Anthropic meldet seit Einführung neuer Schutzmaßnahmen 10- bis 100-mal weniger Reasoning-Tokens, die mutmaßliche Distillation-Akteure aus Claude extrahieren konnten. Der am 12. Oktober veröffentlichte Bericht beschreibt erstmals mehrere technische Änderungen und ihre beobachtete Wirkung. Die Reduktion um ungefähr 90 bis 99 Prozent ist eine Messung des Unternehmens auf seiner eigenen Plattform. Sie ist keine unabhängig bestätigte Quote aller verhinderten Modelldiebstähle.
Geschützter Reasoning-Kontext lässt sich nicht mehr beliebig umhängen
Anthropic unterscheidet gewöhnliche Modellantworten von ausführlicheren Reasoning-Transkripten. Letztere sind für unerlaubtes Nachtrainieren besonders wertvoll. In einem unternehmenseigenen Vergleich erreichte ein auf vollständigen Opus-4.8-Transkripten trainiertes Modell 80,4 Prozent auf SWE-bench Verified. Mit zusammengefassten Transkripten waren es 71,8 Prozent. Das ist ein Test der Informationsqualität, keine Messung eines realen Angriffs.
Die neue Funktion „preserved thinking“ verhindert bei API-Accounts, die seit dem 31. August 2026 angelegt wurden, bestimmte nachträgliche Änderungen an früherem Modellkontext. Anthropic beschränkt außerdem die Übertragung geschützter Reasoning-Informationen zwischen Modellen mit unterschiedlich starken Schutzmaßnahmen. Bei Sonnet 5.5 ist der Zugriff auf solche Transkripte an die Organisation gebunden, die die Anfrage erzeugt hat.
Das adressiert einen spezifischen Fehler im Vertrauensmodell: Geschützter Kontext darf nicht durch seine Wiederverwendung in einer anderen Sitzung, Organisation oder Modellkonfiguration plötzlich als freigegebene Information gelten.
Zwei Klassifikationsstufen prüfen Extraktionsversuche
Zusätzlich setzt Anthropic ein zweistufiges Klassifikationssystem ein, das Anfragen auf die unerlaubte Offenlegung geschützten Reasonings untersucht. Laut Unternehmen erkennt es inzwischen alle in seinem Septemberbericht beschriebenen Extraktionsmethoden. Die gemeldete Falsch-Positiv-Rate liegt unter 0,1 Prozent. Ohne veröffentlichte vollständige Testdaten und unabhängige Reproduktion bleibt das ein Herstellerergebnis.
Auffällige Accounts unterliegen strengeren Nutzungslimits. Bei wiederholten Versuchen werden Konten gesperrt. Anthropic berichtet von zehntausenden gesperrten Accounts, häufig innerhalb von zwei Stunden nach Beginn einer erkannten Kampagne. Seit dem 24. September berechnet das Unternehmen in bestimmten Bereichen auch blockierte Anfragen, sofern die Schutzsysteme eine Falsch-Positiv-Rate unter 0,1 Prozent erreichen.
Die Messgröße ist extrahiertes Reasoning, nicht kopierte Modellfähigkeit
Der Rückgang um Faktor 10 bis 100 bezieht sich auf geschätzte extrahierte Reasoning-Tokens, nicht auf sämtliche abgewehrten API-Anfragen oder die tatsächliche Qualität eines möglichen Nachbaumodells. Anthropic räumt ein, dass hochgradig anpassungsfähige, lang andauernde Umgehungsversuche die neuen Maßnahmen noch nicht umfassend getestet haben.
Die Einschränkungen haben auch Kosten für legitime Entwickler: Einige Integrationen mussten an den unveränderlichen Kontext angepasst werden; selten können harmlose Anfragen blockiert werden. Für Anbieter eigener Agenten- und Modellplattformen ist die Architektur dennoch konkret nachvollziehbar. Sensibler Zwischenkontext benötigt eigene Zugriffsregeln, die über einzelne Prompts hinaus gelten. Account-Monitoring ergänzt diese Grenze, ersetzt sie aber nicht.
Quellen: Anthropic Research, 12.10.2026: https://www.anthropic.com/research/distillation-defenses Reuters, 13.10.2026: https://www.reuters.com/world/china/anthropic-says-new-safeguards-sharply-reduce-ai-distillation-attacks-2026-10-13/