A disputa pelos modelos de inteligência artificial mais capazes ganhou uma frente menos visível e cada vez mais importante: a tentativa de reproduzir o comportamento de um sistema proprietário a partir de milhões de consultas. Um novo relatório da Anthropic, repercutido pelo TechCrunch em 10 de setembro de 2026, descreve campanhas de distillation atribuídas a empresas chinesas como Alibaba, Moonshot AI e DeepSeek. O caso ajuda a explicar por que segurança, limites de API e governança de dados passaram a fazer parte do trabalho cotidiano de quem desenvolve produtos com IA.
O relatório não descreve apenas cópia de respostas. Segundo a Anthropic, as campanhas buscaram extrair capacidades associadas a agentes, uso de ferramentas, programação, análise de dados e raciocínio lógico. A empresa identificou quase 200 milhões de trocas ligadas a cinco campanhas e afirmou que os métodos ficaram maiores e mais agressivos nos últimos meses. A acusação é da Anthropic e foi reportada pelo TechCrunch, portanto deve ser lida como uma alegação da empresa, não como uma decisão independente sobre a responsabilidade de cada laboratório citado.
O que é distillation de modelos de IA
Distillation, ou destilação de modelos, é uma técnica que usa um modelo mais capaz para orientar o treinamento de outro modelo, geralmente menor, mais barato ou mais fácil de executar. Em um uso legítimo, uma equipe pode produzir exemplos sintéticos, comparar respostas e ensinar um modelo compacto a resolver tarefas específicas. O problema aparece quando esse processo tenta capturar capacidades protegidas de um serviço sem autorização, em escala automatizada e com contas que não representam usuários reais.
A ideia é intuitiva. Um sistema envia perguntas a um modelo avançado, coleta respostas e usa esse material para ajustar outro modelo. Quanto mais variadas e numerosas forem as perguntas, mais informações podem ser reunidas sobre padrões de raciocínio, uso de ferramentas e tomada de decisão. A Anthropic afirma que as campanhas descritas no relatório tentaram acessar até traces de raciocínio, isto é, registros intermediários que ajudam a explicar como o sistema chegou a uma conclusão. A empresa normalmente mostra ao usuário apenas blocos de pensamento resumidos, mas diz que determinados formatos de consulta conseguiram contornar suas defesas.
Como as campanhas tentaram operar
O TechCrunch relata que o maior esforço atribuído à Alibaba envolveu 151 milhões de trocas entre maio e julho de 2026, com pico de quase três milhões de consultas em um único dia. As requisições foram distribuídas por 3.500 contas, mas compartilhavam um prompt fixo, o que ajudou a Anthropic a associá-las a uma operação coordenada voltada à família Qwen de modelos. A escala importa porque muda o problema de um usuário fazendo perguntas para um laboratório automatizando a coleta de um conjunto de treinamento.
Outra campanha, atribuída à Moonshot AI, fabricante do Kimi, teria encaminhado requisições por uma rede de 5.000 contas. A Anthropic afirma que quase 300 mil pedidos foram enviados ao modelo Opus durante dez dias. Um dos exemplos mencionados no relatório pedia que o sistema analisasse imagens de câmeras de vigilância para identificar comportamento anormal. O episódio mostra que a extração de capacidade não precisa se limitar a perguntas de conhecimento geral. Ela pode mirar domínios de uso de ferramentas, visão computacional, programação e análise operacional.
Os métodos descritos também são um alerta para a engenharia de APIs. Contas falsas, compra em massa de assinaturas, proxies para disfarçar origem geográfica e prompts muito semelhantes podem formar um padrão detectável. Em vez de observar apenas o conteúdo de cada pergunta, o provedor precisa analisar volume, velocidade, horários, repetição, relação entre contas e proporção entre custo da assinatura e uso efetivo. Essa mudança transforma a segurança de um filtro de texto em um problema de observabilidade de comportamento.
Por que isso afeta desenvolvedores brasileiros
O leitor brasileiro não precisa trabalhar em um laboratório de fronteira para ser afetado. Qualquer produto local que use uma API de IA depende de um fornecedor capaz de manter qualidade, disponibilidade e regras de acesso. Se o provedor identifica abuso em larga escala, pode reduzir limites, exigir verificação de identidade ou mudar a forma de entregar respostas. Essas medidas podem atingir usuários legítimos, especialmente equipes pequenas que não têm um histórico de uso longo ou uma estrutura sofisticada de autenticação.
Para quem cria ferramentas de atendimento, SEO, análise de documentos ou automação de marketing, a lição é prática: a API não deve ser tratada como uma caixa-preta sem telemetria. É importante registrar quais aplicações fazem cada chamada, separar chaves por ambiente, aplicar limites por usuário e monitorar picos fora do padrão. Também é recomendável evitar que uma única chave tenha permissão para tudo. Se uma credencial vazar, a segmentação reduz o alcance do incidente e facilita a revogação.
O caso também toca a experiência do usuário. Mitigações como respostas de qualidade reduzida para contas suspeitas podem proteger um modelo, mas introduzem inconsistência: duas pessoas podem fazer a mesma pergunta e receber resultados diferentes sem saber por quê. Para um produto digital, isso afeta confiança, suporte e métricas de conversão. A fronteira entre proteção contra abuso e discriminação de usuários precisa ser acompanhada por logs, revisão humana e comunicação clara nas situações em que a conta é bloqueada.
O que muda na segurança de modelos
Uma resposta técnica possível é combinar detecção de anomalias, identificação de contas e limites adaptativos. Um padrão de milhares de consultas quase idênticas, vindas de contas criadas em sequência e concentradas em uma capacidade específica, merece tratamento diferente de um time que usa a API para depurar código em horários previsíveis. Nenhum sinal isolado prova uma operação de distillation, mas vários sinais combinados podem ajudar a priorizar investigação.
Há também uma camada de proteção no próprio modelo. Provedores podem reduzir a exposição de informações intermediárias, limitar respostas que revelam detalhes operacionais e registrar tentativas de manipulação por instruções indiretas. Isso não elimina o risco. Um modelo ainda pode ser avaliado por suas respostas finais, e bloqueios excessivamente agressivos podem prejudicar pesquisa, acessibilidade e desenvolvimento legítimo. O desafio é preservar utilidade sem entregar uma radiografia completa do sistema.
Para empresas brasileiras que contratam IA, a governança precisa acompanhar o contrato. Vale perguntar como o fornecedor trata dados de entrada, quanto tempo mantém logs, quais controles existem para chaves, como funciona a revogação e que evidências serão entregues em caso de abuso. Em projetos que lidam com dados pessoais, documentos internos ou propriedade intelectual, a equipe também deve definir quais informações nunca podem ser enviadas para uma API pública.
Uma corrida que pode ficar mais fechada
A reportagem do TechCrunch sugere que a competição entre laboratórios está pressionando a abertura dos serviços. Provedores que antes buscavam crescimento rápido agora precisam decidir quanto de sua capacidade pode ser exposta a clientes desconhecidos, como verificar organizações e como responder quando um padrão de uso parece coordenado. A consequência pode ser menos acesso anônimo, preços diferenciados por risco e mais exigências para contas corporativas.
Isso não significa que modelos menores deixarão de evoluir. A destilação legítima continua sendo uma ferramenta importante para reduzir custo, latência e consumo de energia. A diferença está na autorização, na procedência dos dados e na capacidade de demonstrar que o treinamento não foi montado por uma operação de coleta abusiva. Para quem trabalha com IA, essa distinção será tão importante quanto o benchmark de qualidade.
Conclusão
O episódio descrito pela Anthropic coloca a segurança de APIs no centro da corrida por inteligência artificial. A pergunta deixou de ser apenas qual modelo responde melhor. Agora também é preciso saber quem está consultando, com que frequência, que capacidade está sendo explorada e quais dados podem ser reconstruídos a partir dessas interações. Desenvolvedores e empresas brasileiras podem tirar uma conclusão imediata: proteger chaves, separar ambientes, monitorar padrões e escolher fornecedores com políticas claras já faz parte do desenvolvimento de software com IA.
Fonte original: TechCrunch, Anthropic details distillation campaigns from Alibaba, Moonshot AI, and DeepSeek.
