به شرکت‌های بزرگ مربوط است، ولی دو اثر مستقیم روی کاربران دارد:

• حساب‌های مشکوک زودتر بسته می‌شوند: سیستم‌هایی که برای کشف تقطیر ساخته شده‌اند، به الگوهای غیرعادی حساس‌اند؛ مثل ورود هم‌زمان از چند کشور یا حجم بسیار بالای درخواست. استفاده معمولی و شخصی از یک اکانت، کمترین ریسک را دارد.
• دسترسی به متن استدلال محدودتر می‌شود: اگر برنامه‌نویسی و با API کار می‌کنی، ممکن است بخشی از متن استدلال مدل را دیگر نبینی یا فقط به‌صورت خلاصه ببینی.

برای آشنایی با مدل‌های فعلی Claude و تفاوتشان، Claude Opus 5.5 یا Sonnet 5.5 را بخوان.

جمع‌بندی#

حمله تقطیر، «دزدی هوش» بدون دسترسی به وزن‌های مدل است. دفاع Anthropic نشان می‌دهد جنگ تازه شرکت‌های هوش مصنوعی فقط سر ساختن مدل بهتر نیست؛ سر محافظت از چیزی است که مدل‌ها در ذهنشان می‌نویسند.

منابع#

• Unite.AI: Anthropic reports distillation defenses reduced extracted reasoning tokens
• Let's Data Science: Anthropic reduces Claude distillation data harvesting
• VentureBeat: Anthropic says 24,000 fake accounts were used for distillation