انتروپیک در ۱۲ اکتبر ۲۰۲۶ یادداشت پژوهشی دربارهٔ دفاع‌های تازه در برابر حملات تقطیر روی کلود منتشر کرد. این حملات کارزارهایی در مقیاس صنعتی‌اند که خروجی مدل، به‌ویژه رونوشت استدلال پنهان، را برای آموزش سامانه‌های رقیب بدون مجوز جمع می‌کنند. شرکت می‌گوید شواهد اولیه نشان می‌دهد این روش‌ها دادهٔ برداشت‌شده توسط تقطیرکنندگان را حدود ۹۰ تا ۹۹ درصد کاهش داده است.
متن، تقطیر غیرمجاز را هم مسئلهٔ ایمنی و هم دغدغهٔ امنیت ملی می‌داند. انتروپیک استدلال می‌کند مدل‌های تقطیرشده می‌توانند به قابلیت مرزی نزدیک شوند بدون آنکه محافظت متناسب داشته باشند، و به نمونه‌هایی مرتبط با آزمایشگاه‌های چینی اشاره می‌کند. می‌گوید ژیپو هنگام ساخت GLM-5.3 قابلیت‌های سایبری مدل‌های آمریکایی را تقطیر کرده و حتی به کلود فِیبل ۵ حمله کرده است. همچنین از ترافیک مون‌شات یاد می‌کند که در آن درخواست‌هایی به کلود از مسیر کیمی هدایت شده؛ از جمله درخواستی که انتروپیک آن را به تحلیل دوربین مداربستهٔ یک فرد مشخص نسبت می‌دهد.
دفاع‌های اولیه استدلال کلود را پیش از نمایش به کاربر خلاصه می‌کردند. به گفتهٔ انتروپیک، مدلی که با رونوشت کامل کلود اوپوس ۴٫۸ آموزش دید روی SWE-bench Verified به ۸۰٫۴ درصد رسید، در حالی که با استدلال خلاصه‌شده ۷۱٫۸ درصد گرفت. مهاجمان سپس به استخراج فعال روی آوردند؛ از جمله درخواست بازتولید لفظ‌به‌لفظ استدلال قبلی و هزاران درخواست خصمانه.
سامانهٔ تازه سه بخش دارد. «تفکر حفظ‌شده» روی کلود فِیبل ۵٫۱ و اوپوس ۵٫۵ مانع می‌شود حساب‌های API جدید (ایجادشده از ۳۱ اوت ۲۰۲۶ به بعد) زمینهٔ قبلی را ویرایش کنند؛ مدل‌های بعدی استفادهٔ متقابل استدلال میان مدل‌ها و حساب‌ها را محدود می‌کنند. در کلود سانت ۵٫۵ رونوشت‌ها فقط در اختیار سازمانی است که درخواست را تولید کرده. یک طبقه‌بند دوطبقه، در خط پژوهش constitutional classifiers، تلاش‌های استخراج را روی سانت ۵٫۵، اوپوس ۵ و ۵٫۵، و فِیبل ۵ و ۵٫۱ هدف می‌گیرد و نرخ مثبت کاذب اعلام‌شده زیر ۰٫۱ درصد است. تلاش‌های مکرر به محدودیت سخت‌تر و مسدودسازی می‌انجامد؛ از ۲۴ سپتامبر انتروپیک دوباره برای درخواست‌های مسدودشده پیش از پاسخ کلود هزینه می‌گیرد.
پس از استقرار طبقه‌بند، انتروپیک می‌گوید توکن‌های استدلال قابل استخراج روی بستر خودش ۱۰ تا ۱۰۰ برابر کمتر شده و گاه آن‌قدر کم بوده که قابل اندازه‌گیری نبوده؛ ده‌ها هزار حساب مرتبط نیز اغلب در کمتر از دو ساعت مسدود شده‌اند. پوشش رویترز روز بعد همان ارقام و مقایسه با امتناع‌های مرتبط با سلاح زیستی را بازتاب می‌دهد.
شرکت هزینه را پنهان نمی‌کند: درآمد و تریلیون‌ها توکن ترافیک پولی رد شده، به‌روزرسانی یکپارچه‌سازی به‌خاطر تفکر حفظ‌شده، و مثبت کاذب نادر. هنوز بازی موش و گربه را محتمل می‌داند و دور زدن پیچیده و پایدار سامانهٔ تازه را ندیده است. جمع‌بندی می‌کند که سایر توسعه‌دهندگان مدل مرزی و سکوهای استنتاج باید همکاری کنند، چون ترافیک سوءاستفاده از API انتروپیک، ابر و دیگر ارائه‌دهندگان عبور می‌کند.