Anthropic का कहना है कि एंटी-डिस्टिलेशन डिफ़ेंस ने हमलावरों की उपज लगभग 90-99% घटा दी

FACT. 2026-10-12 को एंथ्रोपिक (Anthropic) ने "Strengthening our defenses against distillation attacks" शीर्षक से एक रिसर्च ब्लॉग पोस्ट https://www.anthropic.com/research/distillation-defenses पर प्रकाशित की। यह पोस्ट:

1. अवैध डिस्टिलेशन (illicit distillation) को "एक मॉडल (model) की क्षमताओं को चुपचाप, औद्योगिक पैमाने पर निकालकर दूसरे मॉडल में उतारने के अभियान" बताती है — "मूल मॉडल के डेवलपर्स की अनुमति के बिना", जो आम तौर पर "धोखाधड़ी वाले खातों के नेटवर्क का इस्तेमाल करके" चलाए जाते हैं।
2. एक मुख्य नतीजा बताती है: "शुरुआती साक्ष्य बताते हैं कि इन तरीक़ों ने डिस्टिलरों (distillers) द्वारा जमा किए जाने वाले डेटा की मात्रा को लगभग 90 से 99% तक घटा दिया है।"
3. अंतर्निहित माप एक अलग इकाई में देती है: डिस्टिलरों द्वारा निकाले गए Claude रीज़निंग टोकन (reasoning tokens) की मात्रा "पहले की तुलना में लगातार 10 से 100 गुना कम है"।
4. अब प्रोडक्शन में मौजूद तीन रक्षा परतों का वर्णन करती है (अनुभाग 5)।
5. दो विरोधी कर्ताओं को उदाहरण के तौर पर नाम देती है: Zhipu (GLM-5.3, साइबर क्षमता) और Moonshot (Kimi, रिक्वेस्ट रिलेइंग (request relaying))।
6. ट्रेड-ऑफ़ (trade-offs) स्वीकार करती है: ठुकराया गया राजस्व, "खरबों टोकन के बराबर का भुगतान करने वाला ट्रैफ़िक" अस्वीकार किया जाना, डेवलपर्स का इंटीग्रेशन (integration) अपडेट करने पर मजबूर होना, एक क्लासिफ़ायर (classifier) जो 0.1% से कम मामलों में बेनाइन (benign) अनुरोधों को गलत पहचानता है, और ब्लॉक किए गए अनुरोधों का बिलिंग।
7. अनिश्चितता स्वीकार करती है: "हमें अभी नहीं पता कि ये लाभ कितने समय तक टिकेंगे… हमने अभी तक इन्हें दरकिनार करने का कोई बेहद परिष्कृत और लगातार चलने वाला प्रयास नहीं देखा है।"

FACT. यह पोस्ट एंथ्रोपिक (Anthropic) के डिस्टिलेशन खुलासों की श्रृंखला में चौथी है (फ़रवरी 2026, फिर सितंबर 2026 की थ्रेट-इंटेलिजेंस रिपोर्ट (threat-intelligence report), अब यह रक्षा-पक्ष की पोस्ट)।

COMPANY CLAIM. 90–99% कमी, 10×–100× टोकन कमी, 0.1% से कम की फ़ॉल्स-पॉज़िटिव दर, "लगभग उतनी ही मज़बूत जितनी वे जो Claude को जैव-हथियार बनाने में मदद करने से रोकती हैं" वाली तुलना, और प्रतिबंधित "दसियों हज़ार" खाते (अक्सर अभियान शुरू होने के "दो घंटे से भी कम" में)।

INDEPENDENT EVIDENCE (कमज़ोर रूप)। कई स्वतंत्र आउटलेट्स ने एक दिन के भीतर इस पोस्ट को कवर किया — Cryptobriefing, एक रॉयटर्स (Reuters) वायर आइटम, Resultsense, explainx.ai, aiweekly, superpowerdaily, finance.biggo, dealroom। यह इस बात की पुष्टि करता है कि एंथ्रोपिक ने यह प्रकाशित किया और यह कहा। यह प्रभाव-आकार (effect size) की पुष्टि नहीं करता।

INDEPENDENT EVIDENCE (नकारात्मक)। explainx.ai सीधे कहता है कि उसे "90 से 99 प्रतिशत कमी, निकाले गए रीज़निंग टोकन में 10x से 100x गिरावट, या फ़ॉल्स पॉज़िटिव दर का कोई स्वतंत्र ऑडिट नहीं मिला, और एंथ्रोपिक उन प्रयासों को मापने की अपनी कार्यप्रणाली प्रकाशित नहीं करता जिन्हें वह कभी देखता ही नहीं।"

साक्ष्य-स्थिति टिप्पणी। यह किसी लैब (lab) का अपना रिपोर्ट किया हुआ परिचालन-परिणाम है, कोई पीयर-रिव्यूड (peer-reviewed) या स्वतंत्र रूप से दोहराया गया निष्कर्ष नहीं। इसलिए मुख्य आँकड़े को इस पूरे दस्तावेज़ में COMPANY CLAIM माना गया है, FACT या INDEPENDENTLY VERIFIED नहीं। जहाँ प्रकाशन के अस्तित्व और सामग्री का सवाल है, वह FACT है। जहाँ प्रभाव-आकार (effect size) का सवाल है, वह CLAIM है। एक स्वतंत्र लेख स्पष्ट रूप से कहता है कि उसे 90–99% कमी, 10×–100× टोकन गिरावट, या क्लासिफ़ायर (classifier) की फ़ॉल्स-पॉज़िटिव दर (false-positive rate) का कोई भी स्वतंत्र ऑडिट नहीं मिला।

तीन अलग-अलग चीज़ें बदलीं, और इन्हें एक में नहीं मिलाया जाना चाहिए।

डेवलपर दर्शकों के लिए सबसे असरदार बदलाव तीसरे क्रम का है: रीज़निंग पर लगा एक एंटी-अब्यूज़ (anti-abuse) नियंत्रण अब इस बात में ब्रेकिंग चेंज (breaking change) बन गया है कि मल्टी-टर्न कॉन्टेक्स्ट (multi-turn context) कैसे जोड़ा जाता है। यह नया है। पहले का एंटी-डिस्टिलेशन काम (दिखाने से पहले रीज़निंग का सारांश बनाना) इंटीग्रेशन के लिए अदृश्य था। प्रिज़र्व्ड थिंकिंग (preserved thinking) ऐसा नहीं है।

पहले (लगभग फ़रवरी – सितंबर 2026)

• FACT / COMPANY CLAIM. एंथ्रोपिक (Anthropic) ने बड़े पैमाने की अवैध डिस्टिलेशन का खुलासा किया था: फ़रवरी 2026 की एक पोस्ट, जिसमें लगभग 24,000 धोखाधड़ी वाले खातों का उपयोग करने वाले 16 मिलियन से अधिक आदान-प्रदानों (exchanges) के अभियानों का वर्णन था (जिनमें एक नेटवर्क ऐसा था जिसमें एक साथ 20,000 से अधिक खाते थे); सितंबर 2026 की एक थ्रेट-इंटेलिजेंस रिपोर्ट, जिसने "लगभग 200 मिलियन" डिस्टिलेशन-संबंधी आदान-प्रदानों को पाँच अभियानों से जोड़ा, जिनमें सबसे बड़ा अलीबाबा (Alibaba) के Qwen से जुड़ा था — मई और जुलाई 2026 के बीच 151 मिलियन से अधिक आदान-प्रदान, जो लगभग 3,500 खातों में प्रतिदिन लगभग 3 मिलियन तक पहुँचा।
• COMPANY CLAIM. शुरुआती रक्षाएँ "सरल" थीं: Claude दिखाने से पहले अपनी रीज़निंग का सारांश बना देता था। हमलावरों ने सक्रिय एक्सट्रैक्शन (active extraction) से जवाब दिया — Claude से पिछली रीज़निंग ज्यों-की-त्यों आउटपुट करने को कहना, उसे अनुवाद के ज़रिये साफ़ करना, थिंकिंग सिग्नेचर (thinking signature) को सत्रों के पार दोहराना — और प्रॉक्सी नेटवर्क (proxy network) के ज़रिये पैमाना बढ़ाया।
• FACT. रीज़निंग ब्लॉक्स पहले बातचीतों के पार, मॉडलों के पार और खातों के पार दोहराए जा सकते थे; जिस हमलावर के पास पोर्टेबल सिग्नेचर (portable signature) हो, उसके पास ठीक उसी आर्टिफ़ैक्ट पर टिकाऊ पकड़ थी जिसे रक्षा छिपाने के लिए बनी थी।
• FACT. ब्लॉक किए गए अनुरोधों का बिल नहीं लगता था, इसलिए बार-बार जाँच करना हमलावर के लिए मुफ़्त था।

बदलाव (2026-10-12 का प्रकाशन, जो पिछले महीनों में पूरा किए गए काम का वर्णन करता है)

• Preserved thinking को Claude Fable 5.1 और Claude Opus 5.5 के साथ भेजा गया (प्रलेखित एपीआई व्यवहार)। यह नए API खातों को — यानी 2026-08-31 00:00 UTC को या उसके बाद बनाए गए खातों को — Claude के पिछले कॉन्टेक्स्ट को संपादित करने से रोकता है; रीज़निंग ब्लॉक्स कमज़ोर सुरक्षा-उपायों वाले मॉडलों के पार अपठनीय हो जाते हैं; और Claude Sonnet 5.5 पर ट्रांसक्रिप्ट (transcript) केवल उसी संगठन के लिए पठनीय रहते हैं जिसने उन्हें बनाया।
• दो-चरणीय एक्सट्रैक्शन क्लासिफ़ायर (extraction classifier), जो एंथ्रोपिक के कॉन्स्टिट्यूशनल क्लासिफ़ायर (constitutional classifier) वाले दृष्टिकोण पर बना है, जिसका आंतरिक और बाहरी रूप से रेड-टीमिंग (red-teaming) हुआ, और जो Claude Sonnet 5.5, Opus 5, Opus 5.5, Fable 5 और Fable 5.1 पर चलता है, तथा जिसकी दावा की गई फ़ॉल्स-पॉज़िटिव दर 0.1% से नीचे है।
• फ़्रिक्शन इकोनॉमिक्स (friction economics): बार-बार निकासी करने वालों के लिए सख़्त उपयोग-सीमाएँ, प्रतिबंध ("दसियों हज़ार" खाते), और — 2026-09-24 से — उन अनुरोधों का शुल्क लेना जिन्हें Claude के जवाब देने से पहले सुरक्षा-उपाय ब्लॉक कर देते हैं, उन क्षेत्रों में जहाँ फ़ॉल्स-पॉज़िटिव दर 0.1% से नीचे है।

बाद में (2026-10-13 तक की स्थिति)

• COMPANY CLAIM. डिस्टिलर 10×–100× कम रीज़निंग टोकन निकालते हैं; कुछ दिनों में "इतना कम कि मापा ही न जाए"; क्लासिफ़ायर सबसे सक्षम आम तौर पर उपलब्ध मॉडलों पर "सितंबर रिपोर्ट में बताई गई डिस्टिलेशन की सभी तकनीकों को पकड़ लेता है"।
• FACT. मौजूदा Claude API इंटीग्रेशन की एक ग़ैर-मामूली श्रेणी को अपेंड-ओनली (append-only, यानी प्रीफ़िक्स-स्थिर) बनाने के लिए दोबारा लिखना पड़ेगा, और एंथ्रोपिक के अपने दस्तावेज़ ऐसा न करने की क़ीमत बताते हैं (अनुभाग 9)।
• INTERPRETATION. रीज़निंग ट्रेस (reasoning trace) अब इन्फ़रेंस का उपोत्पाद नहीं, बल्कि एक नियंत्रित, प्रोवाइडर-राशन किया गया संसाधन बन गए हैं। यही वह बदलाव है जिसकी आधी-आयु (half-life) सबसे लंबी है।
• PREDICTION. उम्मीद रखें कि प्रभाव-आकार (effect size) क्षय होगा, और इस पर सार्वजनिक विवाद होगा कि यह आँकड़ा रक्षा माप रहा है या श्रेय-निर्धारण क्षमता (attribution capability) माप रहा है।

एंथ्रोपिक (Anthropic) की पोस्ट तीन परतों का वर्णन करती है, जो सब एक ही संपत्ति पर लक्षित हैं: Claude का रीज़निंग ट्रेस (reasoning trace), क्योंकि "किसी मॉडल की सामान्य रीज़निंग क्षमता लगभग हर काम में उसका प्रदर्शन तय करती है", और रीज़निंग एक स्टूडेंट (student) को यह सिखाती है कि उत्तर कैसे निकाला गया, केवल यह नहीं कि वह क्या था।

परत 1 — नियंत्रित करें कि रीज़निंग कहाँ जा सकती है (संरचनात्मक)। प्लेटफ़ॉर्म दस्तावेज़ (https://platform.claude.com/docs/en/build-with-claude/preserved-thinking) के अनुसार, प्रिज़र्व्ड थिंकिंग (preserved thinking) हर लौटाए गए thinking/redacted_thinking ब्लॉक को दो अक्षों पर जाँचकर काम करता है:

• मॉडल बाइंडिंग (model binding)। "मॉडल इस ब्लॉक को पढ़ सकता है।" हर मॉडल अपने ब्लॉक्स और एक तय समूह के दूसरे मॉडलों के ब्लॉक्स पढ़ता है। Claude Fable 5.1, Opus 5 और (Claude API पर) Opus 5.5 के ब्लॉक्स पढ़ता है; न Opus 5 और न Opus 5.5, Fable 5.1 के ब्लॉक्स पढ़ते हैं। अपठनीय ब्लॉक्स चुपचाप छोड़ दिए जाते हैं (या बीटा हेडर (beta header) के तहत model_binding_mismatch के रूप में रिपोर्ट होते हैं)।
• प्रीफ़िक्स बाइंडिंग (prefix binding)। "थिंकिंग ब्लॉक से पहले कुछ भी नहीं बदला है।" जाँचा जाने वाला प्रीफ़िक्स है टॉप-लेवल system प्रॉम्प्ट (prompt), tools का समूह, और ब्लॉक से पहले का हर message। अगर प्रीफ़िक्स उस समय से अलग है जब ब्लॉक बनाया गया था, तो वह ब्लॉक और उसके बाद का हर थिंकिंग ब्लॉक अमान्य है; एपीआई डिफ़ॉल्ट रूप से 400 invalid_request_error लौटाता है, या यदि thinking.block_binding.prefix_mismatch_behavior को "drop_block" पर सेट किया गया है तो उन्हें छोड़ देता है।
• अकाउंट बाइंडिंग (account binding)। Claude Sonnet 5.5 और Haiku 5.5 पर थिंकिंग ब्लॉक्स उसी खाते से बंधे होते हैं जिसने उन्हें बनाया; किसी दूसरे खाते के ब्लॉक्स छोड़ दिए जाते हैं।

प्रवर्तन (enforcement): प्रीफ़िक्स जाँच मॉडल-जाँच के लिए सभी खातों पर लागू होती है, लेकिन डिफ़ॉल्ट रूप से केवल 2026-08-31 00:00 UTC को या उसके बाद बनाए गए खातों पर लागू की जाती है। पुराने खातों को बीटा हेडर thinking-binding-controls-2026-08-01 के ज़रिये खुद ऑप्ट-इन (opt in) करना होगा। यही वह खोखलापन है जिसे एंथ्रोपिक की पोस्ट "नए API खातों को… Claude के पिछले कॉन्टेक्स्ट को संपादित करने से रोकता है" कहकर संदर्भित करती है।

परत 2 — निकासी के प्रयासों को रोकें और उन्हें भरें (क्लासिफ़ायर)। एक दो-चरणीय क्लासिफ़ायर (classifier) उन अनुरोधों का पता लगाता है जो छिपी हुई रीज़निंग निकालने की कोशिश करते हैं, और इसमें एंथ्रोपिक के कॉन्स्टिट्यूशनल-क्लासिफ़ायर (constitutional-classifier) काम का आर्किटेक्चरल पैटर्न अपनाया गया है। एंथ्रोपिक कहता है कि इसका रेड-टीमिंग (red-teaming) आंतरिक और बाहरी दोनों तरह से हुआ, मिली कमज़ोरियाँ ठीक की गईं, और अब यह डिज़ाइन विशिष्ट रूप से सूचीबद्ध तकनीकों को ब्लॉक करता है (Claude से पिछली रीज़निंग का दूसरी भाषा में अनुवाद करने को कहना; उससे टैग के भीतर रीज़निंग लिखने को कहना)।

परत 3 — दोहराव को महँगा बनाएँ (फ़्रिक्शन)। बार-बार निकासी करने वालों को सख़्त सीमाएँ मिलती हैं; लगातार ऐसा करने वालों पर प्रतिबंध लगता है; और इन्फ़रेंस से पहले ब्लॉक किए गए अनुरोध बिल योग्य होते हैं। इससे जाँच करना मुफ़्त से मीटर-युक्त (metered) हो जाता है।

माप। एंथ्रोपिक अपने ही प्लेटफ़ॉर्म पर, क्लासिफ़ायर से पहले और बाद में, निकाले गए रीज़निंग टोकन का अनुमान लगाता है। 10× गिरावट 90% कमी है; 100× गिरावट 99% कमी है। इसलिए "90–99%" वाला मुख्य आँकड़ा "10 से 100 गुना कम" वाले प्लेटफ़ॉर्म-पक्षीय माप का पुनर्कथन है — एक ही संख्या दो इकाइयों में, दो स्वतंत्र नतीजे नहीं।

FACT-स्तर। मॉडल डिस्टिलेशन (model distillation) वह तंत्र है जिससे एक संसाधन-संपन्न प्रतिस्पर्धी कंप्यूट (compute), रिसर्च संगठन या सेफ़्टी-ट्रेनिंग बजट के बिना फ़्रंटियर क्षमता के क़रीब पहुँच सकता है। यह क्षमता-हस्तांतरण का वह अकेला चैनल भी है जो पीड़ित के अपने ही इन्फ़्रास्ट्रक्चर के भीतर से चलता है।

COMPANY CLAIM. एंथ्रोपिक का बताया गया दोहरा तर्क: (a) डिस्टिल्ड मॉडल "आनुपातिक रूप से मज़बूत सुरक्षा-उपायों के बिना" रिलीज़ किए जाते हैं, इसलिए डिस्टिल्ड जीव-विज्ञान और साइबर क्षमता दुरुपयोग का जोखिम है; (b) डिस्टिल्ड क्षमता विदेशी "सैन्य, ख़ुफ़िया और निगरानी प्रणालियों" में बहती है, जिससे यह सेवा-शर्तों (terms of service) का नहीं, राष्ट्रीय-सुरक्षा का मामला बन जाता है।

INDEPENDENT EVIDENCE. यह ढाँचा अब केवल एंथ्रोपिक का नहीं रहा। NSA/CISA/FBI की संयुक्त साइबरसिक्योरिटी एडवाइज़री (AA26-251A, 2026-09-08) चीन-आधारित औद्योगिक पैमाने के डिस्टिलेशन का वर्णन करती है, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun और Z.AI का नाम लेती है, और कहती है कि डिस्टिलेशन "इन कंपनियों के एआई मॉडल विकास का पूरक नहीं, बल्कि उसका निर्णायक मुख्य हिस्सा है"। यह पहले के व्हाइट हाउस उपकरणों के बाद आती है (अप्रैल 2026 में विरोधी डिस्टिलेशन पर NSTM-4; जून 2026 में NSPM-11)।

INTERPRETATION. रणनीतिक महत्व प्रतिशत में नहीं है। वह यह है कि:

1. रक्षाएँ अब प्रोडक्ट की सतह हैं। एक एंटी-अब्यूज़ उपाय ने भुगतान करने वाले डेवलपर्स के लिए एपीआई सिमैंटिक्स (API semantics) बदल दिए। रीज़निंग तक पहुँच का राशन किया जा रहा है।
2. अर्थशास्त्र रक्षा के विरुद्ध काटता है। एंथ्रोपिक वह बात ज़ोर से कहता है जिसे लोग चुपचाप सोचते हैं: "रक्षाएँ महँगी हैं, और अवैध डिस्टिलर अब भी भुगतान करने वाले ग्राहक हैं। इस पृष्ठभूमि में कंपनियों के लिए कुछ न करना, या पर्याप्त न करना, आसान होगा।"
3. रक्षा उतनी ही मज़बूत है जितनी मल्टी-प्रोवाइडर बाज़ार की सबसे कमज़ोर कड़ी। एंथ्रोपिक कहता है कि उसका काम "कमज़ोर पड़ जाएगा अगर हमलावर आसानी से उतने ही सक्षम मॉडलों तक पहुँच सकें जिनके पास उतने ही मज़बूत एंटी-डिस्टिलेशन सुरक्षा-उपाय न हों" — GLM-5.3 का मामला ठीक इसी के उदाहरण के तौर पर पेश किया गया है: Zhipu ने यह पाकर Claude Fable 5 से दूसरी ओर रुख किया कि उसके साइबर सुरक्षा-उपाय हमलों को कमज़ोर कर देते हैं।
4. श्रेय-निर्धारण की असमानताएँ बनी रहती हैं। डिस्टिलर नेटिव एपीआई (native API), क्लाउड प्लेटफ़ॉर्म और थर्ड-पार्टी एग्रीगेटर्स (third-party aggregator) में फैलकर ट्रैफ़िक भेजते हैं; एक अकेला प्रोवाइडर केवल अपना हिस्सा देख सकता है।

• FACT. रीज़निंग-ट्रेस बाइंडिंग (मॉडल बाइंडिंग, प्रीफ़िक्स बाइंडिंग, अकाउंट बाइंडिंग) के लिए एक प्रलेखित, मॉडल-अज्ञेय (model-agnostic) कॉन्ट्रैक्ट, जिसे दूसरे प्रोवाइडर कॉपी कर सकते हैं या जिसके साथ इंटरऑपरेट (interoperate) कर सकते हैं। एंथ्रोपिक स्पष्ट रूप से पोस्ट को एक टेम्पलेट बताता है: "हमें उम्मीद है कि यह पोस्ट डेवलपर्स और प्लेटफ़ॉर्म को बेहतर समझने में मदद करेगी कि वे इन हमलों को कैसे रोक सकते हैं।"
• FACT. एक मापने योग्य परिचालन लीवर: ब्लॉक किए गए अनुरोधों का मीटरिंग करना निकासी-जाँच को हमलावर के लिए एक लागत-पंक्ति बना देता है।
• INTERPRETATION. वैध उपयोगकर्ताओं के लिए एक ऑडिट सतह: input_transformations (बीटा हेडर के तहत) किसी इंटीग्रेशन को बताता है कि कौन से थिंकिंग ब्लॉक्स छोड़े गए और क्यों, जिससे पहले अदृश्य रहा कॉन्टेक्स्ट-मैनेजमेंट बग एक देखने योग्य घटना बन जाता है।
• INTERPRETATION. एक परीक्षण-योग्य सार्वजनिक दावा। पहली बार प्रभाव-आकार ऐसे रूप में बताया गया है जिसे कोई तीसरा पक्ष सिद्धांत रूप में ग़लत साबित कर सकता है — यह मापकर कि Claude के डिस्टिल्ड स्टूडेंट्स पिछली दर से सुधरना बंद करते हैं या नहीं।
• PREDICTION. यह तर्क कि प्रतिस्पर्धी अपने-अपने एंटी-डिस्टिलेशन डिज़ाइन प्रकाशित करेंगे (OpenAI की सितंबर 2026 की डिस्टिलेशन-भंग रिपोर्ट, जिसमें "encrypted reasoning replay" भी है, स्पष्ट समानांतर है), और यह कि "रीज़निंग एक्सेस पॉलिसी" एंटरप्राइज़ ख़रीद में एक लाइन आइटम बन जाएगी।

• रीज़निंग ब्लॉक्स अब क्षमता-वाहक, क्रेडेंशियलयुक्त आर्टिफ़ैक्ट हैं। वे एक signature लेकर चलते हैं जिसे एपीआई व्याख्यायित करता है; छेड़छाड़ किया गया या डिक्रिप्ट न हो सकने वाला सिग्नेचर हमेशा 400 लौटाता है और prefix_mismatch_behavior लागू नहीं होता। रीज़निंग अब सादा ट्रांसक्रिप्ट नहीं है।
• बातचीत का इतिहास अनुबंध से अपेंड-ओनली (append-only) हो जाता है। कोई भी क्लाइंट-साइड कॉम्पैक्शन (client-side compaction) जो पिछले टर्न दोबारा लिखता है (पुराने टूल-नतीजे छाँटना, पहला यूज़र मैसेज फिर से रेंडर करना, इमेज दोबारा एनकोड करना, प्रति-टर्न रिमाइंडर जोड़ना और फिर हटाना) आगे की रीज़निंग को अमान्य कर देता है।
• इस उपाय का एक साइड इफ़ेक्ट है जो हमले के लक्ष्य की नकल करता है। एंथ्रोपिक के अपने दस्तावेज़ इसे मापते हैं: "drop_block" के साथ, प्रति सत्र एक बार थिंकिंग छोड़ने से आउटपुट टोकन 2.5% (कम एफ़र्ट) से 20.1% (अधिकतम एफ़र्ट) तक बढ़े; हर टर्न पर छोड़ने से आउटपुट टोकन 4.6% (कम) से 67.1% (अधिकतम) तक बढ़े, क्योंकि Claude उस रीज़निंग को फिर से बनाता है जिसे वह अब पढ़ नहीं सकता। रीज़निंग की चोरी के विरुद्ध रक्षा रीज़निंग को दोबारा बनाना और महँगा बना देती है।
• रीज़निंग का सारांश बनाना दोधारी नियंत्रण है। एक स्वतंत्र तकनीकी विश्लेषण तीखी बात कहता है: जो गुण किसी रीज़निंग ट्रेस को चुराने लायक बनाता है, वही गुण उसे पढ़ने लायक भी बनाता है। चुराए गए ट्रेस का मूल्य घटाना ऑडिटरों, रेड-टीमरों (red-teamers) और चेन-ऑफ़-थॉट मॉनिटरों (chain-of-thought monitor) के लिए भी ट्रेस का मूल्य घटा देता है। एंथ्रोपिक केवल हमलावर-पक्ष का आँकड़ा देता है (पूर्ण बनाम सारांशित Opus 4.8 ट्रांसक्रिप्ट पर प्रशिक्षित मॉडल के लिए SWE-bench Verified पर 80.4% → 71.8%); निगरानी-पक्ष (oversight side) अनमापित है।
• क्लासिफ़ायर की भंगुरता संरचनात्मक है, आकस्मिक नहीं। जिन हमलों के विरुद्ध प्रोवाइडर पता लगा सकता है, उन्हीं के विरुद्ध मापी गई रक्षा ठीक उन्हीं हमलों पर सबसे मज़बूत दिखती है। एंथ्रोपिक का "सितंबर रिपोर्ट में बताई गई डिस्टिलेशन की सभी तकनीकों को पकड़ लेता है" कथन ज्ञात तकनीकों के बारे में है। पोस्ट यह खुद कहती है, और कहती है कि नई तकनीकों पर नज़र रखी जा रही है।
• प्रवर्तन की असमानता एक माइग्रेशन जोखिम है। क्योंकि प्रीफ़िक्स जाँच डिफ़ॉल्ट रूप से केवल 2026-08-31 को या उसके बाद बनाए गए खातों पर लागू होती है, कोई सेवा पुरानी कुंजी (key) पर अपने ही टेस्ट पास कर सकती है और हर नए ग्राहक के लिए फ़ेल हो सकती है। एंथ्रोपिक के दस्तावेज़ यह स्पष्ट कहते हैं और बीटा हेडर को यह देखने का तरीक़ा बताते हैं कि नए खाते क्या देखते हैं।

ठोस, प्रलेखित और कार्रवाई-योग्य (सब कुछ प्रिज़र्व्ड-थिंकिंग दस्तावेज़ से प्रमाणित, व्याख्या से नहीं):

1. प्रीफ़िक्स संपादनों का ऑडिट करें। अगर आपका हार्नेस (harness) system प्रॉम्प्ट दोबारा बनाता है (कोई तारीख़ डालना, मोड फ़्लैग जोड़ना, प्रोजेक्ट निर्देश फिर से पढ़ना, या टर्न 1 के बाद MCP सर्वर जोड़ना), पहले यूज़र मैसेज में कॉन्टेक्स्ट फिर से रेंडर करता है, पुराने टूल-नतीजे साफ़ करता या छोटा करता है, पुरानी इमेज दोबारा एनकोड करता है, क्लाइंट-साइड कॉम्पैक्शन करते हुए हाल के टर्न उनकी थिंकिंग के साथ रखता है, tools जोड़ता/हटाता/संपादित करता है, या सहेजे गए सत्र को दोबारा चलाने के बजाय टेम्पलेट करता है — तो आप प्रभावित हैं।
2. इतिहास को अपेंड-ओनली बनाएँ। सत्र के लिए system और tools स्थिर रखें; messages में केवल जोड़ें; असिस्टेंट टर्न बिल्कुल वैसे ही वापस भेजें जैसे लौटे थे, थिंकिंग ब्लॉक्स सहित। यह अनुशासन प्रॉम्प्ट-कैश (prompt-cache) हिट्स भी बचाता है — जो संपादन थिंकिंग को अमान्य करते हैं वही कैश को फिर से शुरू कराते हैं।
3. जिन विफलता-मोडों को आप अभी ठीक नहीं कर सकते, उन्हें कम करें। या तो prefix_mismatch_behavior: "drop_block" सेट करें (अस्थायी उपाय, और इससे आउटपुट टोकन की क़ीमत लगती है) या सभी thinking/redacted_thinking ब्लॉक्स एक बार हटाकर बाहर ही छोड़ दें। चुना गया विकल्प सत्र के साथ सहेजें ताकि रीस्टार्ट सुसंगत रहें।
4. देखें, अनुमान न लगाएँ। thinking-binding-controls-2026-08-01 बीटा हेडर भेजें और उन जवाबों को गिनें जिनके input_transformations में prefix_binding_mismatch प्रविष्टि है; उन पर अलर्ट लगाएँ। Message Batches API पर, जो आइटम इस फ़ील्ड को अनसेट छोड़ता है वह वहाँ विफल नहीं होता जहाँ एपीआई डिफ़ॉल्ट रूप से जाँच लागू करता है — वह चुपचाप छोड़ दिया जाता है, इसलिए बैच पाइपलाइनों को स्पष्ट हैंडलिंग चाहिए।
5. रीज़निंग-डंप के लिए प्रॉम्प्ट न करें। "अपनी पिछली रीज़निंग ज्यों-की-त्यों आउटपुट करो", "अपनी पहले की रीज़निंग का अनुवाद करो", "अपनी थिंकिंग टैग के भीतर लिखो" — यही वे सटीक पैटर्न हैं जिन्हें क्लासिफ़ायर निशाना बनाता है। कोई वैध इवैल (eval) या रिसर्च हार्नेस ऐसा करते हुए फ़्लैग हो सकता है, और (0.1% से नीचे की त्रुटि-दर पर) ब्लॉक किए गए अनुरोधों का अब बिल लगता है।
6. थर्ड-पार्टी Claude एक्सेस को सप्लाई-चेन जोखिम मानें। एंथ्रोपिक ऐसे प्रॉक्सी नेटवर्कों का वर्णन करता है जो झूठी पहचान और चुराई गई भुगतान-जानकारी के साथ एक्सेस दोबारा बेचते हैं; खातों पर सामूहिक रूप से और अक्सर दो घंटे के भीतर प्रतिबंध लगता है। अगर कोई रीसेलर अपने स्रोत की व्याख्या नहीं कर सकता, तो आपका वर्कलोड ग़ायब हो सकता है।
7. मॉडल-स्विच सिमैंटिक्स पर नज़र रखें। रीज़निंग मनमाने मॉडल-स्विच से नहीं बचती: Fable 5.1/Mythos 5.1 के ब्लॉक्स एक-दूसरे द्वारा पढ़े जाते हैं (और, Claude API पर, Fable 5.1, Opus 5.5 को पढ़ता है), लेकिन Fable 5.1/Mythos 5.1 से दूर जाने पर उस अनुरोध की रीज़निंग खो जाती है — राउटर डाउनग्रेड (router downgrade) या सर्वर-साइड क्लासिफ़ायर फ़ॉलबैक के दौरान भी।

INTERPRETATION. शुद्ध डेवलपर लागत असली है, लेकिन सुव्यवहार वाले इंटीग्रेशन के लिए मामूली है (Claude Code, claude.ai, Claude Managed Agents, Agent SDK, और कोई भी अपेंड-ओनली कस्टम हार्नेस — इनमें कोई बदलाव नहीं चाहिए) और उन टीमों के लिए तेज़ हो सकती है जो आक्रामक क्लाइंट-साइड कॉन्टेक्स्ट कॉम्पैक्शन पर निर्भर हैं।

• FACT. रीज़निंग गवर्नेंस अब केवल मॉडल-विक्रेता का नहीं, एंटरप्राइज़ आईटी का मामला है। ब्लॉक किया गया या छोड़ा गया रीज़निंग ब्लॉक मल्टी-टर्न एजेंट वर्कलोड में लागत भी है और गुणवत्ता का चर भी।
• FACT. ब्लॉक किए गए अनुरोधों का बिल लग सकता है। 0.1% से नीचे की त्रुटि-दर पर कम मात्रा वाली दुकान को यह कभी महसूस नहीं होगा; उच्च मात्रा वाली पाइपलाइन को लगातार रिसाव दिखेगा, और (व्याख्या) उनमें से कुछ वैध होंगे; उन ग्राहकों के पास यह सुनने के अलावा कोई रास्ता नहीं कि दर कम है।
• COMPANY CLAIM. एंथ्रोपिक कहता है कि सुरक्षा-उपाय "लगभग उतने ही मज़बूत हैं जितने वे जो Claude को जैव-हथियार बनाने में मदद करने से रोकते हैं" और वैध उपयोगकर्ताओं पर प्रभाव न्यूनतम है।
• INTERPRETATION. दो एंटरप्राइज़-प्रासंगिक असमानताएँ:
  • लागत का स्थानांतरण। एंटी-अब्यूज़ प्रवर्तन का कुछ फ़्रिक्शन भुगतान करने वाले ग्राहकों पर पड़ता है — इंटीग्रेशन दोबारा लिखना, कभी-कभी फ़ॉल्स पॉज़िटिव, बिल किए गए ब्लॉक्स, और कॉन्टेक्स्ट छोड़े जाने पर अधिक आउटपुट टोकन।
  • विक्रेता-नीति का अंतर। मल्टी-मॉडल आर्किटेक्चर चलाने वाले एंटरप्राइज़ों को अब जानना होगा कि कौन-सा प्रोवाइडर रीज़निंग को प्रीफ़िक्स/खातों से बाँधता है और कौन नहीं, क्योंकि पोर्टेबिलिटी (portability) और स्विचिंग लागत हर प्रोवाइडर में अलग है।
• INDEPENDENT EVIDENCE. एक यूके-केंद्रित विश्लेषण इस ट्रेड-ऑफ़ को "बचाव योग्य, पर यह फ़्रिक्शन भुगतान करने वाले ग्राहकों पर डाल देता है" के रूप में रखता है, और नोट करता है कि डेवलपर्स के लिए "ब्लॉक किए गए अनुरोधों का अब बिल लगता है, और जिन इंटीग्रेशन ने मॉडल कॉन्टेक्स्ट संपादित किया था उन्हें बदलना पड़ा है"।
• PREDICTION. एंटरप्राइज़ ख़रीद अब सामान्य सेफ़्टी/सिक्योरिटी प्रश्नावली के साथ एंटी-डिस्टिलेशन सवाल भी पूछने लगेगी ("क्या आप रीज़निंग को प्रीफ़िक्स और खातों से बाँधते हैं? क्या आप ब्लॉक किए गए अनुरोधों का बिल लेते हैं? आपकी प्रलेखित फ़ॉल्स-पॉज़िटिव दर क्या है और वह कैसे मापी जाती है?")। उस दर की ऑडिट-योग्यता ही कमज़ोर कड़ी है: यह अभी एक विक्रेता का आँकड़ा है जिसकी कोई प्रकट विधि नहीं।

1. फ़्रंटियर मॉडलों का आईपी अर्थशास्त्र। पोस्ट स्पष्ट तर्क देती है कि रक्षा महँगी है और हमलावर भुगतान करने वाला ग्राहक है, और एक विधि प्रकाशित करती है "यह दिखाने के लिए कि एक व्यवहार्य विकल्प मौजूद है" — यह कम-रक्षा करने को निजी तौर पर तर्कसंगत होने के बजाय प्रतिष्ठा के स्तर पर महँगा बनाने का प्रयास है।
2. राष्ट्रीय-सुरक्षा ढाँचा एक लीवरेज के रूप में। डिस्टिलेशन को जैविक और साइबर दुरुपयोग, विदेशी सैन्य/ख़ुफ़िया/निगरानी एकीकरण, और PLA से जुड़े एक CCTV मामले से जोड़कर यह एक तकनीकी नियंत्रण को निर्यात-नियंत्रण और ख़रीद नीति से बाँधती है। सहायक सरकारी एडवाइज़री (AA26-251A) राज्य की ओर से वही क़दम उठाती है।
3. सबसे कमज़ोर कड़ी की समस्या। एंथ्रोपिक की अपनी स्वीकारोक्ति — कि उसका काम कमज़ोर पड़ जाएगा अगर हमलावर कमज़ोर सुरक्षा-उपायों वाले उतने ही सक्षम मॉडल पर स्विच कर सकें, जो ठीक वही है जो वह कहता है कि Zhipu ने Claude पीढ़ियों में से चुनते समय किया — उद्योग-व्यापी न्यूनतम मानकों का तर्क है। संदेहवादी नज़र से पढ़ें तो यह ऐसे नियमन का तर्क भी है जो प्रतिस्पर्धियों की लागत बढ़ाए।
4. श्रेय-निर्धारण और प्रवर्तन एक साथ आते हैं। चूँकि प्रोवाइडर निकासी का पैटर्न और भुगतान-साधन दोनों देख सकता है, एंटी-डिस्टिलेशन प्रवर्तन मॉडल-सुरक्षा के साथ-साथ धोखाधड़ी/पहचान की समस्या भी बन जाता है। इसका मतलब है कि प्रतिबंध, पहचान-सत्यापन और सामूहिक-खाता पहचान ही भार-वहन करने वाले उपकरण हैं — और वे सब भद्दे हैं।
5. खुलासे पर मतभेद। सरकारी एडवाइज़री गुप्त जवाब-क्षय (covert degradation) की सिफ़ारिश करती है ("डिस्टिलेशन अभियानों में संदिग्ध… उपयोगकर्ताओं को सूचित करने से बचें")। एंथ्रोपिक एक प्रकट डिज़ाइन बताता है (ब्लॉक किए गए अनुरोधों का बिल, प्रिज़र्व्ड थिंकिंग का प्रलेखन, फ़ॉल्स-पॉज़िटिव दर का प्रकाशन)। ये दो नीतियाँ एक नहीं हैं, और तीसरे पक्ष के मूल्यांकनकर्ता अंततः प्रकट वाली को पसंद कर सकते हैं।
6. INTERPRETATION. अगर प्रभाव-आकार आंशिक रूप से भी टिकता है, तो यह उन सबसे तेज़ रास्तों में से एक को कमज़ोर करता है जिनसे ओपन-वेट (open-weight) चुनौती देने वालों ने क्षमता-अंतर पाटा था, जो अमेरिकी बनाम चीनी फ़्रंटियर मॉडलों की प्रतिस्पर्धी कथा के लिए अहम है। अगर यह नहीं टिकता, तो यह साक्ष्य बन जाता है कि डिस्टिलेशन-हिसाब-किताब बढ़ा-चढ़ाकर बताई गई है। दोनों हालत में यह दावा अब ऐसे नीति-तर्क में भार-वहन कर रहा है जिसे वह, मौजूदा खुलासे के आधार पर, अकेले समर्थित नहीं कर सकता।

परिणाम के बारे में

1. स्वयं-मापन। एंथ्रोपिक मापता है "कि डिस्टिलरों ने हमारे अपने प्लेटफ़ॉर्म पर Claude की रीज़निंग के कितने टोकन निकाले"। वह उस निकासी को नहीं माप सकता जिसका उसने पता नहीं लगाया, न ही थर्ड-पार्टी एग्रीगेटर्स और क्लाउड एंडपॉइंट्स पर निकासी को। जिन हमलों का पता लगाया गया है, उन्हीं के विरुद्ध मापी गई रक्षा हमेशा अच्छी दिखेगी।
2. कोई प्रकट कार्यप्रणाली नहीं। कोई सैंपलिंग फ़्रेम (sampling frame), तुलना-विंडो की कोई परिभाषा, कोई कॉन्फ़िडेंस इंटरवल (confidence interval), कोई स्वतंत्र प्रतिकृति (replication) नहीं मिली।
3. एक इकाई, दो प्रस्तुतियाँ। मुख्य 90–99% और मुख्य पाठ का 10×–100× एक ही माप है। इन्हें दो अभिसारी नतीजे नहीं मानना चाहिए।
4. समय-क्षितिज स्थापित नहीं। एंथ्रोपिक: "हमें अभी नहीं पता कि ये लाभ कितने समय तक टिकेंगे।" लगातार टिकने वाले विरोधी के साथ कोई परीक्षण नहीं हुआ है।
5. क्लासिफ़ायर की रिकॉल (recall) का दावा केवल ज्ञात तकनीकों के विरुद्ध है। "सितंबर रिपोर्ट में बताई गई डिस्टिलेशन की सभी तकनीकों को पकड़ लेता है" रिपोर्ट की सूची तक सीमित है; विरोधी ने दिखा दिया है (12,000-वैरिएंट तकनीक खोज; अनुवाद-लॉन्ड्रिंग की ओर जाना; टैग में लपेटी गई रीज़निंग) कि वह नए रूप गढ़ता रहता है।

सहायक दावों के बारे में

6. जैव-हथियार-मज़बूती की उपमा एक दावा है, किसी प्रकाशित बेंचमार्क (benchmark) से तुलना नहीं।
7. रक्षा का सेफ़्टी-तर्क अप्रकाशित आंतरिक अनुसंधान पर टिका है — यह कि एक डिस्टिल्ड स्टूडेंट ख़तरनाक जैविक या साइबर क्षमताएँ हासिल करने में मदद कर सकता है, भले ही जमा किए गए आदान-प्रदानों में उन विषयों के बारे में बहुत कम हो, और यह कि सुरक्षा-उपाय स्थानांतरित नहीं होते। जैसा कि एक स्वतंत्र तकनीकी विश्लेषण नोट करता है: कोई अपलिफ़्ट (uplift) आँकड़ा नहीं, कोई डोमेन नहीं, कोई स्टूडेंट मॉडल नहीं, कोई अन-डिस्टिल्ड बेसलाइन नहीं।
8. श्रेय-निर्धारण की गिनतियाँ एकल-स्रोत हैं। अलीबाबा से जुड़े 151M आदान-प्रदान, Moonshot 23M, DeepSeek 12.1M, Zhipu 3.4M, Xiaomi 400k, और ≈200M का कुल — ये एंथ्रोपिक के अपने श्रेय-निर्धारण हैं, जो बिना विधि के प्रकाशित हुए। सरकारी एडवाइज़री लैब के नामों की पुष्टि करती है, गिनतियों की नहीं, और उसकी संदर्भ-सूची विक्रेताओं के अपने ही खुलासे हैं — इसलिए साथ-साथ नाम आना दो स्वतंत्र गवाह नहीं है।

कवरेज के बारे में

9. पुनर्कथन का जोखिम। 2026-10-12/13 की अधिकतर कवरेज घोषणा का पुनर्कथन है (वायर कॉपी, एग्रीगेटर्स, विक्रेता-व्युत्पन्न ब्लॉग)। स्वतंत्र तकनीकी मूल्यांकन बहुत कम है। सबसे ठोस स्वतंत्र लेख एक विश्लेषण पृष्ठ है, कोई माप नहीं।
10. प्रतिकूल पक्ष का कोई जवाब नहीं मिला। Zhipu, Alibaba, Moonshot और MiniMax ने (मिले स्रोतों में) इस विशिष्ट पोस्ट पर विस्तार से जवाब नहीं दिया है। इनकार का अभाव सटीकता का साक्ष्य नहीं है, और चीनी सरकार के पहले के जवाब व्यापक ख़ारिज थे, बिंदु-दर-बिंदु खंडन नहीं।

1. क्या कोई तीसरा पक्ष 90–99% कमी को दोहराता या ग़लत साबित करता है? जब माप एंथ्रोपिक के अपने ही प्लेटफ़ॉर्म पर हो, तो ग़लत साबित करना आख़िर कैसा दिखेगा?
2. क्या क्लासिफ़ायर की रिकॉल का कोई प्रकाशित माप है किसी अलग रखे गए (held-out), हमलावर-तैयार सेट के विरुद्ध — सितंबर रिपोर्ट की ज्ञात-तकनीक सूची के बजाय?
3. एंटरप्राइज़-स्तर की मात्रा पर वास्तविक फ़ॉल्स-पॉज़िटिव और फ़ॉल्स-नेगेटिव प्रोफ़ाइल क्या है, और उस वैध अनुसंधान के लिए अपील/अनुमति-सूची (allowlist) का रास्ता है या नहीं जो मॉडलों से उनकी रीज़निंग के बारे में पूछता है?
4. क्या सारांश-नियंत्रण ऑडिटरों के लिए चेन-ऑफ़-थॉट निगरानी-योग्यता को मापनीय रूप से कमज़ोर करता है? एंथ्रोपिक हमलावर-पक्ष की हानि मापता है (80.4% → 71.8% SWE-bench Verified) लेकिन निगरानी-पक्ष की हानि नहीं।
5. क्या दूसरी फ़्रंटियर लैबें वही बाइंडिंग मॉडल (मॉडल + प्रीफ़िक्स + अकाउंट) अपनाती हैं — और क्या वे इंटरऑपरेट करती हैं, या खंडित रीज़निंग-पोर्टेबिलिटी परिदृश्य बनाती हैं? OpenAI की सितंबर 2026 की डिस्ट्रप्शन रिपोर्ट (जिसमें "encrypted reasoning replay" भी है) स्पष्ट तुलनाकार है।
6. क्या क्षमता-अंतर की कथा बदलती है? विशेष रूप से: क्या इन नियंत्रणों के बाद सर्वश्रेष्ठ ओपन-वेट मॉडलों की वृद्धि-दर मापनीय रूप से धीमी होती है, या वह दूसरे डेटा-स्रोतों से तय कार्यक्रम पर चलती रहती है?
7. क्या प्रवर्तन की असमानता (2026-08-31 से पहले बनाम बाद के खाते) एक टिकाऊ, शोषण-योग्य दो-स्तरीय सतह बनाती है, जैसे-जैसे वे खाते पुराने होते हैं, माइग्रेट होते हैं, या दोबारा बेचे जाते हैं?
8. क्या "रक्षाएँ महँगी हैं और डिस्टिलर भुगतान करते हैं" वाली प्रोत्साहन-समस्या नीति से हल होती है (व्हाइट हाउस के NSTM-4 / NSPM-11 उपकरणों की श्रृंखला) या यह स्वैच्छिक-प्रतिबद्धता की श्रेष्ठता-दौड़ बनी रहती है?
9. क्या कोई नामित लैब ठोस, बिंदु-दर-बिंदु जवाब देगी, और क्या रिले किए गए ग्राहक-डेटा की कोई निजता-हानि (एंथ्रोपिक PLA से जुड़े एक CCTV मामले सहित ग्राहक डेटा के रिलेइंग का आरोप लगाता है) क्लाइंट-साइड स्वतंत्र रूप से पुष्ट हुई है?
10. क्या 90–99% का आँकड़ा स्थिर है, या एंथ्रोपिक इसे किसी बाद की पोस्ट में संशोधित करता है? यह दावे का सबसे साफ़ आगे-की-ओर परीक्षण है।

Circle 1 = तात्कालिक प्रैक्टिशनर/ऑपरेटर वृत्त: Claude API पर प्रोडक्ट बनाने वाले डेवलपर्स और तकनीकी टीमें।

• प्रभाव (FACT)। प्रिज़र्व्ड थिंकिंग (preserved thinking) मल्टी-टर्न एपीआई सिमैंटिक्स बदल देता है। जिन टीमों का हार्नेस system, tools, या पहले के messages संपादित करता है, उन्हें नए खातों (2026-08-31 को या उसके बाद बने) पर 400 त्रुटियाँ मिलेंगी या रीज़निंग चुपचाप खो जाएगी, और नतीजे में अधिक आउटपुट टोकन का भुगतान करना पड़ सकता है।
• प्रभाव (COMPANY CLAIM)। अधिकतर सुव्यवहार वाले इंटीग्रेशन में कोई बदलाव नहीं चाहिए: अगर अनुरोध Claude Code, claude.ai, Claude Managed Agents या Agent SDK बनाता है, या अगर system/tools स्थिर हैं और केवल messages बढ़ता है, तो कुछ नहीं बदलता।
• प्रभाव (INTERPRETATION)। ब्लॉक किए गए अनुरोधों का बिलिंग और 0.1% से नीचे की फ़ॉल्स-पॉज़िटिव दर कुल मिलाकर सह्य है और पूँछ (tail) में झुंझलाहट देने वाली; उस पूँछ में ठीक वही मूल्यांकनकर्ता और शोधकर्ता आते हैं जो सबसे अधिक संभावना रखते हैं कि मॉडलों से उनकी अपनी रीज़निंग के बारे में पूछें।

अनुशंसित कार्रवाई

1. आज ही प्रलेखित प्रीफ़िक्स जाँच चलाएँ: thinking-binding-controls-2026-08-01 बीटा हेडर के साथ, prefix_mismatch_behavior: "drop_block" सेट करें, कुछ सामान्य मल्टी-टर्न सत्र दोबारा चलाएँ — जिनमें एक कॉम्पैक्शन और एक टूल-बदलाव शामिल हो — और input_transformations में prefix_binding_mismatch प्रविष्टियाँ गिनें।
2. system और tools को सत्र-स्थिर और messages को अपेंड-ओनली बनाएँ; असिस्टेंट टर्न बिल्कुल वैसे ही रखें जैसे लौटे थे, थिंकिंग ब्लॉक्स सहित।
3. अगर आपके हार्नेस को प्रीफ़िक्स संपादित करना ही है, तो ऐसा पैटर्न चुनें जो उसे छुए नहीं (दस्तावेज़ों का "प्रीफ़िक्स संपादित किए बिना बदलाव करें" देखें), और "drop_block" को गंतव्य नहीं, अस्थायी उपाय मानें।
4. प्रीफ़िक्स-मिसमैच गिनतियों को एक अलर्ट-योग्य मीट्रिक बनाएँ। Batches API पर, मिसमैच व्यवहार स्पष्ट रूप से सेट करें ताकि आइटम चुपचाप छूटने के बजाय ज़ोर से फ़ेल हों।
5. उत्पाद-व्यवहार ज्यों-की-त्यों रीज़निंग निकासी पर न बनाएँ। अगर कोई वैध ज़रूरत है, तो शिप करने से पहले विक्रेता से अनुमति-सूची के बारे में पूछें।

Circle 2 = निकटवर्ती पेशेवर वृत्त: प्लेटफ़ॉर्म टीमें, मॉडल/इन्फ़रेंस प्रोवाइडर, एग्रीगेटर्स, क्लाउड रीसेलर, और एंटरप्राइज़ एआई गवर्नेंस कार्य।

• प्रभाव (COMPANY CLAIM)। डिस्टिलर ट्रैफ़िक को एंथ्रोपिक के एपीआई, थर्ड-पार्टी क्लाउड प्लेटफ़ॉर्म और दूसरे इन्फ़रेंस प्रोवाइडरों में बाँटते हैं; एंथ्रोपिक तर्क देता है कि प्लेटफ़ॉर्म दुरुपयोग जल्दी पकड़कर और धोखाधड़ी वाले खातों को हटाकर डिस्टिलेशन को "सार्थक रूप से धीमा" कर सकते हैं।
• प्रभाव (INDEPENDENT EVIDENCE / FACT)। NSA/CISA/FBI एडवाइज़री ठीक यही पारिस्थितिकी-समन्वय सुझाती है: मॉडल प्रोवाइडरों, क्लाउड प्लेटफ़ॉर्मों और API एग्रीगेटर्स के बीच संगठन-पार ख़ुफ़िया साझाकरण, साथ ही सदस्यता-से-उपयोग अनुपात, अधिकतम उपयोग पर नए खाते, और एंटरप्राइज़-पैमाने के थ्रूपुट पैटर्न के लिए पहचान-संकेतक।
• प्रभाव (INTERPRETATION)। एग्रीगेटर्स और रीसेलर अब किसी विक्रेता के एंटी-अब्यूज़ कार्यक्रम की ट्रस्ट-सीमा (trust boundary) के भीतर हैं। जो रीसेलर अपने खातों के स्रोत का प्रमाण नहीं दे सकता, वह केवल विक्रेता के लिए नहीं, अपने ही ग्राहकों के लिए दायित्व है।
• प्रभाव (FACT)। एंटरप्राइज़ ख़रीदारों को एक गवर्नेंस सवाल विरासत में मिलता है जो उन्होंने पहले नहीं पूछा था: कौन-सा प्रोवाइडर रीज़निंग को प्रीफ़िक्स और अकाउंट से बाँधता है, और कौन नहीं?

अनुशंसित कार्रवाई

1. प्लेटफ़ॉर्म: एडवाइज़री के डिटेक्टर लागू करें (पहचान-सत्यापन की मज़बूती, सदस्यता-से-API-उपयोग अनुपात, नए-खाते के बर्स्ट पैटर्न, मार्गों के पार सहसंबद्ध समय) और सार्वजनिक खुलासे के बाद अचानक मेटाडेटा-सफ़ाई को अपने आप में एक पहचान-संकेत मानें।
2. एग्रीगेटर्स/रीसेलर: खातों के स्रोत का प्रमाण दे सकें और विक्रेता के पहचान-जाँच पास करें; यह प्रकाशित करें कि अपस्ट्रीम खाते पर प्रतिबंध लगने पर ग्राहक के वर्कलोड का क्या होता है।
3. एंटरप्राइज़ गवर्नेंस: एआई विक्रेता प्रश्नावली में एक छोटा एंटी-डिस्टिलेशन परिशिष्ट जोड़ें — रीज़निंग-बाइंडिंग व्यवहार, ब्लॉक किए गए अनुरोधों का बिलिंग, प्रलेखित फ़ॉल्स-पॉज़िटिव दर और उसकी माप-विधि, और पिछले 90 दिनों में लाए गए इंटीग्रेशन बदलाव।
4. सुरक्षा टीमें: इसे MITRE ATLAS (AML.T0040, T0051, T0054, T0024.002) से जोड़ें ताकि यह समानांतर के बजाय मौजूदा वर्गीकरण में बैठे।

Circle 3 = व्यापक/सभ्यतागत वृत्त: नीति, राष्ट्रीय सुरक्षा, ओपन-वेट पारिस्थितिकी, और निगरानी समुदाय।

• प्रभाव (FACT)। डिस्टिलेशन अब अमेरिकी उपकरणों में एक परिभाषित नीति-वस्तु है (NSTM-4, अप्रैल 2026; NSPM-11, जून 2026; CISA/NSA/FBI एडवाइज़री AA26-251A, सितंबर 2026)। यह विक्रेता-पोस्ट राज्य-प्लस-विक्रेता कथा का रक्षा-पक्षीय आधा हिस्सा देती है।
• प्रभाव (INDEPENDENT EVIDENCE / INTERPRETATION)। एडवाइज़री की सुझाई गई प्रतिक्रिया — संदिग्ध डिस्टिलरों के लिए चुपचाप आउटपुट घटाना, और उन्हें बताना नहीं — एंथ्रोपिक के प्रकट दृष्टिकोण से सार्थक रूप से अलग है। गुप्त क्षय में पूर्वानुमेय फ़ॉल्स-पॉज़िटिव हानि है: ग़लती से फ़्लैग किया गया वैध उपयोगकर्ता चुपचाप ख़राब जवाब पाता है और यह पता नहीं लगा सकता कि क्यों। एडवाइज़री खुद नोट करती है कि डिस्टिलर ऐसी QA पाइपलाइनें चलाते हैं जो घटे हुए आउटपुट पकड़ने के लिए ही बनी हैं, इसलिए गुप्त दृष्टिकोण अपनी ही शर्तों पर विफल हो सकता है।
• प्रभाव (INTERPRETATION)। निगरानी की लागत असली है: चुराए गए ट्रेस का मूल्य घटाने के लिए रीज़निंग का सारांश बनाना चेन-ऑफ़-थॉट मॉनिटरिंग, सेफ़्टी ऑडिटिंग और इंटरप्रिटेबिलिटी के लिए पठनीय ट्रेस का मूल्य भी घटा देता है। निगरानी का चैनल और बाहर-रिसाव का चैनल एक ही चैनल हैं।
• प्रभाव (INDEPENDENT EVIDENCE)। चीन के विदेश मंत्रालय ने पहले अमेरिकी डिस्टिलेशन एडवाइज़री को "निराधार आरोप और बदनामी" कहकर ख़ारिज किया था; उस ख़ारिज में प्रति-कंपनी आरोपों पर बात नहीं की गई और न रूटिंग तंत्र को चुनौती दी गई। उम्मीद रखें कि भू-राजनीतिक सुर तकनीकी नहीं रहेगा।

अनुशंसित कार्रवाई

1. नीति-निर्माता और मानक-निकाय: यह अनिवार्य करें कि एंटी-डिस्टिलेशन प्रभाव-आकार घोषित माप-विधि और ऑडिट-पथ के साथ प्रकाशित हों, या उन्हें विक्रेता-रिपोर्टेड का लेबल मिले। बिना विधि वाला प्रतिशत कोई नियंत्रण-मानक नहीं है।
2. नियामक/मूल्यांकनकर्ता: प्रकट शमन (बिलिंग, प्रलेखित क्लासिफ़ायर) और गुप्त शमन (चुपचाप डाउनग्रेड) के बीच अलगाव की माँग करें, और अगर गुप्त क्षय तैनात होता है तो फ़ॉल्स पॉज़िटिव के लिए प्रकट अपील-पथ अनिवार्य करें।
3. निगरानी समुदाय: इस बात का प्रकाशित माप दबाव से माँगें कि रीज़निंग का सारांश बनाना ऑडिटर या CoT मॉनिटर के इस्तेमाल लायक ट्रेस से क्या हटा देता है — इस शमन की निगरानी-लागत अभी अनमापित है जबकि उसका हमलावर-पक्षीय लाभ मापा गया है।
4. ओपन-वेट पारिस्थितिकी: ध्यान दें कि इस आकार की रक्षा दबाव उसी ओर धकेलती है जिस फ़्रंटियर-प्रासंगिक मॉडल के पास वह नहीं है। सबसे कमज़ोर कड़ी का तर्क ही यह सबसे मज़बूत कारण है कि प्रतिस्पर्धी के बजाय इंटरऑपरेबल, मल्टी-वेंडर मानक को प्राथमिकता दी जाए।
5. पत्रकार/विश्लेषक: तीन दावों को अलग रखें — कि पोस्ट मौजूद है (सत्यापित), कि नामित लैबों ने विशिष्ट पैमाने पर विशिष्ट काम किया (एकल-स्रोत), और कि रक्षा ने निकासी 90–99% घटाई (स्वयं-मापी, अनऑडिटेड)।

ईमानदार आकलन: यह एक विक्रेता का रिसर्च-एंड-कंट्रोल्स की घोषणा है। सीधा वाणिज्यिक अवसर सीमित है और ज़्यादातर निकटवर्ती।

1. इंटीग्रेशन-सुधार सेवाएँ (वास्तविक, निकट-कालिक)। हार्नेसों का प्रीफ़िक्स-स्थिरता के लिए ऑडिट और मरम्मत ठोस, सीमित काम है, जिसके पास प्रलेखित विशिष्टि, परीक्षण के लिए बीटा हेडर, और विफलता की मापी गई क़ीमत है (अधिकतम एफ़र्ट पर हर टर्न छोड़ने से आउटपुट टोकन +67.1% तक)। यह एक असली, सीमा-निर्धारित एंगेजमेंट है।
2. रीज़निंग-गवर्नेंस टूलिंग (वास्तविक, छोटी)। input_transformations को डैशबोर्ड/अलर्ट में इंस्ट्रुमेंट करना, और प्रीफ़िक्स-मिसमैच घटनाओं को मौजूदा कॉन्टेक्स्ट-मैनेजमेंट ऑब्ज़र्वेबिलिटी से जोड़ना, मामूली पर असली प्रोडक्ट वेज (wedge) है।
3. तृतीय-पक्ष मापन (वास्तविक, अगर कोई करे तो उच्च-मूल्य)। सबसे साफ़ खाई एंटी-डिस्टिलेशन दावों का स्वतंत्र मूल्यांकन है। यह अनुमान लगाने की कोई विश्वसनीय, दोहराने योग्य विधि कि किसी स्टूडेंट मॉडल को किसी शिक्षक से डिस्टिल किया गया या नहीं — Google अपनी GTIG रिपोर्टिंग में Gemini-डिस्टिल्ड-मॉडल पहचानने की क्षमता का दावा करता है — विक्रेताओं, प्लेटफ़ॉर्मों और नीति-निर्माताओं के लिए मूल्यवान होगी। यह सबसे उच्च-मूल्य अवसर है और सबसे कठिन।
4. नीति/नियामक सलाह (वास्तविक, मध्यम)। किसी एंटरप्राइज़ के NSTM-4/NSPM-11/AA26-251A मार्गदर्शन और MITRE ATLAS के डिस्टिलेशन TTPs के प्रति जोखिम को मैप करना एक असली सलाहकार-पंक्ति है, पर यह सलाह है, तकनीकी काम नहीं।
5. व्यावसायिक अवसर नहीं (ईमानदार रहें): "अपने मॉडल को डिस्टिलेशन-प्रूफ़ करना" एक प्रोडक्ट-दावे के रूप में। यह रक्षा प्रोवाइडर-पक्षीय है, लगातार टिकने वाले विरोधी के विरुद्ध अप्रमाणित है, और एंथ्रोपिक ने खुद इसे एक चल रहा बिल्ली-चूहा प्रयास बताया है। इसे हल हो चुका बताकर बेचना भ्रामक होगा।

VERIFY — मुख्य आँकड़े की प्रामाणिकता और अंकगणित जाँचें, और प्रलेखित प्रवर्तन-नियमों को प्रकाशित दावे के विरुद्ध मिलाएँ। देखें labs/S12.md। क्लासिफ़ायर खुद सर्वर-साइड है और किसी खाते और वर्कलोड के बिना चलाया नहीं जा सकता, इसलिए यहाँ कोई BUILD/BREAK लैब ईमानदार नहीं है। जो सस्ते में और कठोरता से सत्यापित किया जा सकता है:

• यह कि "90–99%" मुख्य आँकड़ा "10 से 100 गुना कम" वाले मुख्य-पाठ के आँकड़े का ही माप है (लॉग-अनुपात तत्समक);
• यह कि प्राथमिक पोस्ट, प्लेटफ़ॉर्म दस्तावेज़ और स्वतंत्र कवरेज तीनों रक्षा-परतों और बताए गए ट्रेड-ऑफ़ पर सहमत हैं;
• यह कि मिले स्रोतों में प्रभाव-आकार की कोई स्वतंत्र प्रतिकृति मौजूद नहीं;
• यह कि प्रलेखित प्रवर्तन-सीमा (2026-08-31 को या उसके बाद बनाए गए खाते) वही है जो ब्लॉग बताता है।

PREDICTION (संभावना के क्रम में)

1. निकट काल (दिन–सप्ताह)। और कवरेज, जिसका ज़्यादातर हिस्सा पुनर्कथन होगा; कुछ डेवलपर-केंद्रित व्याख्याएँ जो प्रिज़र्व्ड-थिंकिंग माइग्रेशन पर केंद्रित होंगी। कम से कम एक "क्या यह मेरा एजेंट हार्नेस तोड़ देगा?" वाला लेख और 90–99% आँकड़े का बिना शर्त संकलन लगातार होने की उम्मीद रखें।
2. निकट काल। मॉडल-लैब समरूपता: OpenAI (और संभवतः Google) अपने एंटी-डिस्टिलेशन नियंत्रण प्रकाशित या विस्तारित करेंगे; "encrypted reasoning replay" वाली पंक्ति स्पष्ट समानांतर है।
3. मध्यम काल। एक विरोधी परीक्षण। एंथ्रोपिक कहता है कि उसने अभी "बेहद परिष्कृत और लगातार चलने वाला प्रयास" नहीं देखा। अगला सबसे सूचनाप्रद डेटा-बिंदु या तो कोई परिष्कृत बायपास होगा (कोई नई निकासी तकनीक जो क्लासिफ़ायर से बच निकले) या उसका टिकाऊ अभाव।
4. मध्यम काल। नामित लैबों के जवाब, या लगातार चुप्पी। बिंदु-दर-बिंदु खंडन नया होगा; मंत्रालय-स्तर पर व्यापक ख़ारिज की मिसाल मौजूद है।
5. मध्यम काल। प्रभाव-आकार का संशोधन या पुनर्कथन, या अपडेटेड वक्र के साथ एक फ़ॉलो-अप पोस्ट। स्पष्ट अनिश्चितता ("हमें अभी नहीं पता कि ये लाभ कितने समय तक टिकेंगे") एंथ्रोपिक को लगभग एक के लिए बाध्य कर देती है।
6. लंबी अवधि। रीज़निंग एक्सेस प्रोवाइडरों के पार एक नियंत्रित, मीटर-युक्त, अनुबंधित संसाधन बन जाएगी, और कुछ अंतर-प्रोवाइडर पोर्टेबिलिटी नियम उभरेंगे (दस्तावेज़ों का मॉडल-मॉडल-पढ़ता-है मैट्रिक्स पहले से एक पोर्टेबिलिटी नीति है)।
7. निगरानी-संकेतक। (a) क्या सर्वश्रेष्ठ ओपन-वेट मॉडलों का क्षमता-पथ दिखने लायक धीमा पड़ता है — दावे का एकमात्र बाहर से देखा जा सकने वाला परीक्षण। (b) क्या कोई प्रतिस्पर्धी प्रीफ़िक्स/अकाउंट बाइंडिंग अपनाता है। (c) क्या कोई नियामक या ऑडिटर माप-कार्यप्रणाली की माँग करता है। (d) क्या रिलेइंग/निजता के आरोप (जो प्रभाव-आकार के दावे से अलग हैं) क्लाइंट-साइड पुष्टि या कोई मुक़दमा पैदा करते हैं।

मुख्य आँकड़ा एक विक्रेता का अपना माप है, विक्रेता की अपनी इकाई में, विक्रेता के अपने प्लेटफ़ॉर्म पर, उन हमलों के विरुद्ध जिन्हें विक्रेता ने खुद पकड़ा — और यह सीधे-सीधे कहा जाना चाहिए, इसलिए नहीं कि एंथ्रोपिक बेईमानी कर रहा है (वह ट्रेड-ऑफ़ और अभी किसी गंभीर विरोधी का सामना न करने के बारे में असामान्य रूप से खुला है), बल्कि इसलिए कि यह आँकड़ा अब राष्ट्रीय-सुरक्षा के तर्क में भार-वहन कर रहा है।

यहाँ असली नई बात प्रतिशत नहीं है। वह यह है कि रीज़निंग ट्रेस एक नियंत्रित संसाधन बन गए हैं। एंथ्रोपिक का एंटी-डिस्टिलेशन नियंत्रण अब एक एपीआई अनुबंध है: एक थिंकिंग ब्लॉक एक मॉडल से, उसके सटीक प्रीफ़िक्स से, और कुछ मामलों में एक अकाउंट से बंधा है। यह डेवलपर्स के लिए ब्रेकिंग चेंज है, ब्लॉक किए गए अनुरोधों के लिए एक नई लागत-पंक्ति है, और इस बात में चुपचाप कमी है कि किसी मॉडल की सोच कितनी कोई — हमलावर, ऑडिटर या शोधकर्ता — पढ़ सकता है। सुरक्षा-लाभ और निगरानी-हानि एक ही नियंत्रण पर सवार हैं।

इस टुकड़े को तीन अलग-अलग दावों के रूप में पढ़ें: पोस्ट मौजूद है (सत्यापित); नामित प्रतिस्पर्धियों ने विशिष्ट पैमाने पर विशिष्ट काम किया (एकल-स्रोत, बाहर से अमिथ्याकरणीय, और एक प्रतिस्पर्धी द्वारा किया गया); और रक्षा ने निकासी 90–99% घटाई (स्वयं-रिपोर्टेड, अनऑडिटेड, और लगातार टिकने वाले विरोधी के विरुद्ध अप्रमाणित)। पहला पत्रकारिता है। दूसरा एक कूटनीतिक दस्तावेज़ है। तीसरा एक अवधि-बद्ध परिकल्पना है — ओपन-वेट और फ़्रंटियर मॉडलों के बीच का अंतर या तो उतनी तेज़ी से पटना बंद कर देगा, या यह आँकड़ा चुपचाप संशोधित हो जाएगा।

इस आर्टिफ़ैक्ट में story ID S12 है। प्रयुक्त साक्ष्य लेबल: FACT, COMPANY CLAIM, INDEPENDENT EVIDENCE, INTERPRETATION, PREDICTION। स्थिति लेबल: EARLY RESEARCH.