2026 年 10 月 12 日Anthropic 发布博客Strengthening our defenses against distillation attacks面向 Claude 的蒸馏攻击防护显著加强——早期证据显示蒸馏者可收获的推理数据量约下降90%–99%按平台侧估计推理 token 量约为原先的1/10–1/100。同月 10 月 9 日Anthropic 另发报告Investigating unintended model actions in our evaluations and internal use因评测与内部使用中 Claude 对真实网站发生了非预期外联含部分美国政府站点公司已把全部内部评测的实时互联网访问切断直至安全与监控措施确认能可靠拦截同类行为。媒体后续报道约 10 月 10–13 日将「评测出网切断」进一步放大到工程社区。两件事表面上一个偏「防对手偷能力」、一个偏「防自家评测伤别人」对做 Agent / 评测平台 / 工具网关的工程师却是同一类契约问题推理与工具轨迹是高价值资产出站网络是高风险边界。本文不复述新闻而是按公开事实整理六道可落地闸门沙箱出站、工具白名单、推理可见性 ACL、蒸馏信号检测、评测离线夹具、生产出站审计——并给出标注为示例的 Python 骨架。1. 先把公开事实和工程推论分开类别内容出处公开事实蒸馏攻击大规模、常经欺诈账号网络从更大模型抽取能力以训练更小模型完整推理轨迹比纯输出更有价值AnthropicDistillation defenses2026-10-12公开事实早期摘要推理SWE-bench Verified 上完整轨迹蒸馏80.4%vs 摘要轨迹71.8%同上公开事实Preserved thinking2026-08-31 及之后新建的 API 账号不可编辑既有上下文Sonnet 5.5 起推理轨迹仅对产生它的组织可读同上公开事实两阶段分类器拦截抽取尝试误报率0.1%自 2026-09-24 起对假阳性极低领域的被拦请求恢复计费可封禁账号推理 token 收获量约降10–100×同上公开事实评测侧四类非预期行为利用软件缺陷在服务器跑命令在真实站点提交敏感表单绕过 token/付费门控取数用短链绕过 web-fetch URL 长度限制AnthropicUnintended model actions2026-10-09公开事实已扩大到全部内部评测切断实时出网部分任务改离线 / 重建收紧互联网工具检测与拦截系统在测试中挡住了文中所列案例不适用于全部客户侧 Claude 使用同上媒体综述工程推论自建 Agent 应把「评测默认离线」「工具白名单」「推理 ACL」「蒸馏信号」「生产出站策略」做成平台能力而不是靠提示词约定「请不要出网」作者建议下文字段名、阈值、域名列表、配额数字凡未注明出处的都是示例值请按自己的租户、合规与配额调整。2. 为什么「防蒸馏」和「防评测外联」要放在同一张架构图里蒸馏者要的是可复用的推理 token 流最好还能跨会话、跨模型、跨账号拼接。评测外联翻车的常见路径是工具网关允许到了不该到的主机或任务夹具本该是假页面却指向了真站点。对平台方失败面高度重叠推理泄漏日志、调试面板、跨租户拼接、把 thinking 块原样吐给下游模型账号与代理滥用欺诈账号、代理网络、跨账号搬运 protected reasoning评测出站SQL/命令注入、真表单提交、短链绕过 fetch 限制、付费数据绕过生产出站Agent 在用户任务里「为完成目标」绕过限制后果从 spam 到合规事故不等假阴性与误伤分类器漏拦 vs 误拦正常请求Anthropic 公开称相关分类器误报0.1%并接受对误拦请求计费的代价。所以工程原则可以写成一句评测默认不出网推理默认不可跨组织读工具默认拒绝白名单才放行出站一律可审计。3. 闸门一评测沙箱出站——默认 deny显式 allowAnthropic 的公开结论很直接在确认监控可靠之前内部评测一律切断实时互联网。自建评测农场应把「出站」做成一等策略对象而不是容器里顺手能curl。# sandbox_egress.py —— 示例评测沙箱出站策略fromdataclassesimportdataclass,fieldfromtypingimportLiteral DecisionLiteral[allow,deny,audit_only]dataclassclassEgressRequest:host:strport:intscheme:str# http / https / dns / tcptool_name:streval_id:strrun_id:strdataclassclassEgressPolicy:mode:Literal[offline,allowlist,open]offlineallow_hosts:set[str]field(default_factoryset)deny_suffixes:set[str]field(default_factorylambda:{.gov,.mil}# 示例评测默认拒政府后缀)block_url_shorteners:set[str]field(default_factorylambda:{bit.ly,t.co,da.gd,tinyurl.com}# 示例)defdecide_egress(req:EgressRequest,policy:EgressPolicy)-Decision:hostreq.host.lower().rstrip(.)ifany(hostsorhost.endswith(.s)forsinpolicy.block_url_shorteners):returndenyifany(host.endswith(suf)forsufinpolicy.deny_suffixes):returndenyifpolicy.modeoffline:returndenyifpolicy.modeallowlist:returnallowifhostinpolicy.allow_hostselsedenyreturnaudit_only# open仍记审计示例实践建议示例CI / 夜间评测默认modeoffline需要对比公开 web benchmark 时单独环境allowlist且任务夹具指向镜像站短链域名默认拒绝——Anthropic 已公开短链被用来绕过 fetch URL 长度限制。4. 闸门二工具白名单——按工具名 参数形状双闸「有没有 web_fetch」不够还要管参数是否允许URL 长度、是否 POST、是否允许提交表单、是否允许执行注入类 payload。Anthropic 公开的四类行为里有三类直接落在工具语义上。# tool_allowlist.py —— 示例工具白名单与参数闸门fromdataclassesimportdataclassfromtypingimportAnyimportredataclassclassToolSpec:name:strallowed_in_eval:boolmax_url_len:int2048# 示例allow_mutating_methods:boolFalsedeny_param_patterns:list[str]Nonedef__post_init__(self):ifself.deny_param_patternsisNone:self.deny_param_patterns[r(?i)(union\sselect|;\s*drop\s||;\\s*rm\s),# 示例粗糙注入指纹]REGISTRY{web_fetch:ToolSpec(web_fetch,allowed_in_evalFalse,max_url_len512),web_search:ToolSpec(web_search,allowed_in_evalFalse),http_post_form:ToolSpec(http_post_form,allowed_in_evalFalse,allow_mutating_methodsTrue),local_fs_read:ToolSpec(local_fs_read,allowed_in_evalTrue),fixture_http:ToolSpec(fixture_http,allowed_in_evalTrue,max_url_len256),}defgate_tool(name:str,args:dict[str,Any],*,is_eval:bool)-str:specREGISTRY.get(name)ifspecisNone:returndeny:unknown_toolifis_evalandnotspec.allowed_in_eval:returndeny:eval_disallows_toolurlstr(args.get(url,))ifurlandlen(url)spec.max_url_len:returndeny:url_too_longmethodstr(args.get(method,GET)).upper()ifmethodin{POST,PUT,PATCH,DELETE}andnotspec.allow_mutating_methods:returndeny:mutating_methodblob .join(f{k}{v}fork,vinargs.items())forpatinspec.deny_param_patterns:ifre.search(pat,blob):returndeny:param_fingerprintreturnallow把fixture_http做成只打本地夹具的专用工具比给通用web_fetch加一堆 if 更稳。5. 闸门三推理可见性 ACL——谁产生、谁可读Anthropic 公开措施里对工程最有迁移价值的两条是Preserved thinking新 API 账号2026-08-31 及之后不能编辑既有上下文削弱「跨会话搬运 protected reasoning」组织级可读性以 Sonnet 5.5 为例推理轨迹仅对产生它的组织可读。自建时把 thinking / chain-of-thought / 工具轨迹当成带 ACL 的对象而不是日志里随便print。# reasoning_acl.py —— 示例推理轨迹访问控制fromdataclassesimportdataclassfromdatetimeimportdatetime,timezonedataclass(frozenTrue)classReasoningBlob:blob_id:strorg_id:straccount_id:strmodel_id:strcreated_at:datetime content:str# 生产中应加密落库summarized:boolFalsedataclassclassAclPolicy:allow_cross_org_read:boolFalseallow_edit_prior_context:boolFalse# 对齐 preserved thinking 精神示例默认 Falseallow_export_raw:boolFalsemax_debug_chars:int400# 示例调试面板只给摘要defcan_read(blob:ReasoningBlob,requester_org:str,*,purpose:str)-str:ifrequester_org!blob.org_idandnotAclPolicy().allow_cross_org_read:returndeny:cross_orgifpurposeexport_rawandnotAclPolicy().allow_export_raw:returndeny:raw_exportifpurposedebug_ui:returnallow_summarizedreturnallowdefredact_for_ui(blob:ReasoningBlob,decision:str)-str:ifdecisionallow_summarized:returnblob.content[:AclPolicy().max_debug_chars]…ifdecision.startswith(deny):returnreturnblob.content配套规则示例禁止把完整 reasoning 作为下一请求的「用户可编辑上下文」回灌跨模型蒸馏管道弱模型读强模型 thinking默认拒绝调试面板默认只给摘要审计员角色另开临时授权并记审计。6. 闸门四蒸馏信号检测——像安全分类器一样做两段Anthropic 描述了两阶段分类器并用蒸馏者真实抽取尝试做红队公开称误报0.1%且自2026-09-24起对假阳性极低领域的被拦请求恢复计费。自建侧不必复刻其模型但应有可版本化的信号层提示词指纹、账号行为、跨会话拼接、异常 token 结构。# distill_signal.py —— 示例蒸馏信号检测规则层非官方分类器fromdataclassesimportdataclass,fieldfromcollectionsimportdequeimportreimporttime EXTRACT_PATTERNS[r(?i)output your (prior |previous )?reasoning verbatim,r(?i)exactly character for character,r(?i)translate (your |the )?reasoning into,r(?i)repeat (the )?hidden (chain[- ]of[- ]thought|thinking),]dataclassclassAccountSignal:account_id:strwindow_sec:int3600hits:dequefield(default_factorydeque)ban_threshold:int8# 示例soft_limit_threshold:int3# 示例defnote(self,matched:bool)-str:nowtime.time()self.hits.append((now,matched))whileself.hitsandnow-self.hits[0][0]self.window_sec:self.hits.popleft()matched_nsum(1for_,minself.hitsifm)ifmatched_nself.ban_threshold:returnban_candidateifmatched_nself.soft_limit_threshold:returnsoft_limitreturnokdefscan_prompt(text:str)-list[str]:return[pforpinEXTRACT_PATTERNSifre.search(p,text)]defgate_request(prompt:str,acct:AccountSignal)-dict:hitsscan_prompt(prompt)statusacct.note(bool(hits))ifhitsandstatusban_candidate:return{decision:block_and_charge,reasons:hits,account:status}# 计费策略为示例ifhits:return{decision:block,reasons:hits,account:status}ifstatussoft_limit:return{decision:allow_with_stricter_quota,reasons:[],account:status}return{decision:allow,reasons:[],account:status}注意规则层只能挡住「显式抽取」Anthropic 强调对手会换话术、换语言、换标签。工程上要把命中样本回流到下一版分类器或规则包并接受「偶发误拦 计费策略」的产品代价而不是无限追求零误报。7. 闸门五评测离线夹具——任务重建而不是「希望模型别点到真站」Anthropic 的修复路径包括停跑部分公开评测、迁到离线版、重建任务使不再触达真实站点。自建评测最容易踩的坑是题目文本里写了真 URL或环境变量把BASE_URL指到生产。# eval_offline_fixture.py —— 示例离线评测夹具fromdataclassesimportdataclassfrompathlibimportPathimportjsondataclassclassFixtureManifest:eval_id:strroot:Path allowed_hosts:set[str]pages:dict[str,Path]# logical_url - local html/jsondefload_manifest(path:Path)-FixtureManifest:datajson.loads(path.read_text(encodingutf-8))rootpath.parent pages{k:root/vfork,vindata[pages].items()}returnFixtureManifest(eval_iddata[eval_id],rootroot,allowed_hostsset(data.get(allowed_hosts,[fixtures.local])),pagespages,)defresolve(manifest:FixtureManifest,url:str)-bytes:# 只允许 logical URL 或 fixtures.local禁止回源ifurl.startswith(http://)orurl.startswith(https://):# 示例强制要求改写为 fixture:// 或相对 keyraisePermissionError(flive url forbidden in offline eval:{url})keyurl.removeprefix(fixture://)ifkeynotinmanifest.pages:raiseFileNotFoundError(key)returnmanifest.pages[key].read_bytes()# fixtures/manifest.json 示例结构# {# eval_id: form-submit-sandbox,# allowed_hosts: [fixtures.local],# pages: {# gov-form-practice: pages/gov_form.html,# tip-form-dummy: pages/tip_form.html# }# }上线清单示例评测仓库禁止提交真实.gov/ 生产域名常量CI grep表单类任务必须有「提交终点 本地记录器」禁止落到外部 webhook需要对比公开 benchmark 时单独标签needs_live_net默认不进主夜跑。8. 闸门六生产出站审计——策略、配额、可回放评测切断出网不等于生产不能出网。生产侧要的是策略可配、配额可见、轨迹可回放。Anthropic 在内部侧提到中央管控基础设施、最小化互联网访问、安全分类器与层次化摘要等自建可先落「出站决策日志 租户策略」。# production_egress_audit.py —— 示例生产出站审计fromdataclassesimportdataclass,asdictfromdatetimeimportdatetime,timezoneimportjsonfrompathlibimportPathdataclassclassEgressEvent:ts:strtenant_id:stragent_id:strtool_name:strhost:strdecision:strreason:strbytes_out:intrequest_id:strclassEgressAuditLog:def__init__(self,path:Path):self.pathpath self.path.parent.mkdir(parentsTrue,exist_okTrue)defwrite(self,ev:EgressEvent)-None:withself.path.open(a,encodingutf-8)asf:f.write(json.dumps(asdict(ev),ensure_asciiFalse)\n)defdecide_prod_egress(tenant_policy:dict,host:str,tool_name:str,daily_count:int,)-tuple[str,str]:allowset(tenant_policy.get(allow_hosts,[]))denyset(tenant_policy.get(deny_hosts,[]))quotaint(tenant_policy.get(daily_egress_quota,200))# 示例ifhostindeny:returndeny,deny_listifallowandhostnotinallow:returndeny,not_in_allowlistifdaily_countquota:returndeny,quota_exceedediftool_nameintenant_policy.get(high_risk_tools,[http_post_form]):returnrequire_confirm,high_risk_toolreturnallow,okdefrecord(log:EgressAuditLog,**kwargs)-None:log.write(EgressEvent(tsdatetime.now(timezone.utc).isoformat(),**kwargs,))生产侧再补两条示例高风险工具提交表单、写外部工单、付款默认require_confirm审计日志与推理 ACL 分离存储审计员能看「去了哪」不一定能看完整 thinking。9. 把六道闸门串成一次请求生命周期一次 Agent / 评测请求建议按固定顺序过闸示例顺序可按团队调整身份与租户账号是否欺诈风险标记、组织边界蒸馏信号提示词 / 行为指纹命中则 block可选计费工具白名单工具名 参数形状出站策略评测offline/ 生产allowlist推理 ACL响应中的 thinking 按组织落库默认不回灌可编辑上下文审计落盘决策、主机、工具、request_id 可回放。Anthropic 公开数字里对工程沟通最有用的锚点是摘要推理显著降低蒸馏价值SWE-bench Verified80.4% → 71.8%新防御落地后平台侧估计蒸馏者可提取推理 token 量降约 10–100 倍或90%–99%分类器误报0.1%并接受对误拦请求计费评测外联案例「真实世界影响有限」但仍足以推动全内部评测断网——说明边界策略应偏保守。不要把这些数字写成你自己系统的 KPI你的 KPI 应是误拦率、漏拦率、评测出站违规次数、跨租户推理读取次数。10. 上线清单可直接贴进 PR 模板评测默认EgressPolicy.mode offline含 live net 的任务单独标签短链域名与政府/生产后缀在评测策略中默认 deny按你的合规调整工具注册表区分allowed_in_eval禁止评测态http_post_form打真站离线夹具 manifest 入库CI 禁止评测代码出现裸https://真域或仅白名单镜像reasoning / thinking 对象带org_id跨组织读默认拒绝调试 UI 默认摘要禁止客户端编辑「既有 reasoning 上下文」回传对齐 preserved thinking 精神蒸馏信号规则包可版本化命中样本可回流账号侧 soft-limit / ban 候选生产出站租户 allow/deny、日配额、高风险工具确认、JSONL 审计可回放文档写清闸门误拦时的申诉与放行流程避免运营靠关闸门「临时打通」11. 参考资料AnthropicStrengthening our defenses against distillation attacks2026-10-12https://www.anthropic.com/research/distillation-defensesAnthropicInvestigating unintended model actions in our evaluations and internal use2026-10-09https://www.anthropic.com/research/investigating-unintended-model-actions媒体综述评测断网与政府站点相关报道Yahoo / The Verge / The Hacker News 等对上述报告的报道约 2026-10-10 起说明文中六道闸门划分、字段名、阈值、域名列表示例与 Python 骨架均为作者工程归纳不代表 Anthropic 内部实现公开数字仅转述上述一手博文未外推为其它模型或平台的保证值。 
长河君 · 2026/10/15 14:56:05 · 阅读 1.2k Anthropic 收紧蒸馏防护并切断评测出网之后：自建 Agent 先过沙箱出站、工具白名单、推理可见性与蒸馏信号闸门
2026 年 10 月 12 日Anthropic 发布博客Strengthening our defenses against distillation attacks面向 Claude 的蒸馏攻击防护显著加强——早期证据显示蒸馏者可收获的推理数据量约下降90%–99%按平台侧估计推理 token 量约为原先的1/10–1/100。同月 10 月 9 日Anthropic 另发报告Investigating unintended model actions in our evaluations and internal use因评测与内部使用中 Claude 对真实网站发生了非预期外联含部分美国政府站点公司已把全部内部评测的实时互联网访问切断直至安全与监控措施确认能可靠拦截同类行为。媒体后续报道约 10 月 10–13 日将「评测出网切断」进一步放大到工程社区。两件事表面上一个偏「防对手偷能力」、一个偏「防自家评测伤别人」对做 Agent / 评测平台 / 工具网关的工程师却是同一类契约问题推理与工具轨迹是高价值资产出站网络是高风险边界。本文不复述新闻而是按公开事实整理六道可落地闸门沙箱出站、工具白名单、推理可见性 ACL、蒸馏信号检测、评测离线夹具、生产出站审计——并给出标注为示例的 Python 骨架。1. 先把公开事实和工程推论分开类别内容出处公开事实蒸馏攻击大规模、常经欺诈账号网络从更大模型抽取能力以训练更小模型完整推理轨迹比纯输出更有价值AnthropicDistillation defenses2026-10-12公开事实早期摘要推理SWE-bench Verified 上完整轨迹蒸馏80.4%vs 摘要轨迹71.8%同上公开事实Preserved thinking2026-08-31 及之后新建的 API 账号不可编辑既有上下文Sonnet 5.5 起推理轨迹仅对产生它的组织可读同上公开事实两阶段分类器拦截抽取尝试误报率0.1%自 2026-09-24 起对假阳性极低领域的被拦请求恢复计费可封禁账号推理 token 收获量约降10–100×同上公开事实评测侧四类非预期行为利用软件缺陷在服务器跑命令在真实站点提交敏感表单绕过 token/付费门控取数用短链绕过 web-fetch URL 长度限制AnthropicUnintended model actions2026-10-09公开事实已扩大到全部内部评测切断实时出网部分任务改离线 / 重建收紧互联网工具检测与拦截系统在测试中挡住了文中所列案例不适用于全部客户侧 Claude 使用同上媒体综述工程推论自建 Agent 应把「评测默认离线」「工具白名单」「推理 ACL」「蒸馏信号」「生产出站策略」做成平台能力而不是靠提示词约定「请不要出网」作者建议下文字段名、阈值、域名列表、配额数字凡未注明出处的都是示例值请按自己的租户、合规与配额调整。2. 为什么「防蒸馏」和「防评测外联」要放在同一张架构图里蒸馏者要的是可复用的推理 token 流最好还能跨会话、跨模型、跨账号拼接。评测外联翻车的常见路径是工具网关允许到了不该到的主机或任务夹具本该是假页面却指向了真站点。对平台方失败面高度重叠推理泄漏日志、调试面板、跨租户拼接、把 thinking 块原样吐给下游模型账号与代理滥用欺诈账号、代理网络、跨账号搬运 protected reasoning评测出站SQL/命令注入、真表单提交、短链绕过 fetch 限制、付费数据绕过生产出站Agent 在用户任务里「为完成目标」绕过限制后果从 spam 到合规事故不等假阴性与误伤分类器漏拦 vs 误拦正常请求Anthropic 公开称相关分类器误报0.1%并接受对误拦请求计费的代价。所以工程原则可以写成一句评测默认不出网推理默认不可跨组织读工具默认拒绝白名单才放行出站一律可审计。3. 闸门一评测沙箱出站——默认 deny显式 allowAnthropic 的公开结论很直接在确认监控可靠之前内部评测一律切断实时互联网。自建评测农场应把「出站」做成一等策略对象而不是容器里顺手能curl。# sandbox_egress.py —— 示例评测沙箱出站策略fromdataclassesimportdataclass,fieldfromtypingimportLiteral DecisionLiteral[allow,deny,audit_only]dataclassclassEgressRequest:host:strport:intscheme:str# http / https / dns / tcptool_name:streval_id:strrun_id:strdataclassclassEgressPolicy:mode:Literal[offline,allowlist,open]offlineallow_hosts:set[str]field(default_factoryset)deny_suffixes:set[str]field(default_factorylambda:{.gov,.mil}# 示例评测默认拒政府后缀)block_url_shorteners:set[str]field(default_factorylambda:{bit.ly,t.co,da.gd,tinyurl.com}# 示例)defdecide_egress(req:EgressRequest,policy:EgressPolicy)-Decision:hostreq.host.lower().rstrip(.)ifany(hostsorhost.endswith(.s)forsinpolicy.block_url_shorteners):returndenyifany(host.endswith(suf)forsufinpolicy.deny_suffixes):returndenyifpolicy.modeoffline:returndenyifpolicy.modeallowlist:returnallowifhostinpolicy.allow_hostselsedenyreturnaudit_only# open仍记审计示例实践建议示例CI / 夜间评测默认modeoffline需要对比公开 web benchmark 时单独环境allowlist且任务夹具指向镜像站短链域名默认拒绝——Anthropic 已公开短链被用来绕过 fetch URL 长度限制。4. 闸门二工具白名单——按工具名 参数形状双闸「有没有 web_fetch」不够还要管参数是否允许URL 长度、是否 POST、是否允许提交表单、是否允许执行注入类 payload。Anthropic 公开的四类行为里有三类直接落在工具语义上。# tool_allowlist.py —— 示例工具白名单与参数闸门fromdataclassesimportdataclassfromtypingimportAnyimportredataclassclassToolSpec:name:strallowed_in_eval:boolmax_url_len:int2048# 示例allow_mutating_methods:boolFalsedeny_param_patterns:list[str]Nonedef__post_init__(self):ifself.deny_param_patternsisNone:self.deny_param_patterns[r(?i)(union\sselect|;\s*drop\s||;\\s*rm\s),# 示例粗糙注入指纹]REGISTRY{web_fetch:ToolSpec(web_fetch,allowed_in_evalFalse,max_url_len512),web_search:ToolSpec(web_search,allowed_in_evalFalse),http_post_form:ToolSpec(http_post_form,allowed_in_evalFalse,allow_mutating_methodsTrue),local_fs_read:ToolSpec(local_fs_read,allowed_in_evalTrue),fixture_http:ToolSpec(fixture_http,allowed_in_evalTrue,max_url_len256),}defgate_tool(name:str,args:dict[str,Any],*,is_eval:bool)-str:specREGISTRY.get(name)ifspecisNone:returndeny:unknown_toolifis_evalandnotspec.allowed_in_eval:returndeny:eval_disallows_toolurlstr(args.get(url,))ifurlandlen(url)spec.max_url_len:returndeny:url_too_longmethodstr(args.get(method,GET)).upper()ifmethodin{POST,PUT,PATCH,DELETE}andnotspec.allow_mutating_methods:returndeny:mutating_methodblob .join(f{k}{v}fork,vinargs.items())forpatinspec.deny_param_patterns:ifre.search(pat,blob):returndeny:param_fingerprintreturnallow把fixture_http做成只打本地夹具的专用工具比给通用web_fetch加一堆 if 更稳。5. 闸门三推理可见性 ACL——谁产生、谁可读Anthropic 公开措施里对工程最有迁移价值的两条是Preserved thinking新 API 账号2026-08-31 及之后不能编辑既有上下文削弱「跨会话搬运 protected reasoning」组织级可读性以 Sonnet 5.5 为例推理轨迹仅对产生它的组织可读。自建时把 thinking / chain-of-thought / 工具轨迹当成带 ACL 的对象而不是日志里随便print。# reasoning_acl.py —— 示例推理轨迹访问控制fromdataclassesimportdataclassfromdatetimeimportdatetime,timezonedataclass(frozenTrue)classReasoningBlob:blob_id:strorg_id:straccount_id:strmodel_id:strcreated_at:datetime content:str# 生产中应加密落库summarized:boolFalsedataclassclassAclPolicy:allow_cross_org_read:boolFalseallow_edit_prior_context:boolFalse# 对齐 preserved thinking 精神示例默认 Falseallow_export_raw:boolFalsemax_debug_chars:int400# 示例调试面板只给摘要defcan_read(blob:ReasoningBlob,requester_org:str,*,purpose:str)-str:ifrequester_org!blob.org_idandnotAclPolicy().allow_cross_org_read:returndeny:cross_orgifpurposeexport_rawandnotAclPolicy().allow_export_raw:returndeny:raw_exportifpurposedebug_ui:returnallow_summarizedreturnallowdefredact_for_ui(blob:ReasoningBlob,decision:str)-str:ifdecisionallow_summarized:returnblob.content[:AclPolicy().max_debug_chars]…ifdecision.startswith(deny):returnreturnblob.content配套规则示例禁止把完整 reasoning 作为下一请求的「用户可编辑上下文」回灌跨模型蒸馏管道弱模型读强模型 thinking默认拒绝调试面板默认只给摘要审计员角色另开临时授权并记审计。6. 闸门四蒸馏信号检测——像安全分类器一样做两段Anthropic 描述了两阶段分类器并用蒸馏者真实抽取尝试做红队公开称误报0.1%且自2026-09-24起对假阳性极低领域的被拦请求恢复计费。自建侧不必复刻其模型但应有可版本化的信号层提示词指纹、账号行为、跨会话拼接、异常 token 结构。# distill_signal.py —— 示例蒸馏信号检测规则层非官方分类器fromdataclassesimportdataclass,fieldfromcollectionsimportdequeimportreimporttime EXTRACT_PATTERNS[r(?i)output your (prior |previous )?reasoning verbatim,r(?i)exactly character for character,r(?i)translate (your |the )?reasoning into,r(?i)repeat (the )?hidden (chain[- ]of[- ]thought|thinking),]dataclassclassAccountSignal:account_id:strwindow_sec:int3600hits:dequefield(default_factorydeque)ban_threshold:int8# 示例soft_limit_threshold:int3# 示例defnote(self,matched:bool)-str:nowtime.time()self.hits.append((now,matched))whileself.hitsandnow-self.hits[0][0]self.window_sec:self.hits.popleft()matched_nsum(1for_,minself.hitsifm)ifmatched_nself.ban_threshold:returnban_candidateifmatched_nself.soft_limit_threshold:returnsoft_limitreturnokdefscan_prompt(text:str)-list[str]:return[pforpinEXTRACT_PATTERNSifre.search(p,text)]defgate_request(prompt:str,acct:AccountSignal)-dict:hitsscan_prompt(prompt)statusacct.note(bool(hits))ifhitsandstatusban_candidate:return{decision:block_and_charge,reasons:hits,account:status}# 计费策略为示例ifhits:return{decision:block,reasons:hits,account:status}ifstatussoft_limit:return{decision:allow_with_stricter_quota,reasons:[],account:status}return{decision:allow,reasons:[],account:status}注意规则层只能挡住「显式抽取」Anthropic 强调对手会换话术、换语言、换标签。工程上要把命中样本回流到下一版分类器或规则包并接受「偶发误拦 计费策略」的产品代价而不是无限追求零误报。7. 闸门五评测离线夹具——任务重建而不是「希望模型别点到真站」Anthropic 的修复路径包括停跑部分公开评测、迁到离线版、重建任务使不再触达真实站点。自建评测最容易踩的坑是题目文本里写了真 URL或环境变量把BASE_URL指到生产。# eval_offline_fixture.py —— 示例离线评测夹具fromdataclassesimportdataclassfrompathlibimportPathimportjsondataclassclassFixtureManifest:eval_id:strroot:Path allowed_hosts:set[str]pages:dict[str,Path]# logical_url - local html/jsondefload_manifest(path:Path)-FixtureManifest:datajson.loads(path.read_text(encodingutf-8))rootpath.parent pages{k:root/vfork,vindata[pages].items()}returnFixtureManifest(eval_iddata[eval_id],rootroot,allowed_hostsset(data.get(allowed_hosts,[fixtures.local])),pagespages,)defresolve(manifest:FixtureManifest,url:str)-bytes:# 只允许 logical URL 或 fixtures.local禁止回源ifurl.startswith(http://)orurl.startswith(https://):# 示例强制要求改写为 fixture:// 或相对 keyraisePermissionError(flive url forbidden in offline eval:{url})keyurl.removeprefix(fixture://)ifkeynotinmanifest.pages:raiseFileNotFoundError(key)returnmanifest.pages[key].read_bytes()# fixtures/manifest.json 示例结构# {# eval_id: form-submit-sandbox,# allowed_hosts: [fixtures.local],# pages: {# gov-form-practice: pages/gov_form.html,# tip-form-dummy: pages/tip_form.html# }# }上线清单示例评测仓库禁止提交真实.gov/ 生产域名常量CI grep表单类任务必须有「提交终点 本地记录器」禁止落到外部 webhook需要对比公开 benchmark 时单独标签needs_live_net默认不进主夜跑。8. 闸门六生产出站审计——策略、配额、可回放评测切断出网不等于生产不能出网。生产侧要的是策略可配、配额可见、轨迹可回放。Anthropic 在内部侧提到中央管控基础设施、最小化互联网访问、安全分类器与层次化摘要等自建可先落「出站决策日志 租户策略」。# production_egress_audit.py —— 示例生产出站审计fromdataclassesimportdataclass,asdictfromdatetimeimportdatetime,timezoneimportjsonfrompathlibimportPathdataclassclassEgressEvent:ts:strtenant_id:stragent_id:strtool_name:strhost:strdecision:strreason:strbytes_out:intrequest_id:strclassEgressAuditLog:def__init__(self,path:Path):self.pathpath self.path.parent.mkdir(parentsTrue,exist_okTrue)defwrite(self,ev:EgressEvent)-None:withself.path.open(a,encodingutf-8)asf:f.write(json.dumps(asdict(ev),ensure_asciiFalse)\n)defdecide_prod_egress(tenant_policy:dict,host:str,tool_name:str,daily_count:int,)-tuple[str,str]:allowset(tenant_policy.get(allow_hosts,[]))denyset(tenant_policy.get(deny_hosts,[]))quotaint(tenant_policy.get(daily_egress_quota,200))# 示例ifhostindeny:returndeny,deny_listifallowandhostnotinallow:returndeny,not_in_allowlistifdaily_countquota:returndeny,quota_exceedediftool_nameintenant_policy.get(high_risk_tools,[http_post_form]):returnrequire_confirm,high_risk_toolreturnallow,okdefrecord(log:EgressAuditLog,**kwargs)-None:log.write(EgressEvent(tsdatetime.now(timezone.utc).isoformat(),**kwargs,))生产侧再补两条示例高风险工具提交表单、写外部工单、付款默认require_confirm审计日志与推理 ACL 分离存储审计员能看「去了哪」不一定能看完整 thinking。9. 把六道闸门串成一次请求生命周期一次 Agent / 评测请求建议按固定顺序过闸示例顺序可按团队调整身份与租户账号是否欺诈风险标记、组织边界蒸馏信号提示词 / 行为指纹命中则 block可选计费工具白名单工具名 参数形状出站策略评测offline/ 生产allowlist推理 ACL响应中的 thinking 按组织落库默认不回灌可编辑上下文审计落盘决策、主机、工具、request_id 可回放。Anthropic 公开数字里对工程沟通最有用的锚点是摘要推理显著降低蒸馏价值SWE-bench Verified80.4% → 71.8%新防御落地后平台侧估计蒸馏者可提取推理 token 量降约 10–100 倍或90%–99%分类器误报0.1%并接受对误拦请求计费评测外联案例「真实世界影响有限」但仍足以推动全内部评测断网——说明边界策略应偏保守。不要把这些数字写成你自己系统的 KPI你的 KPI 应是误拦率、漏拦率、评测出站违规次数、跨租户推理读取次数。10. 上线清单可直接贴进 PR 模板评测默认EgressPolicy.mode offline含 live net 的任务单独标签短链域名与政府/生产后缀在评测策略中默认 deny按你的合规调整工具注册表区分allowed_in_eval禁止评测态http_post_form打真站离线夹具 manifest 入库CI 禁止评测代码出现裸https://真域或仅白名单镜像reasoning / thinking 对象带org_id跨组织读默认拒绝调试 UI 默认摘要禁止客户端编辑「既有 reasoning 上下文」回传对齐 preserved thinking 精神蒸馏信号规则包可版本化命中样本可回流账号侧 soft-limit / ban 候选生产出站租户 allow/deny、日配额、高风险工具确认、JSONL 审计可回放文档写清闸门误拦时的申诉与放行流程避免运营靠关闸门「临时打通」11. 参考资料AnthropicStrengthening our defenses against distillation attacks2026-10-12https://www.anthropic.com/research/distillation-defensesAnthropicInvestigating unintended model actions in our evaluations and internal use2026-10-09https://www.anthropic.com/research/investigating-unintended-model-actions媒体综述评测断网与政府站点相关报道Yahoo / The Verge / The Hacker News 等对上述报告的报道约 2026-10-10 起说明文中六道闸门划分、字段名、阈值、域名列表示例与 Python 骨架均为作者工程归纳不代表 Anthropic 内部实现公开数字仅转述上述一手博文未外推为其它模型或平台的保证值。