2026 年 9 月 11 日，Anthropic 发布最新威胁情报报告，披露了一起针对 Claude 的大规模“非法蒸馏”案例。

报告称，XX 企业在部分场景下，没有使用用户以为自己正在调用的 xxx 模型处理请求，而是将请求静默转发给 Claude，再将 Claude 返回的答案展示给用户。

这些用户以为自己使用的是 xxx 模型，实际得到的却是 Claude 的回答。

Anthropic 进一步指控，XX 企业不仅使用 Claude 处理部分用户请求，还保存了至少一部分转发产生的交互，并建立思维链（CoT）提取流程，从 Claude 的响应中提取推理轨迹，用于训练自己的模型。

目前这些细节主要来自 Anthropic 单方面指控。

10 天转发近 30 万次请求，大部分由 Opus 处理

Anthropic 称，在其观察到的一段连续 10 天时间内，XX 企业向 Anthropic 转发了接近 30 万次客户请求，其中绝大多数被路由至 Claude Opus。

相关流量通过一个由 5380 个欺诈账号组成的代理网络进行访问，这些账号大多数显示位于新加坡和日本。

保存用户交互，并建立 CoT 提取流程

Anthropic 称，XX 企业还保存了至少一部分被转发的请求和 Claude 返回结果，并建立了一套 CoT 提取管线，用于从这些交互中恢复 Claude 的推理轨迹，并将相关数据用于训练模型。

报告还披露了一种具体的技术路径。

Claude 为降低完整内部推理被直接提取的风险，在 API 返回过程中会使用一种名为 thinking signature 的机制。该签名用于在后续 API 调用中引用此前的推理状态，而不是直接向调用方提供完整原始推理。

Anthropic 称，XX 企业相关操作方绕过了这一设计。

先保存 Claude 返回的 reasoning signature，随后开启新的会话，再利用该签名尝试恢复完整推理轨迹。

Anthropic 将这种方式称为 cross-session replay attack，即跨会话重放攻击。

Anthropic 称，这种跨会话重放方式使 XX 企业相关操作方能够获取原本不会直接返回的 CoT 推理记录。

Anthropic 表示，正在引入新的技术措施，加强对此类攻击的防御。

用户并不知道请求被转发给 Anthropic

除了模型蒸馏，Anthropic 在报告中还重点提出了用户数据问题。

Anthropic 称，被转发到 Claude 的 XX 用户请求中包含部分客户的敏感信息。

Anthropic 表示，目前无法确认 XX 企业是否曾告知这些用户，他们提交给 xxx 的请求会被进一步转发给 Anthropic。

报告列出了两个案例。

其中一名用户用户以为自己正在使用 xxx，对一名特定人员的监控数据进行分析，希望判断该人员行为是否存在异常。

按照 Anthropic 的调查，这些原本提交给 xxx 的数据实际上被进一步转发到了 Claude。

另一个案例是，一名工程师使用 xxx 建设内部系统，在这一过程中提交了内部代码，以及来自多家大型企业的有效访问凭证。

该用户并不知道自己提交给 xxx 的请求实际上被转发给了 Claude。

如果 Anthropic 的调查结果准确，这一案例涉及的就不只是模型蒸馏，还包括用户提交的数据是否在其不知情的情况下被发送给第三方模型提供商。

5 月至 7 月累计超过 2300 万次交互

在更长时间范围内，Anthropic 给出的数字远高于前述近 30 万次请求。

报告称，在 2026 年 5 月至 7 月期间，Anthropic 归因于 XX 企业的蒸馏活动累计超过 2300 万次交互。

云头条声明：如以上内容有误或侵犯到你公司、机构、单位或个人权益，请联系我们说明理由，我们会配合，无条件删除处理。