Distilação de modelos é roubo ou técnica neutra?

Se você usa um revendedor barato de API para economizar, a distilação de modelos pode tornar suas conversas parte do produto. A Anthropic afirma em seu relatório de setembro de 2026 que dois laboratórios encaminhavam requisições de clientes pagantes ao Claude devolviam a resposta como trabalho próprio, incluindo credenciais e dados pessoais.

O que a Anthropic encontrou no relatório de setembro de 2026

A distilação de modelos descrita pela Anthropic setembro de 2026 é um conjunto de campanhas covert para extrair traços de raciocínio do Claude não apenas respostas finais. O relatório, publicado em 10 de setembro, reúne 40 estudos de caso, sete categorias de dano e nove meses de atividade — o anterior tinha três estudos de caso.

O documento cobre hackers estatais russos, equipes de vigilância iranianas, manipulação eleitoral sob encomenda e uma rede de aplicativos de namoro falsos. A seção de cibercrime traz uma conclusão que muda a leitura do resto: o nível de sofisticação de um ataque deixou de ser um bom indicador de quem está por trás dele.

Isso acontece porque a lacuna de ferramentas fechou. Um ativista com chaves de API roubadas consegue rodar uma campanha com aparência de operação estatal. Em um caso de espionagem atribuído à Rússia, agentes observavam o próprio malware e o reconstruíam sempre que um produto de segurança o detectava.

Nesse ciclo, não havia humano no meio, apenas o modelo. O operador escolhia alvos e verificava o que voltava. Esse é o argumento da Anthropic sobre automação ofensiva, e ele só se sustenta enquanto a empresa for a fonte dos dados brutos.

Como a distilação de modelos foi feita: o caso Alibaba

A distilação de modelos no caso atribuído à Alibaba funcionou por um mecanismo simples: um prompt fixo pedia ao Claude que escrevesse seu raciocínio em tags de texto simples antes de responder. O conteúdo era salvo, virou par de treino e alimentou o ajuste fino.

A Anthropic afirma que a operação somou 151 milhões de trocas de API entre maio e julho de 2026, com pico perto de 3 milhões por dia e mais de 3,5 mil contas falsas. A empresa diz que esse material gerou três gerações do Qwen, a família de modelos da Alibaba, embora a Alibaba não tenha confirmado a acusação.

A técnica em si é antiga e legítima. Você pergunta muito a um modelo forte e treina um modelo menor nas respostas, obtendo comportamento parecido por custo menor. A objeção da Anthropic é o método, e sim a escala, o sigilo e a fraude por baixo dele.

O relatório descreve variações do mesmo padrão em outros laboratórios. Uma operação usou 5.380 contas falsas registradas majoritariamente fora da China; outra alternou 273 contas e empurrou mais de 700 mil trocas por um pipeline de limpeza em dez dias.

O alvo da extração é o traço de raciocínio, não a resposta. A Anthropic argumenta que o raciocínio generaliza e que treinar nele copia o caminho até a solução. A empresa também afirma que um modelo destilado assim pode adquirir capacidade perigosa em biologia ou cibernética mesmo sem conversas sobre esses temas — é a afirmação mais forte do relatório e a que depende exclusivamente da palavra da Anthropic.

Cross-session replay: como o ataque contornou a proteção

A API do Claude devolve o raciocínio bruto: ela retorna uma assinatura, uma referência curta que o sistema usa para recuperar o traço na chamada seguinte. O que a Anthropic chama de cross-session replay attack contorna essa proteção salvando a assinatura e abrindo uma sessão nova.

Na sessão nova, o atacante pedia ao Claude que convertesse a assinatura de volta no raciocínio completo. Segundo o relatório, funcionou. A Anthropic atribui o método ao Moonshot, o laboratório chinês por trás dos modelos Kimi, que não se pronunciou publicamente sobre a acusação.

As tentativas malsucedidas também estão impressas no documento. Um prompt dizia que o usuário estava em sessão de depuração inspecionando o traço de raciocínio; outro pedia a tradução da memória de trabalho para outro idioma; outro pedia a saída literal do raciocínio anterior.

A maioria foi rejeitada. Um laboratório rodou 12 mil requisições de teste, cada uma com uma técnica diferente, só para descobrir quais passavam. Depois, escalou as que funcionaram. Trata-se de teste A/B aplicado a extração, com o mesmo ciclo de tentativa e erro de qualquer campanha de marketing.

Onde a distilação de modelos deixa de ser só econômica

Além de consultar o Claude, dois laboratórios o revendiam, segundo a Anthropic. Requisições de clientes pagantes eram encaminhadas ao modelo americano e a resposta voltava como trabalho do próprio laboratório, sem que o usuário soubesse.

Um dos laboratórios verificava se o tráfego vinha do Claude Code, a ferramenta de codificação agêntica da Anthropic que roda no terminal, ou de ferramenta semelhante. Os usuários fazendo engenharia mais séria eram justamente os escolhidos para a coleta. Aqui há um problema concreto de contrato e de privacidade, não só de concorrência.

O relatório menciona uma consulta que a Anthropic avalia vir de alguém ligado ao exército chinês. O mesmo usuário analisava imagens de centenas de câmeras de uma cidade, incluindo áreas de instalações militares, e perguntava se uma pessoa monitorada se comportava de forma anormal.

Outra requisição carregava credenciais ativas de um banco de dados do governo russo, segundo o relatório. Em outro caso, engenheiros construíam uma ferramenta de gestão de casos para um departamento de polícia municipal, cruzando deslocamentos com registros por número de identidade nacional.

A maior parte do tráfego era comum: previsão de gastos de uma farmacêutica, chaves de três serviços diferentes, nomes, e-mails e dados de empresas, com centenas de usuários em pelo menos uma dúzia de idiomas. A formulação da Anthropic cuidadosa: essas práticas são provavelmente incompatíveis com leis de privacidade e com os termos de serviço do laboratório.

Mercado de revenda: o caminho barato para uma API de fronteira

Serviços de proxy registram conversas e as revendem para laboratórios usarem em treino, segundo o relatório. Se você envia chamadas por um revendedor barato para economizar, o dado que passa por ali pode terminar como material de treino de terceiros.

Um pesquisador de segurança afirma ter comprado um desses conjuntos de dados de um grande revendedor chinês: 6 TB, com chaves de servidor, configurações de rede e tokens de nuvem de órgãos públicos e empresas grandes. Essa é a alegação do pesquisador, não da Anthropic.

Ela coincide com o que o relatório descreve, e é essa coincidência que incomoda. Nenhum dos usuários afetados aceitou participar, e quem usa os aplicativos não tem como verificar o que aconteceu com o próprio tráfego.

Distilação de modelos: técnica neutra ou núcleo de construção?

A distilação de modelos é uma técnica de treino usada por praticamente todos os laboratórios, inclusive os americanos. A disputa não é sobre a existência do método, e sim sobre escala, autorização e o que ele permite construir.

Em 8 de setembro de 2026, três agências de segurança dos Estados Unidos publicaram um aviso conjunto que nomeia seis empresas chinesas de IA e afirma que a distilação não era atalho para elas, mas o núcleo crítico de como constroem modelos. O texto também questiona o custo divulgado de treino do DeepSeek, dizendo que aquele número nunca contou os dados, e os dados vieram do modelo de outra empresa.

Entre as recomendações está que provedores americanos alterem sutilmente as respostas quando suspeitarem de distilação. Na prática, o governo sugere que as empresas envenenem a própria saída.

No dia seguinte, o Ministério do Comércio da China chamou as acusações de infundadas e classificou a destilação como técnica neutra usada por todos, incluindo laboratórios americanos. O relatório da Anthropic no dia seguinte a essa resposta.

O argumento político e o que a cronologia mostra

O timing do relatório é conveniente, e as acusações contra a Anthropic vindas do próprio governo americano complicam a leitura de que ela apenas protege sua posição. Em fevereiro de 2026, o Pentágono deu à empresa um prazo para abandonar duas restrições ou perder um contrato de até US$ 200 milhões.

As duas restrições eram armas totalmente autônomas e vigilância doméstica em massa de americanos. A Anthropic recusou, e seu executivo-chefe escreveu que não poderia aceitar o pedido em consciência. Cerca de uma hora antes do prazo, uma ordem presidencial mandou agências federais pararem de usar o Claude.

O Pentágono então designou a empresa como risco de cadeia de suprimentos para a segurança nacional e disse que nenhum contratado militar poderia fazer negócios com ela. Em agosto de 2026, uma juíza federal anulou a medida, classificou a retaliação como ilegal e disse que o caso de segurança era infundado. A decisão afirma que o Pentágono montou a justificativa depois do fato para caber em uma conclusão já tomada.

A tese de que a Anthropic puxou a escada depois de subir não se encaixa nessa cronologia, porque a empresa foi punida justamente por recusar usos militares. No nível da indústria, os controles de exportação e a assimetria entre quem tem compute e quem não tem continuam reais.

A conclusão prática é separar as partes. Os estudos de caso têm modelos nomeados, janelas datadas, contagens de contas e prompts impressos palavra por palavra. A narrativa construída em cima deles — de que se trata de roubo por um Estado rival — é uma alegação que a Anthropic beneficia de fazer. As duas coisas podem ser verdadeiras ao mesmo tempo.

Perguntas frequentes sobre distilação de modelos

• Distilação de modelos é ilegal? A técnica em si é um método normal de treino e não é crime. O que a Anthropic descreve como problemático é a combinação de escala industrial, contas falsas, chaves roubadas e violação de termos de serviço. A legalidade depende de como os dados foram obtidos, não do método de treino.

• O que é um traço de raciocínio e por que ele importa? É o rascunho que o modelo escreve antes da resposta final, e representa a parte cara do compute. A Anthropic argumenta que treinar nesse rascunho transfere o caminho até a solução, não apenas uma habilidade isolada.

• O cross-session replay ainda funciona? A Anthropic afirma que a falha descrita no relatório de setembro de 2026 foi corrigida, mas não detalha o mecanismo de correção no material público. Trate a descrição do ataque como um retrato histórico documentado, não como uma vulnerabilidade aberta.

• Usar um revendedor barato de API é seguro? Depende do revendedor. O relatório descreve serviços de proxy que registram conversas e as revendem para treino. Se o provedor não é o próprio dono do modelo, você não tem como auditar o que acontece com o seu tráfego.

• Devo confiar nos números do relatório? Os números são específicos e verificáveis em tese, mas vêm de uma parte interessada. As empresas acusadas, em sua maioria, não responderam publicamente. Use os dados como evidência e a interpretação como argumento.

Source video