# Anthropic gibt an, dass seine Destillationsverteidigung die extrahierte Argumentation um 90–99 % reduziert

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/de/article/anthropic-distillation-defenses-preserved-thinking-2026-10-13-night-de
Section: AI (https://technewslist.com/de/ai)
Author: TechNewsList
Language: de
Published: 2026-10-13T20:13:55.082+00:00
Updated: 2026-10-13T20:13:55.255566+00:00

> Das Unternehmen berichtet von einer stark reduzierten Argumentationsextraktion, aber der signierte Gesprächsverlauf verändert auch die Art und Weise, wie legitime Agenten den Kontext wiedergeben. Die veröffentlichten Beweise stellen keine unabhängige Sicherheitsgarantie dar.

## TL;DR
- Anthropic berichtet von einer 90–99-prozentigen Reduzierung der geernteten Argumentation nach der Kombination mehrerer Abwehrmaßnahmen.
- Konserviertes Denken kann Agentenanfragen ablehnen, die die Geschichte hinter signierten Argumentationsblöcken neu schreiben.
- Unabhängige Untersuchungen weisen darauf hin, dass der Erfolg der Verteidigung von den Budgets und Zugangsannahmen der Angreifer abhängt.

## Key points
- Anthropic geht davon aus, dass nach den Verteidigungsmaßnahmen zehn- bis hundertfach weniger Argumente auf seiner Plattform gesammelt wurden.
- Sein zusammenfassendes Transkript-Experiment meldet 71,8 Prozent SWE-Bench-verifiziert im Vergleich zu 80,4 Prozent bei vollständigen Transkripten.
- Konserviertes Denken bindet signiertes Denken an eine unveränderte Systemaufforderung, Tools und das vorherige Nachrichtenpräfix.
- Die dokumentierte Präfix-Nichtübereinstimmung weist standardmäßig einen 400-Fehler auf; drop_block erfordert das benannte Beta-Steuerelement.
- Bedrock dokumentiert die Entfernung von Argumenten, die außerhalb des zulässigen AWS-Kontos oder der zulässigen Kundengruppe auf Sonnet 5.5 erstellt wurden.
- Unabhängige Untersuchungen belegen, dass Schlussfolgerungen zur Destillation und Verteidigung vom Bedrohungsmodell des Angreifers abhängen.

## Was passiert ist

Der Bericht von Anthropic vom 12. Oktober über seine Anti-Destillations-Arbeit stellt eine Einschätzung zu einem schwierigen Problem dar: Es heißt, dass die von seiner Plattform geernteten Argumentationstoken nach der Aktivierung seiner Abwehrmaßnahmen um etwa das Zehn- bis Hundertfache zurückgegangen seien. Destillation bedeutet hier, die Antworten oder Argumente eines Modells zu nutzen, um ein anderes zu trainieren. Die Schätzung beschreibt die Aktivität, die Anthropic auf seinem eigenen Dienst identifiziert hat, nicht jede mögliche Extraktionsroute.

![Unternehmensexperimentdiagramm zum Vergleich der Schülerleistungen mit vollständigen und zusammengefassten Begründungsprotokollen.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1791917507394-xerz48-anthropic-distillation-defenses-preserved-thinking-2026-10-13-night-inside-1-44c35aef5f.webp)
*Unternehmensexperimentdiagramm zum Vergleich der Schülerleistungen mit vollständigen und zusammengefassten Begründungsprotokollen. Bildnachweis: Anthropic.*

Das Unternehmen beschreibt eher eine mehrschichtige Reaktion als einen Schutzschalter. Es bietet eine zusammengefasste Begründung, schränkt die Wiedergabe von Signed Thinking ein, klassifiziert verdächtige Extraktionsanfragen und wendet Durchsetzungsmaßnahmen auf Kontoebene an. Der Forschungsbericht vergleicht auch Studentenmodelle, die anhand vollständiger und zusammengefasster Transkripte trainiert wurden: Die zusammengefasste Version erreichte bei SWE-Bench Verified 71,8 %, gegenüber 80,4 % für die vollständige Transkriptversion. Dabei handelt es sich um von Unternehmen durchgeführte Experimente, nicht um unabhängig replizierte Ergebnisse.

## Warum es wichtig ist

Ein Modell kann mehr nützliche Trainingsinformationen bereitstellen als seine endgültige Antwort allein. Zwischenarbeiten können Aufschluss darüber geben, wie sie eine Programmieraufgabe zerlegen, ein Werkzeug auswählen oder einen Fehler korrigieren. Die Reduzierung dieser Informationen kann dazu führen, dass die Nachahmung weniger effizient ist, ohne normale Kunden daran zu hindern, nützliche Ergebnisse zu erhalten. Der wichtige Unterschied besteht darin, die Extraktion zu erschweren und zu zeigen, dass ein entschlossener Wettkämpfer keinen effektiven Trainingssatz erreichen kann.

Auch für legitime Agentenentwickler entstehen praktische Kosten. Viele Kabelbäume ändern alte Nachrichten, erstellen eine Systemaufforderung neu oder komprimieren frühere Nachrichten, um den Kontext zu speichern. Signiertes Denken ändert den Vertrag: Die Argumentation wurde unter einer bestimmten Geschichte erstellt und eine Verschiebung in eine andere Geschichte ist möglicherweise nicht mehr akzeptabel. Ein Fehler, der wie ein intermittierendes Modellproblem aussieht, kann daher eine reproduzierbare Nichtübereinstimmung in der eigenen Anforderungskonstruktion der Anwendung sein.

## Technische Details

Claudes konservierte Denkdokumentation besagt, dass die Signatur einen Denkblock an sein Modell und Konversationspräfix bindet. Dieses Präfix umfasst die Systemaufforderung, Tools und frühere Nachrichteninhalte. Das Anhängen einer neuen Runde unterscheidet sich vom Umschreiben einer alten. Neuere API-Konten erhalten im Rahmen der dokumentierten Einführung standardmäßig die Präfixprüfung, während ältere Integrationen ihr eigenes Kontoverhalten überprüfen müssen, anstatt von einer identischen Durchsetzung auszugehen.

![Unternehmensdiagramm im Protokollmaßstab der geschätzten Begründungsextraktion vor und nach Schutzmaßnahmen.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1791917509608-2dkyfn-anthropic-distillation-defenses-preserved-thinking-2026-10-13-night-inside-2-c5fbcf7a1c.webp)
*Unternehmensdiagramm im Log-Maßstab der geschätzten Begründungsextraktion vor und nach Schutzmaßnahmen. Bildnachweis: Anthropic.*

Der dokumentierte Standardwert für eine Präfix-Nichtübereinstimmung ist ein 400-Fehler. Eine Beta-Kontrolle kann stattdessen inkompatible Denkblockaden beseitigen und die Fortsetzung der Anfrage ermöglichen. Das ist nicht gleichbedeutend mit der Beibehaltung der ursprünglichen Argumentation: Das Modell verliert Informationen, die die nächste Aktion geleitet haben könnten. Eine Anwendung sollte diese Transformation aufzeichnen und ihre Konsequenzen bewerten, anstatt eine erfolgreiche HTTP-Antwort stillschweigend als unveränderte Fortsetzung zu kennzeichnen.

Amazon Bedrock dokumentiert weitere Vorteile seiner gehosteten Integration, darunter Modellkompatibilität und organisationsgebundenes Denken. Das Sonnet 5.5-Verhalten kann Argumente beseitigen, die außerhalb des zulässigen AWS-Kontos oder der zulässigen Kundengruppe stammen. Der Anbieter legt auch die Gründe für die Transformation offen, wenn die entsprechende Betaversion bereitgestellt wird. Diese Unterscheidungen sind wichtig, wenn ein Workflow zwischen Konten, Diensten oder Modellen wechselt; Eine Signatur ist kein tragbarer Behälter für willkürliche Überlegungen.

## Auswirkungen auf Markt und Branche

Die wettbewerbsbedingte Konsequenz ist eine Änderung der wirtschaftlichen Aspekte des Sammelns von Schulungsbeispielen und nicht ein nachgewiesenes Ende der Destillation. Die von Anthropic beobachtete Reduzierung und das Studentenmodell-Experiment befassen sich mit verschiedenen Fragen: Wie viele verdächtige Aktivitäten hat der Dienst identifiziert und wie nützlich eine bestimmte Art von Transkript für das Training war. Keine der Zahlen stellt direkt die Qualität eines Konkurrenzmodells fest oder misst jedes Konto, das möglicherweise der Entdeckung entgangen ist.

In einer unabhängigen Arbeit von Lena Libon und Kollegen, die vor dieser Offenlegung veröffentlicht wurde, wird argumentiert, dass Behauptungen über die Verletzung einer Destillationsverteidigung vom Bedrohungsmodell abhängen. Abfragebudgets, verfügbare Daten und die Schnittstelle des Angreifers beeinflussen alle die Schlussfolgerung. In dieser Untersuchung wird der Einsatz von Anthropic im Oktober nicht geprüft. Es bietet den Lesern einen nützlichen Test: Fragen Sie, welchen Zugang und welche Ressourcen eine Evaluierung zulässt, bevor Sie Erfolg oder Misserfolg als universell betrachten.

## Worauf man als Nächstes achten sollte

Entwickler sollten zunächst die Anfragen überprüfen, die ihre eigenen Agenten tatsächlich senden. Halten Sie zurückgegebene Denkblöcke intakt, bewahren Sie Signaturen auf und identifizieren Sie den frühesten bearbeiteten Zug, wenn eine Wiederholung fehlschlägt. Unterscheiden Sie einen Präfixfehler von einer Ratenbegrenzung oder einem vorübergehenden Dienstausfall. Durch das Wiederholen einer identischen ungültigen Anfrage wird der Verlauf nicht wiederhergestellt. Wenn ein unterstütztes Drop-Verhalten verwendet wird, machen Sie den verlorenen Kontext in Diagnose- und Regressionstests sichtbar.

Der nächste überzeugende Beweis würde reproduzierbare Extraktionstests mit Messungen der Störung durch legitime Benutzer kombinieren. Zu den nützlichen Fragen gehört, ob sich Klassifizierungsfehler in bestimmten Arbeitsabläufen konzentrieren, ob sich anspruchsvolle Angreifer anpassen und wie stark sich das Anwendungsverhalten ändert, nachdem das Denken entfernt wurde. Anthropic erkennt Grenzen seiner Bewertung an. Seine Zahlen sind ein Beweis für eine unter eigener Beobachtung stehende Verteidigung und kein Grund, die Prüfung der Sicherheit oder der Integrationszuverlässigkeit einzustellen.

Für Leser außerhalb der Modellentwicklung ist die Grenze einfacher: Eine zusammengefasste Erklärung kann immer noch nützlich sein, ohne die vollständige interne Spur zu sein. Die Diagramme des Artikels sollten als beschriftete Unternehmensergebnisse gelesen werden und nicht als Rangliste aller KI-Systeme. Eine bessere Offenlegung würde es den Kunden ermöglichen, den erreichten Schutz mit der auferlegten Kompatibilitätslast zu vergleichen und gleichzeitig Behauptungen über das tatsächliche Verhalten von Wettbewerbern von technischen Spekulationen zu trennen.

## Quellen

- [Anthropische Forschung](https://www.anthropic.com/research/distillation-defenses)– Unternehmensmessungen vom 12. Oktober, Vergleich zwischen Zusammenfassung und Schulung, Umfang des Klassifikators und anerkannte Einschränkungen.
- [Claude API bewahrte das Denken](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking)– Konversationspräfixbindung, Kontoeinführung, Betakontrollen und Anforderungen an den genauen Verlauf.
- [Amazon Bedrock-Dokumentation](https://docs.aws.amazon.com/bedrock/latest/userguide/claude-messages-thinking-block-binding.html)— Cloud-Anbieter-spezifisches Modell, Präfix- und Organisationsprüfungen, Fehlerverhalten und Diagnosetransformationen.
- [Unabhängige Destillations-Verteidigungsforschung](https://arxiv.org/abs/2606.25059)– Bedrohungsmodellanalyse, die zeigt, dass Abfragebudgets und Angreiferschnittstellen die Bedeutung des Verteidigungserfolgs verändern; Keine Überprüfung der Oktober-Kennzahlen.

Mentions: Anthropisch

## Sources
- [Anthropische Forschung](https://www.anthropic.com/research/distillation-defenses)
- [Claude API bewahrte das Denken](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking)
- [Amazon Bedrock-Dokumentation](https://docs.aws.amazon.com/bedrock/latest/userguide/claude-messages-thinking-block-binding.html)
- [Unabhängige Destillations-Verteidigungsforschung](https://arxiv.org/abs/2606.25059)