Anthropicの蒸留対策で抜かれるデータが9割以上減。新規APIは過去の文脈を編集できない

📖 この記事で分かること

• Anthropicが発表した蒸留攻撃への対策の中身
• 抜き取られるデータが9割以上減ったという説明
• preserved thinkingが効くモデルとAPIアカウント
• 開発者が確かめておきたい点

💡 知っておきたい用語

• 蒸留攻撃:他社モデルの答えを大量に集め、それを教材にして自分のモデルを育てる手口。模範解答を丸写しして実力をつけるようなもの

最終更新日: 2026年10月13日

▶ 公式ページ

• Distillation defenses(研究ブログ)(Anthropic)
• Claude Opus 5.5 製品ページ(Anthropic)

発表の概要

この記事のポイント

• Anthropicが2026年10月12日、蒸留攻撃への対策で抜き取られるデータがおよそ90〜99%減ったと発表しました。
• 2026年8月31日以降に作ったAPIアカウントのFable 5.1・Opus 5.5(2026年10月時点)では、過去の文脈を書き換えられません。
• 誤検知率は0.1%未満と説明しています。

Claude APIで会話履歴を加工しながら送り直す実装を持つ開発者は、新しく作ったアカウントでは前提が変わります。Anthropicは2026年10月12日、蒸留攻撃への対策を強めたと研究ブログで発表しました。

対策の柱は2つです。1つは分類器(リクエストの内容から蒸留目的の利用を見分ける仕組み)による検出、もう1つはpreserved thinking(APIの利用者がClaudeの過去の文脈を書き換えられないようにする仕組み)です。Anthropicは、初期の結果として、蒸留者が集めるデータがおよそ90〜99%減ったと説明しています。

preserved thinkingの対象と働き

開発者の実装に直接関わるのは、preserved thinkingのほうです。Opus 5.5の製品ページによると、対象はFable 5.1とOpus 5.5で、2026年8月31日以降に作られたAPIアカウントに適用されます。

狙いについて、Anthropicは「Claudeの推論を引き出す目的で、APIの利用者がClaudeの過去の文脈を編集することを止める」と説明しています。過去のアシスタントの出力を書き換えて送り直し、本来は出さない推論を引き出す手口を塞ぐものです。

ここで押さえておきたい条件は2つです。

• 対象は「アカウントの作成日」と「モデル」の組み合わせで決まる。8月31日より前に作ったアカウントや、上記2モデル以外は、この製品ページの記載の対象に入っていない
• 書き換えを試みたときにAPIがどう応答するかは、今回の出典の引用部分には書かれていない

もう一方の分類器について、Anthropicは安全策の誤検知率(正当な利用を誤って蒸留と判定してしまう割合)を0.1%未満としています。ゼロではないため、大量のリクエストを流す正当な用途でも、まれに判定に引っかかる可能性は残ります。

開発者への影響

影響を受けやすいのは、新しいAPIアカウントでFable 5.1やOpus 5.5を使い、過去のアシスタント出力を要約・整形・差し替えしてから次のリクエストに載せている実装です。会話履歴を圧縮するエージェントや、出力を後処理して文脈に戻すパイプラインがこれに当たります。

次にできることは、手元の構成が対象かどうかを確認することです。確認するのは、APIアカウントの作成日が2026年8月31日以降か、使っているモデルがFable 5.1かOpus 5.5か、過去のアシスタント出力を書き換えて送っている箇所があるか、の3点です。3つとも当てはまる場合は、本番に入れる前に、検証環境でその箇所の挙動を確かめておくと安全です。

今後については、Anthropicは「蒸留者にとって同じように魅力的な今後のモデルにも、この仕組みを使う予定」としています。新しいモデルへ移るときは、同じ制約がかかる前提で履歴の扱いを設計しておくと手戻りが減ります。

編集部の見方

編集部は、開発者にとって今回の本題は「90〜99%減」という数字ではなく、preserved thinkingによるAPI挙動の変化のほうだと見ています。

• 根拠1: 90〜99%という数字は、Anthropic自身が「初期の結果」として示したもので、利用者の側から検証できる値ではない。
• 根拠2: 一方でpreserved thinkingは、2026年8月31日以降に作ったアカウントのFable 5.1・Opus 5.5で、過去の文脈を書き換えられないという具体的な仕様の変化であり、履歴を加工する実装に直接響く。
• 根拠3: Anthropicは今後のモデルにも使う予定としており、一時的な措置ではなく、モデル選定のたびに意識する前提になる。

この見方が変わる条件は、適用範囲の変更です。既存のアカウントにも広がる、あるいは書き換え時の挙動が公式に詳しく示されれば、確認の優先度はさらに上がります。

よくある質問

Q: 既存のAPIアカウントにもpreserved thinkingはかかりますか?

A: Opus 5.5の製品ページでは、対象を2026年8月31日以降に作られたAPIアカウントのFable 5.1とOpus 5.5としています。

Q: 正当な利用が蒸留と誤って判定されることはありますか?

A: Anthropicは安全策の誤検知率を0.1%未満としています。ゼロではないため、大量のリクエストを扱う用途では、この割合を念頭に置いておくのが現実的です。

Q: 今後のモデルにも同じ対策が入りますか?

A: Anthropicは、蒸留の標的になりやすい今後のモデルにもこの仕組みを使う予定としています。

まとめ

Anthropicは、分類器とpreserved thinkingによる蒸留対策で、抜き取られるデータがおよそ90〜99%減ったと発表しました。開発者が具体的に確かめるべきなのは、2026年8月31日以降に作ったアカウントでFable 5.1やOpus 5.5を使い、過去の文脈を書き換える実装を持っているかどうかです。

【用語解説】

• 分類器: 入力を見て、あらかじめ決めた種類のどれに当たるかを判定する仕組み。ここでは蒸留目的の利用かどうかを見分けるのに使われる
• preserved thinking: APIの利用者がClaudeの過去の文脈を編集できないようにする仕組み。推論を引き出す手口への対策として導入された
• 誤検知率: 本来は問題のない利用を、誤って問題ありと判定してしまう割合

引用元:

• [1] Distillation defenses(Anthropic)
• [2] Claude Opus 5.5(Anthropic)

この記事について: AI 支援で執筆、編集部が事実確認・編集しています。誤りや追加情報があれば Contact よりお知らせください。