Korisnici Kimija i DeepSeeka nesvjesno su svoje upite slali Claudeu

Destilacija je uobičajen postupak treniranja: veći model odgovara na skup pitanja, a ti odgovori uče manji model. Anthropic u septembarskom izvještaju opisuje njenu industrijsku verziju, zasnovanu na prevari — hiljade naloga otvorenih ukradenim karticama i ukradenim ključevima API-ja, uz posredničke servise čiji je jedini posao zaobilaženje geografskih ograničenja. Dio koji pogađa obične korisnike tiši je od te prevare i teži: dio preusmjerenih razgovora bio je njihov.

Šta izvještaj obuhvata

Izvještaj opisuje aktivnosti zaustavljene od decembra 2025. do avgusta 2026, u sedam oblasti zloupotrebe, a neovlašćena destilacija je jedna od njih. Anthropic navodi da je od prve objave u februaru 2026. utvrdio kampanje iz sedam laboratorija u Kini i imenuje Alibabu, Moonshot, DeepSeek, Zhipu, Xiaomi, SenseTime i MiniMax.

Svi napadi su ciljali modele dostupne svim korisnicima, a nagrada je bilo rezonovanje klase Opus. Anthropic navodi da pokušaja protiv modela Mythos 5 i Mythos Preview nije bilo, jer im šira javnost ionako ne može pristupiti.

Korisnici čija su pitanja proslijeđena

Moonshot je u periodu od deset dana preusmjerio skoro 300.000 korisničkih zahtjeva na Claudea, umjesto da ih odgovori sopstvenim modelom Kimi, a rezultate je prikazao kao Kimijeve. Saobraćaj je išao kroz mrežu od 5.380 lažnih naloga, uglavnom prijavljenih u Singapuru i Japanu. Bar dio tih razgovora je zatim sačuvan i upotrijebljen za treniranje sopstvenih modela.

DeepSeek je isto radio biranjem. Provjeravao je tekstualne nizove u dolaznim zahtjevima, označavao korisnike koji su stigli iz alata kao što su Claude Code, Claude Agent SDK i OpenCode, pa je označene zahtjeve slao na Claude Opus. Preko 14 dana u julu 2026. tako je izmjereno više od 12,1 milion razmjena.

• U jednoj preusmjerenoj sesiji izašli su živi pristupni podaci za bazu ruske državne ustanove povezane s ministarstvom odbrane.
• Inženjeri koji su gradili sistem za vođenje predmeta za jednu gradsku upravu javne bezbjednosti u Kini radili su kroz preusmjerene zahtjeve.
• Korisnik za kojeg Anthropic procjenjuje da je povezan s kineskom vojskom tražio je analizu snimaka nadzornih kamera o jednoj osobi.
• Zahtjevi preusmjereni s platformi za usmjeravanje ka modelima sadržali su imena, kontakte i podatke firmi stotina krajnjih korisnika, na najmanje desetak jezika.

Kako se izvlačio tok rezonovanja

Claude uz odgovor vraća potpis razmišljanja, a ne sam tok rezonovanja, upravo zato da se taj tok ne bi mogao pokupiti. Moonshot je potpis sačuvao, otvorio novu sesiju i naveo model da ga razvije nazad u pun tok. Anthropic tu tehniku naziva ponavljanjem kroz sesije i navodi da uvodi nove načine odbrane.

Ostalo je grublje. Jedna laboratorija je u ogledu poslala više od 12.000 zahtjeva, svaki s drugačijom tehnikom izvlačenja, pa je uspješne oblike upotrijebila u velikoj kampanji. Druga je tražila da model prethodno razmišljanje prevede na japanski, isključivo u katakani, čime je isti sadržaj dobila u obliku koji zaštita nije prepoznala.

Najveća do sada izmjerena kampanja

Operaterima povezanim s Alibabom pripisana je najveća brojka u izvještaju: više od 151 milion razmjena između maja i jula 2026, s vrhuncem blizu tri miliona dnevno, pokrenutih s više od 3.500 lažnih naloga. Meta je bio lanac rezonovanja modela Opus 4.6 i 4.7, a pokupljeni zapisi su, po izvještaju, poslužili za treniranje modela Qwen 3.5, 3.6 i 3.7.

Ostale kampanje su manje, a istog oblika. Moonshotu je u istom periodu pripisano više od 23 miliona razmjena, Zhipuu više od 3,4 miliona kroz 17 dana, a Xiaomiju više od 400.000 kroz 20 dana u proljeće 2026. SenseTime je, navodi Anthropic, kupovao pokupljene transkripte od preprodavaca podataka, a MiniMax je sopstveni posrednički servis vodio kroz firmu koja prodaje pristup samo američkim modelima.