Anthropic siết quyền truy cập chuỗi suy luận của Claude để chặn chưng cất model, lập trình viên phải sửa tích hợp API

Thứ Hai, 12/10/2026, Anthropic đăng bài chính sách “Strengthening our defenses against distillation attacks” (Tăng cường phòng thủ trước các cuộc tấn công chưng cất). Tuyên bố chính: tổ hợp biện pháp kỹ thuật mới đã giảm “khoảng 90 đến 99%” lượng dữ liệu suy luận mà các bên chưng cất rút được từ Claude. Bài viết còn nêu đích danh hai công ty Trung Quốc. Theo Anthropic, Zhipu đã tìm cách chưng cất năng lực an ninh mạng của các model hàng đầu của Mỹ khi phát triển GLM-5.3; còn các model Kimi của Moonshot thì “bí mật chuyển tiếp” một số yêu cầu của người dùng sang Claude, trong đó có một yêu cầu phân tích camera giám sát mà Anthropic cho là của một người có liên hệ với Quân Giải phóng Nhân dân Trung Quốc.

Báo chí công nghệ (The Decoder, AI Weekly…) chủ yếu khai thác phần cáo buộc địa chính trị. Nhưng với lập trình viên, phần đáng quan tâm hơn là kỹ thuật: Anthropic đang thay đổi những gì Messages API cho phép làm với phần suy luận của model, và bắt đầu tính tiền cả một số yêu cầu bị từ chối. Đây là lần đầu một phòng lab AI hàng đầu công khai thiết kế lại API của mình chỉ để ngăn đối thủ dùng đầu ra làm dữ liệu huấn luyện.

“Chưng cất” ở đây nghĩa là gì

Theo nghĩa thông thường trong học máy, chưng cất (distillation) là kỹ thuật hợp pháp: huấn luyện một model “học trò” nhỏ dựa trên đầu ra của một model “thầy” lớn hơn. Cái Anthropic gọi là tấn công chưng cất là làm điều đó một cách lén lút, ở quy mô công nghiệp, nhắm vào một API thương mại vốn cấm việc này, thường qua mạng lưới tài khoản giả. Anthropic nói các mạng lưới này nay đã thành “mạng proxy điều khiển hàng trăm nghìn tài khoản gian lận”; báo cáo hồi tháng 2 từng ghi nhận một mạng duy nhất vận hành hơn 20.000 tài khoản cùng lúc.

Thứ họ nhắm tới là bản ghi suy luận (reasoning transcript), chuỗi “suy nghĩ” dài mà model tạo ra trước khi trả lời. Anthropic đưa con số cụ thể: một model đã pretrain, khi fine-tune trên bản ghi của Claude Opus 4.8, đạt 80,4% trên benchmark SWE-bench Verified nếu dùng suy luận đầy đủ, nhưng chỉ 71,8% nếu dùng bản tóm tắt mà Anthropic vẫn hiển thị cho người dùng. Gần 9 điểm trên một benchmark lập trình là khoảng cách giữa “một model mở khá tốt” và “một model sát nhóm dẫn đầu”. Tóm tắt suy luận là lớp phòng thủ đầu tiên; kẻ tấn công đáp trả bằng cách dụ Claude chép lại nguyên văn phần suy luận ẩn. Theo Anthropic, một lab đã thử 12.000 yêu cầu kiểu này.

Ba lớp phòng thủ mới

1. Suy luận không được “di chuyển”. Thay đổi lập trình viên thấy rõ nhất là “preserved thinking” (giữ nguyên khối suy luận), ra mắt cùng Claude Fable 5.1 và Claude Opus 5.5. Các khối thinking mà API trả về vốn đã được mã hóa, nhưng Anthropic phát hiện kẻ tấn công sửa phần hội thoại xung quanh khối đó (system prompt, danh sách tool, các lượt trước) để lừa model tự giải mã rồi in ra. Từ nay, với tài khoản API tạo từ ngày 31/8/2026 trở đi, kể cả tổ chức dùng Claude qua Bedrock, Vertex AI và Azure Foundry, API kiểm tra xem khối thinking có được gửi lại cùng đúng ngữ cảnh đã sinh ra nó hay không, và báo lỗi nếu không khớp. Có chế độ “non-strict” (không nghiêm ngặt) để bỏ các khối bị ảnh hưởng thay vì làm hỏng cả yêu cầu. Trang hỗ trợ của Anthropic cho biết quy định sẽ áp dụng cho mọi tài khoản ở các bản model tương lai. Ngoài ra, các model cũ có cơ chế an toàn yếu hơn không còn đọc được suy luận của model mới, và với Claude Sonnet 5.5, bản ghi suy luận chỉ truy cập được bởi chính tổ chức đã gửi yêu cầu.

2. Bộ phân loại chặn hành vi trích xuất. Anthropic triển khai một classifier (bộ phân loại) hai tầng, dựa trên nghiên cứu “constitutional classifiers” trước đây, cho Sonnet 5.5, Opus 5 và 5.5, Fable 5 và 5.1. Hãng nói tỉ lệ báo nhầm dưới 0,1% và độ bền “gần tương đương” lớp chặn hỗ trợ chế tạo vũ khí sinh học. Các mẹo đã bị vá gồm: bảo Claude dịch phần suy luận trước đó sang ngôn ngữ khác, hoặc viết nó ra trong thẻ đặt cạnh câu trả lời.

3. Cố tình thì phải trả giá. Tài khoản cố thử nhiều lần sẽ bị giới hạn chặt hơn rồi bị khóa; Anthropic nói đã khóa “hàng chục nghìn” tài khoản liên quan tới chưng cất, thường trong vòng hai giờ sau khi một chiến dịch bắt đầu. Và từ 24/9, những yêu cầu bị cơ chế an toàn chặn trước khi Claude kịp trả lời vẫn bị tính phí, trong đó có nhóm liên quan đến chưng cất.

Kết quả, theo lời Anthropic

Anthropic ước tính lượng token suy luận bị rút trên nền tảng của mình giảm 10 đến 100 lần so với trước khi có classifier, tức con số 90–99%, và có những ngày lượng này nhỏ đến mức không đo được. Hãng cho biết đã từ chối “khoản doanh thu đáng kể và lưu lượng trả phí trị giá hàng nghìn tỷ token”.

Chưa có bên độc lập nào kiểm chứng các số liệu trên. Chúng đến từ dữ liệu giám sát nội bộ của Anthropic, trên những kẻ tấn công do chính Anthropic xác định. Bài viết cũng khá thẳng thắn về giới hạn: Anthropic thừa nhận “chưa thấy nỗ lực vượt rào nào thật sự tinh vi và bền bỉ”, gọi đây là “trò mèo vờn chuột”, và nói chưa đạt hoàn toàn mục tiêu đặt ra hồi tháng 2 là chặn chưng cất mà không ảnh hưởng người dùng hợp pháp. Trong loạt bài đưa tin ban đầu chưa thấy phản hồi của Zhipu hay Moonshot.

Bối cảnh GLM-5.3

Cáo buộc nhắm vào Zhipu gắn với một bài khác của nhóm Frontier Red Team ngày 29/9. Bài này cho rằng GLM-5.3 có thể tự xây dựng exploit (mã khai thác lỗ hổng) hoàn chỉnh: 50 trên 410 lần thử ở một benchmark khai thác engine V8, so với 56 của Claude Mythos Preview, và được phát hành mà gần như không có cơ chế chống lạm dụng. Ngày 17/9, Trung tâm Tiêu chuẩn và Đổi mới AI (CAISI) thuộc NIST của Mỹ đánh giá độc lập rằng GLM-5.3 là “model open-weight mạnh nhất về an ninh mạng từng được phát hành”, chậm hơn nhóm dẫn đầu của Mỹ khoảng bốn tháng. Cần lưu ý: bài tháng 9 không hề nhắc tới chưng cất; cáo buộc này chỉ xuất hiện ở bài mới, và Anthropic không công bố bằng chứng cụ thể.

Ý nghĩa với tương lai ngành IT

Có ba điểm đáng chú ý.

Thứ nhất, chuỗi suy luận đang trở thành tài sản cần bảo vệ, chứ không còn là đầu ra. Nhiều năm qua, “cho xem cách nghĩ” là điểm cộng của các model suy luận. Giờ thì chuỗi suy nghĩ đầy đủ bị mã hóa, tóm tắt, gắn chặt với ngữ cảnh và rào lại theo từng tổ chức. Nhiều khả năng các lab khác sẽ làm theo, vì chính Anthropic nói kẻ chưng cất rải lưu lượng qua nhiều API, chợ cloud và bên bán lại dịch vụ inference; một lab đóng cửa chỉ đẩy gánh nặng sang chỗ khác.

Thứ hai, các framework agent sẽ bị ảnh hưởng. Nhiều công cụ điều phối agent thường xuyên viết lại lịch sử hội thoại: cắt bớt lượt cũ, đổi system prompt giữa các bước, nạp lại định nghĩa tool. Dưới chế độ preserved thinking nghiêm ngặt, những thao tác đó có thể khiến yêu cầu bị lỗi nếu trong ngữ cảnh vẫn còn khối thinking. Nếu tài khoản của bạn mới tạo, hoặc khi quy định áp dụng cho tất cả, hãy kiểm thử lại phần quản lý ngữ cảnh, và chủ động chọn giữa báo lỗi nghiêm ngặt và chế độ non-strict vốn lặng lẽ bỏ đi phần suy luận.

Thứ ba, giờ bạn có thể phải trả tiền cho một lời từ chối. Tỉ lệ báo nhầm dưới 0,1% nghe nhỏ, cho tới khi bạn chạy hàng triệu yêu cầu mỗi ngày. Những người làm công cụ hợp pháp cần soi hoặc xử lý phần suy luận của model (bộ đánh giá eval, dashboard phân tích khả năng diễn giải, công cụ giảng dạy) lại chính là nhóm dễ bị nhìn nhầm thành kẻ trích xuất nhất.

Những câu hỏi còn bỏ ngỏ

Cách đo con số 90–99% không được mô tả chi tiết; đó là ước tính dựa trên những gì Anthropic còn quan sát được, mà kẻ tấn công giỏi nhất lại chính là kẻ có thể không bị nhìn thấy. Khoảng cách giữa 80,4% và 71,8% trên SWE-bench cũng cho thấy bản tóm tắt suy luận vẫn mang tín hiệu đáng kể, tức chưng cất chỉ bị làm cho đắt hơn chứ không phải bất khả thi. Còn cách đặt vấn đề, gắn một vụ vi phạm điều khoản thương mại với an ninh quốc gia, là lập luận mà Anthropic có lợi ích rõ ràng khi đưa ra. Các thay đổi kỹ thuật là có thật và kiểm chứng được trong tài liệu API; còn việc quy trách nhiệm và hiệu quả của biện pháp thì đến lúc này vẫn chỉ là lời của Anthropic.