Anthropicの対策は、ポリシーによる制限とシグナルに基づく検知を組み合わせているようだ。同社の説明によれば、保護対象の推論には、より厳格なAPI利用プラン、クエリ頻度の制限、言い換えによる回避に強いアクセス確認を設けている。検知面では、プロキシのIPアドレス群、意味的な構造が繰り返されるプロンプト、複数アカウント間の連携パターンをテレメトリーで検出する。自動的な利用制限やアカウント停止と組み合わせることで、大量収集のパイプラインを弱体化させる狙いだ。重要なのは、蒸留を単一リクエストのヒューリスティックだけで検知するのではなく、相関する複数のシグナルを必要とする分散型の不正行為として捉えている点である。

能力の再現を目的とする蒸留では、中間的な推論出力、つまり思考の連鎖、根拠、構造化された段階的な回答の抽出が重視される。こうしたトークンには、振る舞いを効率よく再現するための手掛かりや、潜在的な問題解決の手法が含まれているためだ。収集した推論トークンを選別して学習コーパスに組み込めば、より小型のモデルや異なるアーキテクチャのモデルに、そうした振る舞いを模倣させられる。そのため、推論トークンは表面的な回答よりもはるかに価値が高い。防御側にとっての課題は、説明のための正当な出力と、学習目的で体系的に収集されている出力を見分けることだ。

検知では、複数のテレメトリーを統合する。ネットワーク上のパターン（プロキシのIP群、珍しいASN）、リクエストの形態（テンプレート化されたプロンプト、段階的な言い換え）、送信タイミング（大量かつ間隔の変動が少ないリクエスト）、アカウントの出所（関連する本人確認情報や端末シグナル）などだ。Anthropicが誤検知率0.1%未満と主張していることから、慎重な閾値設定と綿密な調整がうかがえる。しかし、この種のシステムでは、低頻度で長期にわたるキャンペーン、敵対的なプロンプトの難読化、第三者サービスを介した巧妙な分散を見逃す可能性がある。そのため防御側は、自動ブロックだけに頼らず、調査担当者の対応手順や研究者の異議申し立て窓口を整え、例外的なケースに対処するとともに、運用への支障を減らす必要がある。

推論トークンへのアクセスを厳しく制限すると、難しいポリシー上の判断が生じる。アクセス制限を強めれば知的財産の保護は容易になる一方、独立した研究や再現性の確保が難しくなる。問題行為が疑われる相手を公に名指しすれば、競争上の対立が激化し、協力関係を損なう恐れもある。業界、資金提供者、規制当局は、許容されるリバースエンジニアリングの範囲、責任ある情報開示の手順、問題行為の帰属先を公表すべき状況を明確にする必要がある。大学やオープンな研究に携わる人々のためには、安全な免責措置を設けた窓口や、審査済みの研究者向けアクセスプランを用意すれば、能力の大規模な吸い上げを防ぎつつ、正当な調査を維持できる可能性がある。

利用者は、ベンダーに抽出対策と誤検知への対応方針を開示するよう求めるべきだ。運営者は、組織的なリクエストを検知できるようテレメトリーを整備し、フラグが付いた利用者向けに異議申し立ての経路を用意する必要がある。プロダクトチームは、段階的なアクセスプランと、蒸留を目的とする学習を明示的に禁じるデータ利用契約を設計すべきだ。最先端モデルを開発する企業を評価する投資家は、防御能力とプラットフォームリスク管理が競争優位につながるかを見極める一方、誤った帰属に基づく主張が法的リスクを生まないかにも注意を払う必要がある。今後、防御への投資は企業評価や契約交渉でますます重視されるだろう。