San Francisco (EUA), 12/10/2026 — A Anthropic publicou um relatório detalhando novas proteções contra ataques de distilação de modelos — campanhas industriais e clandestinas em que empresas copiam as capacidades de um modelo de fronteira para treinar um modelo menor, sem autorização dos desenvolvedores originais.
A empresa afirma que as novas medidas reduziram em 90 a 99% a quantidade de dados extraídos por distillers na própria plataforma da Anthropic.
O que é distilação (e por que é um problema)
Distilação é uma técnica legítima de machine learning — descrita já em 2015 por Geoffrey Hinton e colaboradores — em que um modelo menor aprende com as saídas de um modelo maior. O problema surge quando isso é feito sem autorização, usando redes de contas fraudulentas para gerar milhões de respostas do modelo e treinar um clone.
A Anthropic identifica dois riscos principais:
- Modelos distilados sem salvaguardas proporcionais: empresas copiam a capacidade de fronteira, mas os modelos resultantes são liberados sem as proteções de segurança equivalentes — criando riscos em áreas como biologia e cibersegurança;
- Risco de segurança nacional: as capacidades extraídas são integradas em sistemas militares, de inteligência e de vigilância estrangeiros.
Casos citados pela Anthropic
- Zhipu (Z.ai): distilou capacidades de cibersegurança de modelos líderes dos EUA durante o desenvolvimento do GLM-5.3. A CAISSI (órgão americano) avaliou o GLM-5.3 como o modelo open-weights mais capaz em cibersegurança já liberado;
- Moonshot (Kimi): requisições foram secretamente encaminhadas ao Claude como parte de esforços de distilação. Um dos usuários estava afiliado ao Exército de Libertação Popular da China e buscava analisar vigilância por CCTV de um indivíduo específico.
As novas proteções
A Anthropic descreve quatro camadas de defesa:
| Proteção | Modelos/cobertura | O que faz |
|---|---|---|
| Preserved Thinking | Novas contas API (criadas após 31/08/2026) para Claude Fable 5.1 e Opus 5.5 | Impede a edição do contexto anterior do Claude e impede que modelos anteriores com proteções mais fracas leiam o raciocínio dos modelos protegidos |
| Transcripts vinculados à organização | Claude Sonnet 5.5 | Os transcripts de raciocínio ficam acessíveis apenas à organização que gerou a requisição |
| Classificador de duas etapas | Claude Sonnet 5.5, Opus 5, Opus 5.5, Fable 5 e 5.1 | Detecta técnicas de extração de raciocínio |
| Enforcement em contas | Contas que repetidamente tentam extrair | Limite de uso mais rigoroso e banimento |
O classificador
O classificador de duas etapas é a peça central. Ele:
- É red-teamed com métodos manuais e automatizados;
- Tem uma taxa de falso positivo inferior a 0,1%;
- Detecta técnicas específicas de extração de raciocínio;
- A Anthropic diz que não enfrentou ainda uma tentativa altamente sofisticada e persistente de burlar as novas proteções.
O impacto numérico
- A extração de tokens de raciocínio na plataforma da Anthropic caiu por um fator de 10 a 100 após a introdução do classificador;
- A estimativa geral de 90% a 99% de redução descreve o resultado mais amplo, incluindo o efeito do preserved thinking;
- A Anthropic baniu dezenas de milhares de contas associadas a distilação, às vezes em menos de duas horas após o início de uma campanha.
Custos e trade-offs
A Anthropic é transparente sobre os custos:
- Receita perdida: a empresa "rejeitou receita significativa e trillions de tokens de tráfego pagante" de distillers;
- Impacto em usuários legítimos: alguns desenvolvedores tiveram que atualizar integrações devido às mudanças no preserved thinking;
- Cobrança por requisições bloqueadas: desde 24/09, a Anthropic cobra por requisições bloqueadas antes da resposta do Claude, em categorias com taxa de falso positivo baixa (biologia, ataques de distilação, desenvolvimento de LLMs de fronteira);
- Falsos positivos: mesmo com taxa inferior a 0,1%, requisições legítimas ainda podem ser bloqueadas.
Contexto histórico
- Fevereiro/2026: A Anthropic já publicava um post sobre "Detecting and preventing distillation attacks";
- Agosto/2026: Um paper de Alexander Panfilov e colegas encontrou que blocos de raciocínio podiam viajar entre sessões, usuários e modelos na mesma plataforma — afetando Anthropic, OpenAI e Google;
- Setembro/2026: O threat intelligence report da Anthropic documentou extensivamente o uso de distilação por laboratórios de IA estrangeiros;
- 12/10/2026: Este relatório — o mais detalhado até agora sobre as defesas.
O que a Anthropic não afirma
- Não diz que toda distilação parou;
- Não sabe quanto tempo as melhorias vão durar;
- Não afirma que o classificador é infalível — diz que ainda não enfrentou uma tentativa sofisticada de evasão;
- Não revela detalhes técnicos suficientes para replicação independente.
Por que isso importa
- A corrida de IA tem uma dimensão de segurança que vai além dos benchmarks: modelos de fronteira são ativos estratégicos, e a distilação é uma forma de "roubo industrial" de IA;
- Os trade-offs são reais: proteções de segurança têm custo financeiro e de conveniência para usuários legítimos — e a Anthropic está pagando essa conta;
- O padrão está se formando: a Anthropic está estabelecendo um modelo de defesa que outros provedores provavelmente vão adotar;
- O risco é geopolítico: a Anthropic cita explicitamente o envolvimento de atores estatais (Exército Chinês) e o uso de modelos distilados em sistemas militares — isso eleva a distilação de um problema técnico para um problema de segurança nacional.
A pergunta que fica: os outros provedores de IA (OpenAI, Google, xAI) vão adotar proteções equivalentes? E o que acontece quando um distiller sofisticado realmente testar as defesas?
Fontes e referências
Encontrou uma informação que precisa de correção? Fale com a redação.