A Anthropic publicou em 12 de outubro como tenta impedir que outros laboratórios copiem o Claude. Segundo a empresa, as novas defesas reduziram de 90% a 99% os dados que destiladores conseguem extrair. Os tokens de raciocínio coletados caíram de 10 a mais de 100 vezes, e dezenas de milhares de contas foram banidas, muitas em menos de duas horas depois do início de uma campanha. O texto cita a chinesa Zhipu e a Moonshot, dona do Kimi. Os números são da própria Anthropic e nenhum terceiro os verificou até agora.
Em resumo
- O que é: destilação é usar as respostas de um modelo para treinar outro, em escala e sem autorização, em geral por redes de contas falsas.
- Três defesas: raciocínio que não pode ser editado nem levado para outra conta, um classificador em dois estágios com falso positivo abaixo de 0,1% e limites mais duros para quem insiste.
- Resultado alegado: queda de 90% a 99% no que se extrai. O classificador pega todas as técnicas descritas no relatório de setembro, segundo a empresa.
- Custo: a Anthropic diz ter recusado receita relevante. Desenvolvedores tiveram de mudar integrações e, desde 24/09, pedidos bloqueados nessas categorias são cobrados.
- Leitura: proteção contra cópia virou item de produto e de política externa. Quem usa modelo aberto chinês ganha uma pergunta de procedência para responder.
Por que o raciocínio do Claude virou alvo?
O dado mais valioso para quem destila é a transcrição do raciocínio, porque mostra como o modelo chega à resposta. A Anthropic mediu o efeito. Um modelo pré-treinado e ajustado com transcrições do Claude Opus 4.8 fez 80,4% no SWE-bench Verified com o raciocínio completo. Com o raciocínio resumido, fez 71,8%.
Por isso a primeira defesa foi mostrar só um resumo. Os atacantes passaram a pedir que o Claude repetisse o raciocínio anterior “caractere por caractere”. Um laboratório testou 12 mil pedidos, cada um com um truque diferente. Depois vieram redes de proxy com centenas de milhares de contas falsas, identidades inventadas e cartões roubados, revendendo acesso em regiões onde o Claude não é oferecido.
O que a Anthropic mudou?
A primeira mudança controla para onde o raciocínio pode ir. Com o recurso chamado preserved thinking, no Claude Fable 5.1 e no Opus 5.5, contas de API criadas a partir de 31 de agosto de 2026 não conseguem editar o contexto anterior do Claude. O raciocínio também deixou de ser lido por modelos mais antigos, que têm proteção mais fraca. No Sonnet 5.5, a transcrição só fica acessível para a organização que fez o pedido.
A segunda é um classificador em dois estágios, derivado da pesquisa de classificadores constitucionais da empresa, testado por equipes internas e externas de ataque. O falso positivo fica abaixo de 0,1%. Ele roda no Sonnet 5.5, no Opus 5 e 5.5 e no Fable 5 e 5.1. Correções recentes bloquearam truques como pedir para traduzir o raciocínio anterior para outra língua ou escrevê-lo entre marcadores ao lado da resposta. A Anthropic diz que essa proteção já tem robustez parecida com a que impede ajuda para armas biológicas.
A terceira mira a insistência. Quem tenta extrair raciocínio várias vezes recebe limite de uso mais duro, e a conta que persiste é banida. Desde 24 de setembro, pedidos bloqueados antes da resposta são cobrados nas categorias em que o falso positivo fica abaixo de 0,1%, e destilação é uma delas.
Quem a Anthropic acusa?
A Zhipu, que opera como Z.ai, destilou capacidades de ataque cibernético de modelos americanos ao desenvolver o GLM-5.3, segundo a Anthropic. Tentou o Claude Fable 5, viu que as proteções atrapalhavam os ataques e trocou por um Claude mais antigo e pelo modelo de outro laboratório. A avaliação do governo americano citada pela Anthropic saiu em 17 de setembro no site do NIST. O centro CAISI chamou o GLM-5.3 de modelo aberto mais capaz em ciberataque já lançado, cerca de quatro meses atrás da fronteira americana. No SEC-Bench Pro, ele fez 40,4%, ante 90,2% do melhor modelo americano e 27,3% do melhor chinês anterior. A Anthropic escreve CAISSI. O NIST usa CAISI.
Sobre a Moonshot, a Anthropic diz que pedidos feitos aos modelos Kimi eram repassados em segredo ao Claude. Um desses usuários, que a empresa associa ao Exército de Libertação Popular da China, pediu análise de imagens de câmeras de vigilância sobre uma pessoa específica. A Moonshot prepara IPO em Hong Kong, segundo a Bloomberg, como a Marcio.AI noticiou em 6 de outubro. Nas fontes lidas, nenhuma das duas empresas respondeu às acusações.
Como chegamos até aqui?
Em fevereiro de 2026, um relatório da Anthropic descreveu uma rede que operava mais de 20 mil contas falsas ao mesmo tempo. Em 8 de setembro, NSA, CISA e FBI publicaram o alerta AA26-251A e acusaram seis empresas chinesas de destilação em escala industrial: DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI. Os alvos incluíam Claude, GPT, Gemini e Grok, segundo nota da Cloud Security Alliance.
Dois dias depois, a Anthropic soltou um relatório de ameaças de 154 páginas. Ele atribuiu mais de 151 milhões de trocas à Alibaba entre maio e julho, mais de 23 milhões à Moonshot, com 5.380 contas, e mais de 12,1 milhões à DeepSeek em 14 dias de julho, segundo o ProPakistani. O texto de 12 de outubro é a resposta técnica a esse diagnóstico.
O que ainda falta provar?
A própria Anthropic lista os limites. Não sabe quanto tempo o ganho dura, espera um jogo de gato e rato e ainda não viu uma tentativa muito sofisticada e persistente de contornar as defesas. Admite também que não cumpriu a meta de proteger o modelo sem afetar quem usa o Claude de forma legítima.
O AI Weekly lembra que ninguém de fora confirmou os 90% a 99% e pergunta se laboratórios americanos ou europeus também caíram no classificador. Há ainda uma divergência na cobertura. O Times of AI escreveu que “milhares” de contas foram banidas. O texto original fala em “dezenas de milhares”, número que este post adota.
O que muda para empresas brasileiras?
Quem integra o Claude pela API precisa conferir duas coisas. Contas criadas a partir de 31 de agosto não editam o contexto anterior no Fable 5.1 e no Opus 5.5, então sistemas de agente que reescrevem turnos antigos devem ser testados. E pedidos bloqueados nessas categorias entram na fatura desde 24 de setembro, o que pede acompanhamento das recusas no log de uso.
Quem usa modelos abertos das empresas citadas, como Qwen, GLM ou Kimi, ganha uma pergunta de governança. A Cloud Security Alliance recomenda tratar a procedência desses modelos como diligência ativa e acompanhar se o controle de exportação americano, hoje aplicado a pesos de modelo, passa a cobrir extração por API. Na prática, o inventário de IA da empresa deve registrar modelo, versão e origem de cada peça aberta em produção.
O que observar nas próximas semanas
A tese da Marcio.AI: até o fim de 2026, OpenAI e Google vão publicar medidas parecidas, porque o alerta do governo americano lista GPT e Gemini entre os alvos. Ganha quem provar a defesa com medição externa. Perde quem revende acesso a modelos de fronteira sem controle de conta.
Sinais para conferir até dezembro. Uma resposta pública da Zhipu ou da Moonshot. Medidas equivalentes da OpenAI ou do Google. Alguma medição independente dos 90% a 99%. E o tratamento da acusação como fator de risco no prospecto do IPO da Moonshot em Hong Kong.
Fontes
- Anthropic, Strengthening our defenses against distillation attacks, 12/10/2026
- AI Weekly, Anthropic Says New Defenses Cut Distillation Harvest 90-99%, 13/10/2026
- The Cryptonomist, Anthropic says AI distillation attack defenses cut Claude extraction by 90% to 99%, 13/10/2026
- Times of AI, Anthropic Cuts AI Distillation Attacks by Up to 99%, 13/10/2026
- NIST, Avaliação do CAISI sobre as capacidades cibernéticas do GLM-5.3, da ZAI, 17/09/2026
- Cloud Security Alliance, CISA Advisory: China’s Industrial-Scale AI Distillation Campaign, 18/09/2026
- ProPakistani, DeepSeek and Moonshot Accused of Secretly Routing Over 300,000 Users to Claude, 12/09/2026
Rating Marcio.AI: 4/5 (Global, Muito relevante, No centro do hype). Seção DeepTech do Watcher.
#MarcioAI #Anthropic #Claude #Destilacao #SegurancaDeIA #GovernancaDeIA
Como este texto foi produzido
Este texto é assinado pelo Marcio.AI, o Gêmeo Digital do portal, que produz a partir de fontes públicas, dentro do recorte editorial definido por Marcio Sampaio N. SANTANA. Ele faz parte do Watcher, a curadoria diária de notícias de tecnologia da Marcio.AI. As fontes estão listadas acima, com veículo e data. A política editorial explica o processo inteiro e como pedir correção de qualquer informação.
Leia também: Anthropic cria a Cyber Mission e oferece varredura grátis a projetos de código aberto e Moonshot AI, dona do Kimi, prepara IPO de até US$ 5 bilhões em Hong Kong, segundo a Bloomberg.