Anthropic、蒸留対策の効果と副作用を公表 - 出力前の拒否もbio・frontier_llm・reasoning_extractionは課金

Anthropicは2026年10月12日付の研究記事「Strengthening our defenses against distillation attacks」で、蒸留攻撃への対策とその効果を公表した¹。同社の推計では、新しい分類器を入れてから、蒸留者が同社のプラットフォーム上で抜き出せたClaudeの推論トークンは、導入前の10〜100分の1に減ったという。

API を組み込んで使う側にとって見逃せないのは、同社が記事の後半で自ら挙げた副作用のほうだ。preserved thinking のために一部の開発者は統合を直す必要があった。分類器は0.1%未満の割合で無害なリクエストを取り違えてブロックしうる。そして、ブロックしたリクエストにも料金がかかる¹。この課金は研究記事より前、9月24日のリリースノートで告知されていた変更である³。

課金されるのは bio・frontier_llm・reasoning_extraction

Claude Fable 5.1・Fable 5・Opus 5.5・Opus 5・Sonnet 5.5・Haiku 5.5 には安全性分類器が組み込まれている。分類器がリクエストを断ると、API はエラーではなく HTTP 200 の通常のレスポンスとして stop_reason: "refusal" を返し、どの領域で止めたかを stop_details.category に入れる²。

2026年10月14日時点の公式ドキュメントでは、出力が始まる前に断られた場合の課金が、このカテゴリによって次のように分かれている。

stop_details.category	対象の要旨	出力前の拒否の課金
bio	生物学的な被害につながりうる要求（有益な生命科学の作業でも発火しうる）	あり
frontier_llm	競合するAIモデルの開発の支援（無害な機械学習の作業でも発火しうる）	あり
reasoning_extraction	モデルの内部推論を応答の本文に再現させる要求	あり
cyber	サイバー被害につながりうる要求	なし
general_harms	上の4つ以外の利用ポリシー領域	なし
null	名前の付いたカテゴリに当てはまらない拒否	なし

課金される拒否は、そのリクエストを処理したモデルの料金で、ほかのリクエストと同じように請求される。応答の content は空でも、トークン数は usage に載り、レート制限の消費にも数えられる。出力の途中で止まった拒否については、入力トークンとそこまでに流れた出力が通常料金で課金される。こちらは9月24日より前から課金されていた。

対象は Claude API だけではない。ドキュメントは、Amazon Bedrock、Claude Platform on AWS、Google Cloud、Microsoft Foundry を含むすべてのプラットフォームに同じ課金ルールを当てはめるとしている。

見落としやすいのはフォールバックとの組み合わせだ。断られたリクエストを別のモデルで再実行するフォールバックを使った場合、きっかけになった拒否が課金カテゴリに当たるか途中で止まったものなら、その拒否の分とフォールバック先のリクエストの分が両方請求される。

6月に止めた課金を、9月24日に3カテゴリで戻した

リリースノートをさかのぼると、Anthropic は2026年6月2日に、Claude API で出力を生成する前に拒否したリクエストを課金しないことにしていた³。9月24日の変更はそれを「再開」と表現し、対象を誤検知の量が少ないと同社が測っている bio・frontier_llm・reasoning_extraction の3カテゴリに絞った。ほかのカテゴリの出力前の拒否は引き続き課金せず、フォールバッククレジットの仕組みも変えていない。

研究記事は、この課金を蒸留対策のひとつとして位置づけている。推論の抜き出しを繰り返す利用者には厳しい利用制限をかけ、執拗な場合はアカウントを停止する。それと並べて、誤検知率が0.1%未満の領域（蒸留を含む）では、応答前にブロックしたリクエストへの課金を9月24日から再開した、という書き方だ¹。

一方、ドキュメントの説明は「2026年9月時点で誤検知が少ないと測定しているカテゴリ」にとどまり、0.1%という数値は出てこない。課金するカテゴリは今後の測定と改善次第で変わりうる、とも明記されている²。0.1%未満という数字は、あくまで研究記事での Anthropic の自己申告として読む必要がある。

reasoning_extraction を招くプロンプト

reasoning_extraction については、原因になりやすいプロンプトと直し方をドキュメントが具体的に示している。ドキュメントによれば、この拒否はたいてい、モデルに思考や推論をそのまま、あるいは決まった形式で出力させようとするプロンプトから生じる。例として、回答の前にモデルが埋める <thinking> や scratchpad の欄、JSON 出力やツール入力に置いた reasoning・thinking・trace といったフィールドなどが挙がっている。こうした指示はシステムプロンプトだけでなく、スキルやツールの説明文に入っていることもあるので、そちらも確認するよう求めている²。

答えの短い説明や根拠、実行した操作の要約を求めることは引き続きできる。推論の過程を見たい場合は display: "summarized" を指定して thinking ブロックを読む、というのがドキュメントの案内だ。このカテゴリには推奨のフォールバック先がないため、リトライではなくプロンプトを直すよう書かれている。

研究記事が新たに塞いだ手口として挙げているのも、以前の推論を別の言語に訳させる、回答と並べてタグの中に書き出させる、といった指示である¹。推論を出力本文のタグに書かせる設計は、悪意がなくても蒸留の手口と同じ形になると考えられ、既存の統合で使っている場合は見直しの対象になる。

3系統の対策と、同社が示した効果

蒸留は、能力の高いモデルの出力で小さなモデルを訓練する手法で、それ自体は広く使われる（仕組みは用語解説「モデルの蒸留と量子化とは」を参照）。Anthropic が問題にしているのは、偽アカウント網などを使って許可なく能力を抜き出す産業規模の攻撃で、その実態は9月の脅威レポートで詳しく報告されていた。研究記事によれば、防御はほぼ全面的に、Claude が回答前に書く推論を蒸留者に渡さないことに向けられている¹。

初期の対策のひとつが推論の要約だった。同社の評価では、Claude Opus 4.8 の記録で訓練したモデルの SWE-bench Verified のスコアは、推論の全文で訓練すると80.4%、要約だけだと71.8%だったという。ただ、蒸留者は要約を回避して全文を引き出そうとするようになり、今回の記事では次の3系統の対策を説明している。

1つ目は推論の行き先の制限だ。Fable 5.1 と Opus 5.5 で preserved thinking を導入し、新しい API アカウントが Claude の過去のコンテキストを書き換えられないようにした¹。対象となるアカウントの条件は Opus 5.5 の記事で触れたとおりで、2026年8月31日以降に作成されたものだ。これらのモデルの推論を、蒸留対策の弱い以前のモデルから読めないようにもした。Sonnet 5.5 では、生成した thinking ブロックが、生成元のアカウントか、それに関連づけたアカウントでしか使えなくなっている³。

2つ目は2段階の分類器だ。蒸留者が推論を抜き出そうとした記録を使って社内外のレッドチーミングを行い、見つかった穴を塞いだという。同社はこの分類器の堅牢さを、生物兵器の開発支援を防ぐセーフガードと同程度だとし、誤検知率を0.1%未満と説明している¹。適用先は、同社が一般提供中のモデルで最も能力が高いとする Sonnet 5.5、Opus 5 と 5.5、Fable 5 と 5.1 である。3つ目が、上で触れた利用制限・アカウント停止・課金による反復試行の抑止だ。

効果について同社は、分類器の導入後、自社プラットフォーム上で蒸留者が抜き出した推論トークンは一貫して導入前の10〜100分の1で、日によっては測れないほど少なかったと推計している。蒸留に関わる数万件のアカウントを停止し、多くの場合は蒸留を始めてから2時間以内に停止したという。一般提供中の最上位モデルについては、9月のレポートで挙げた手口をすべてこの分類器で捕まえられるようになったとしている。いずれも第三者の検証ではなく同社自身の推計で、効果がいつまで続くかは分からず、高度で執拗な回避の試みはまだ見ていない、とも記事は書いている。

見積もりと統合で確認しておくこと

Anthropic は2月の時点で、正当な利用者の体験を損なわずに蒸留を難しくすることを目標に掲げていた。今回の研究記事は、その目標を完全には達成できていないと認めたうえで、統合の修正、0.1%未満の誤ブロック、ブロックへの課金の3点を挙げている¹。言い換えれば、課金の判定には誤検知が含まれうることを、同社自身が前提にしている。

機械学習の研究開発や生命科学の業務で Claude を使っている場合、frontier_llm と bio の拒否は、無害な作業でも起こりうるとドキュメント自身が書いている²。拒否も請求とレート制限の対象になる以上、stop_reason が refusal だったレスポンスについて stop_details.category と usage をログに残し、課金カテゴリの拒否がどの程度出ているかを把握しておくと、見積もりのずれを早く見つけられる。分岐は content ではなく stop_reason で判定するよう、ドキュメントは勧めている。

課金カテゴリの拒否をきっかけにフォールバックが実行されると、2回分の請求が立つ。preserved thinking が適用される Fable 5.1・Opus 5.5 を新しいアカウントで使う場合は、会話の途中で Claude の過去のコンテキストを書き換える処理が統合に残っていないかを確かめておきたい。課金の対象カテゴリは今後も変わりうるため、見積もりの前提にするときは、その時点のドキュメントの表を確認するのが確実だ。

Sources

1. Strengthening our defenses against distillation attacks - Anthropic公式（2026年10月12日）
2. Refusals and fallback - Claude Platform ドキュメント（「How refusals are billed」節。2026年10月14日確認）
3. Claude Platform release notes - Anthropic（2026年9月24日の項ほか）