保留思考：Claude 改变 Messages API 处理思考块的方式以防止蒸馏
一句话：多轮对话里，思考块之前的内容不许改了——改了报错，或者静默删块。这是 Anthropic 对工业级蒸馏攻击的一次 API 级反制。
一、到底改了什么
API 现在验证思考块是否与生成它的完全相同的前置上下文一起回传，任何一处改动直接返回错误。
先补背景：Claude 回答前会产生思考块（thinking blocks）——推理过程的加密记录。多轮对话中，API 用户要把这些块连同 system prompt、tools、历史消息一起发回去，模型才有完整上下文。
默认：报错模式
- 前置的 system prompt、tools、历史消息任何一处被修改，请求直接失败
- 上下文压缩、会话中途增删工具、注入系统提醒——日常操作全部触发
- 开发者需要改造集成，或切换到非严格模式
可选：非严格模式（opt-in）
- 请求通过，但受影响的思考块从模型视野中静默删除
- 对话继续，模型看不到之前轮次的推理
- API 响应会告知删除了哪些块——需要主动监控
二、为什么这么做
蒸馏攻击的机制：用模型自己当解密机。
Anthropic 的思考块本身是加密的，日志里看不到明文。但攻击者发现了一个绕法：编辑思考块之前的历史消息，可以让 Claude 在后续轮次中解密并输出自己的推理过程。
这套打法是工业化的：数千虚假账户、规模化提取高级模型的思考数据，用来训练竞品模型。关键危害不是"抄了作业"，而是这样训练出的系统继承了能力，却不继承安全护栏——防网络攻击、武器开发的约束全部丢失。
新政是多层防御的一环，前面已有：思考块加密、蒸馏分类器、限制会话从高护栏模型向低护栏模型转移。
修改前置上下文有合法的应用……但这样的修改也是工业规模非法蒸馏的常见且公开记录的技术。
Modifying this prefix context has legitimate applications… But such modification is also a common and publicly documented technique in industrial-scale illicit distillation.
三、影响面：一张表看清
老账户是缓冲期，新账户直接生效。
| 你是谁 | 受影响吗 | 要做什么 |
|---|---|---|
| Claude Code / Cowork / Claude.ai 用户 | 无感 | 产品内部已处理思考块，零改动 |
| 2026-08-31 前创建的老 API 账户 | 暂缓 | 缓冲期，但官方明确"即将扩展到所有用户" |
| 新 API 账户 + 三款新模型 | 直接生效 | 检查集成是否动态改上下文 |
| 自研 agent 框架 | 重灾区 | 迁移到官方 Compression API 或中途换工具 Beta |
| 多云故障转移架构 | 隐性成本 | 跨账户思考会被删，响应变慢变贵 |
官方迁移路径 + 附带红利
- Compression API（Beta）：总结较早轮次 + 逐字保留最近轮次，后台构建摘要，替代客户端压缩——最常见的迁移点
- 会话中途工具变更（Beta）：允许对话期间增删工具而不编辑早期轮次
- 保留思考文档 + 迁移指南：完整的兼容性检查清单
- 附带红利：上下文不再漂移 → prompt cache 命中率上升 → 成本降低、响应更快
四、压力测试：三个值得追问的点
安全叙事之下，有几个公告没有回答的问题。
安全打击打到了谁
工业级蒸馏者可以换账户、换模型、继续找绕法；而合规框架作者必须重写上下文管理逻辑。摩擦成本落在诚实开发者身上的比例，可能比落在攻击者身上更高——公告没有给出任何数据回应这个质疑。
非严格模式的质量陷阱
删块不报错、对话继续，开发者如果不监控响应里的删块提示，模型质量下降是无声的。建议把删块事件纳入可观测性面板，而不是等用户投诉输出变笨。
安全声明还是商业护城河
这既是安全措施，也是模型能力护城河——竞品拿不到你的思考数据，你的 API 就更值钱。两者不冲突，但读公告时应该意识到安全叙事之下有清晰的商业利益结构。
五、苏格拉底式追问
把新规则放进对话里磨一遍。
学生：我不就是删了几条旧消息省 token 吗，怎么就成蒸馏嫌疑了？
老师：你在多轮对话里改了思考块之前的内容。API 无法区分"你为了省钱压缩上下文"和"攻击者构造前置上下文骗模型解密思考"——从签名校验的视角，两者是同一个操作。
学生：那加密思考块还有什么意义？
老师：加密防的是静态读取日志；这条新规则防的是用模型自己当解密机——编辑上下文诱导它在下一轮输出明文推理。两道锁对应两种攻击面。
学生：我用的 Claude Code 呢？
老师：无感。官方产品内部管理思考块，早就兼容。真正要动手的是自己写 agent loop、自己管上下文窗口的人。
学生：那这些自研框架最终会怎样？
老师：迁移到官方 Compression API 和中途换工具接口。长远看，上下文管理正在从客户端自由操作变成平台托管能力——这才是这条公告里最大的架构信号。
六、行动清单
按角色对号入座。
support.claude.com/zh-CN/articles/16761192
解读：Cloudcold · 2026-10-17