所谓"悄悄检测"，不是传闻，而是 Anthropic 从 8 月起陆续部署、已经静默运行的一套机制。这套机制真正防范的是未经授权、秘密进行的产业级能力提取，把 Claude 当老师、批量学走能力去训练别的模型，而不是某个具体的普通用户。但同一套判定逻辑叠在自动化开发流程上，确实会扫到一部分正常干活的开发者。知乎
到 11 月上旬，这条检测链已经堆出四层：输出的隐形水印、筛查请求的两级分类器、接口层的思考块锁定，以及对话结束后的事后评估。请求侧的第一级对全部流量做轻量筛查，第二级再对筛出的可疑请求深入审核、确认后拦截。下面逐层说清"查的是什么、查不到谁"。知乎
你输出的文字，8 月起就带着隐形标记
水印不是附加在文件属性里的元数据，也不存在隐藏字符，它加在采样这一步，是织进逐词选择的统计模式，复制粘贴它跟着走。这套技术的底子源自谷歌 DeepMind 的 SynthID-Text 方法变体，此前只应用在 2026 年 8 月之后发布的新模型上，首批包括 Claude Opus 5.5。知乎知乎
11 月 3 日起，Anthropic 确认把隐形文本水印扩展到 Claude Mythos 5、Claude Opus 4.7、Claude Opus 4.6 和 Claude Sonnet 4.6 四款旧模型，堵住"换回旧版就拿到无水印文本"的路。知乎
检测入口并不对所有人开放：水印检测目前是非公开的预览功能，仅向监管机构、媒体、研究人员、教育机构及负有合规义务的企业开放，且需通过审核。此外，Opus 4.6 和 Sonnet 4.6 两款旧模型的水印要靠采样参数保持默认值才生效，技术上留有绕过空间。知乎
水印查的是"文字的来源"，不是"人的身份"。官方说明里，它不携带任何用户或组织的身份信息，仅用于标记文本经由 Claude 处理。而持有密钥也只能回答这段文本有多大概率部分由 Claude 撰写，无法确认文本是否由人类撰写，也无法判断是否由其他 AI 编写。换句话说，可追溯的是"回答出自哪家的模型"，而不是谁坐在屏幕前。知乎知乎
你发出的每条请求，都会被两级分类器过一遍
10 月 12 日，Anthropic 发布研究《Strengthening our defenses against distillation attacks》，把防御拆成推理材料如何复用、提取请求如何识别、攻击账号如何处置三个环节。分类器的核心判据来自一个行为反差：普通用户很少要求模型逐字写出隐藏推理，而主动提取者会反复尝试。知乎
已经观察到并封堵过的手法，包括要求 Claude 将此前推理翻译成另一种语言，或把推理写进答案旁的标签里。知乎
处置是分层的：持续尝试提取推理的账号先被收紧用量限制，反复、持久的蒸馏行为则封停账号，不少账号从开始蒸馏行动到被停用不到两小时。知乎
自报的效果是蒸馏者能收割的数据量下降了约 90% 到 99%，口径是攻击者在 Anthropic 自有平台提取的推理数据，蒸馏模型还能学到多少要另算。知乎
误报率低于 0.1%，同样出自公司自述；对正常调用来说，平均每千次里被错拦的不到一次。知乎
计费侧有一条更硬的约束：自 9 月 24 日起，Anthropic 恢复对部分被防护系统拦截、尚未由 Claude 作答的请求收费。知乎
官方 API 文档列出三类作答前拒绝仍会计费的类别：bio、frontier_llm、reasoning_extraction，分别涉及生物、前沿模型开发和推理提取，第三类就是推理提取。试探即使没拿到答案，也可能留下账单。知乎
也要分清两套系统：请求筛查分类器的误报率，和账号封禁的风控并不是同一套；封号风控的误判率官方从未公开，误伤了多少，算不出来。知乎
你复用的思考块，被锁进了上下文
对开发者冲击最直接的改动藏在接口里，这就是三层防线中的"推理复用"一层。知乎
它管的是既有思考块能否在后续请求中继续使用：对 2026 年 8 月 31 日及之后创建的新 API 账号，复用思考块时，块之前的前缀——system 提示、tools 和此前的 messages——需要保持不变，修改后再携带旧块发起请求，API 会按所选行为拒绝请求或丢弃无效块。知乎
值得逐一检查的，恰恰是正常工程里那些常规动作：历史重建、客户端压缩、工具定义变更、模型切换，以及思考块的缓存和重放。在新的保留思考机制下，修改了思考块之前的上下文，就可能导致请求失败，或者让相应的思考块被删除。知乎知乎
推理记录还加了读取隔离：防护较弱的早期模型读不到新模型的推理，到了 Sonnet 5.5，推理还要认组织，只能由最初发起请求的那个组织接着用。换句话说，囤一堆账号，不等于攒了一堆能接力抄作业的同学。知乎
为什么锁的是推理而不是答案？Anthropic 的自测对照给出了价差：预训练模型接受完整推理记录蒸馏后，在编程基准 SWE-bench Verified 上得分 80.4%；换成摘要记录，得分降到 71.8%。"怎么走到答案"的过程，才是工业化提取最想要的材料。知乎
聊完之后，模型还会给风控写一份小结
第四层发生在对话结束之后。Anthropic 在 X 上发文，公开了这套名为「自我评估」的隐藏机制。知乎
它其实已经在 Claude 后台静默跑了整整 4 个月。知乎
评估本身很轻：不用重读上下文，顺着缓存平均多生成约 10 个 token 就能完成自审，整体推理算力开销增加不到 2%。知乎
这份评估小结不会展示在你的聊天里，也不会带进后续对话。知乎
平台是按组织处理这些标记的：在部分风险领域，高优先级标记每晚汇总，多次出现的组织会被升级给人工审核。知乎
这套机制从 6 月起就在生产环境运行，覆盖相当一部分流量，而零数据保留协议覆盖的流量目前不运行它。知乎
需要分清的是，这一层只负责标记和送审，实时拦截仍由其他安全机制负责，被标记不等于被封号；攒下的小报告在半夜按机构打包，送到人工安全执法团队的案头。知乎
检测铺到这个厚度，因为提取早就成了产业链
公开指控按时间排列：今年 2 月，Anthropic 点名 DeepSeek、月之暗面和 MiniMax，说这几家用了 2.4 万个虚假账号，跟 Claude 对话了 1600 多万次来蒸馏它的能力。9 月的威胁情报报告又点名智谱（Z.ai）的 GLM-5.3 与月之暗面，按 Anthropic 的叙述，Kimi 接到的一些请求被秘密转给 Claude 回答。这些指控均为 Anthropic 单方披露，无法独立核验，但它们定义了防线为什么优先对着"提取"而不是"滥用"。知乎知乎
执法规模也有公开数字：2026 年上半年，Anthropic 封禁了 1140 万个 Claude 账号，出自其 7 月的透明度报告。知乎
同期的另一组数字更能说明成本落在谁头上：约 39.8 万次申诉，4.2 万次成功，成功率 10.6%。收紧风控的费用由厂商付，但误伤的代价主要由拿到封号邮件的那一端承担。知乎
普通用户该盯的三个可核验信号
先说结论：单轮的正常问答、写作、写代码，与这套检测关系不大。最近微博上"一眼看出我是来蒸馏的"式的热嘲，样本是登录阶段就被封的灰区账号——真厉害呢，我连用都没用，登录阶段就封号了。社区里诸如"有啥反反蒸馏的方法技巧吗"的提问，多数也发生在号池、代充、转卖等灰区用法与环境风控的交叉点上，而非蒸馏检测本身。微博知乎
真正在生产里用的人，盯三个信号。第一，看 API 返回里的拒绝类别：出现 reasoning_extraction 说明请求被归入提取类防护，别急着归因"降智"。知乎
第二，弄清账号的创建时点：8 月底之后创建的 API 账号，思考块复用受前缀规则约束。适配规则不只是躲封禁，官方说明里它同时也是省钱的事——保持思考块及上下文一致，有助于提高 Prompt Cache 的复用率，从而降低成本和响应延迟。知乎
第三，盯住 11 月 12 日。新版使用政策当天生效，未经授权的转售、代理访问，以及用其他账号绕过封禁、向此前被封的实体提供访问，都被明文列入违规。知乎
需要说明的是，11 月 12 日是政策生效日，不是"统一封号日"：措施分警告、限流、限制、暂停或终止访问五级，输出被拦截也不自动等于账号违规。知乎
再往后的方向可以观察 FlashProve。Anthropic 开源了这套零知识证明验真系统，官方博客设想的场景里就包括"一个更高级的模型顶替获批的弱模型上岗，再装成弱模型的样子，躲开本该施加在它身上的监控"——换壳与冒充，正在变成可以被数学验证的事。但它现阶段只是研究原型：只在 Llama 4 Maverick 这一个开源模型上跑通，上下文最长 1024 个 token。36氪知乎
生成证明的算力开销也是普通推理的 70 到 95 倍；据外媒报道，Anthropic 暂时没有计划把它用到 Claude 上。知乎
到这里，“悄悄检测"的全貌就清楚了：水印证明"是不是 Claude 写的”，分类器判断"是不是在提取"，preserved thinking 限制"能不能复用"，自我评估记录"该不该送审"。四层都有官方出处，效果数字却基本是 Anthropic 自报，口径限定在其自有平台。对普通用户，与其在"模型看穿我"的段子里焦虑，不如把错误类别、前缀规则和 11 月 12 日的政策文本放进待办——检测针对的行为离你很远，但误伤的通道对所有人都是敞开的。
