Relatórios Antrópicos 90–99% Redução nos Ataques de Destilação aos Modelos Claude
A Anthropic relatou em 2026-10-12, que novas medidas defensivas reduziram o volume de dados extraídos de seus modelos Claude por ataques de destilação em aproximadamente 90 a 99%, segundo métricas internas da plataforma. Ataques de destilação são campanhas secretas em que partes não autorizadas consultam um modelo IA fronteira em escala para replicar suas capacidades em outro modelo sem o consentimento do desenvolvedor original.
A empresa descreveu esses ataques como esforços "em escala industrial" conduzidos por meio de redes de contas fraudulentas, permitindo que laboratórios no exterior imitassem capacidades avançadas de IA por uma fração do tempo e custo de desenvolvimento. A Anthropic afirmou em um relatório 2026-09 que o método tem sido amplamente utilizado por laboratórios de IA estrangeiros para acompanhar empresas americanas.
Preocupações com a Segurança Nacional e Proteção
A Anthropic delineou dois principais preocupações. Primeiro, modelos destilados podem se aproximar de níveis de capacidade de fronteira, mas são lançados sem salvaguardas proporcionalmente robustas, criando riscos em áreas como biologia e cibersegurança. A empresa citou o modelo GLM-5.3 da Zhipu como exemplo. Segundo a Anthropic, a Zhipu destilou as capacidades cibernéticas dos principais modelos dos EUA durante GLM-5.3 desenvolvimento, inicialmente mirando o Claude Fable 5 antes de trocar para um modelo Claude mais antigo e outro modelo de laboratório após encontrar salvaguardas. O Centro dos EUA para Avançar na Inovação e Padrões de superinteligência (CAISSI) avaliou GLM-5.3 como o modelo de pesos abertos mais capaz de ciber-capacidade lançado até hoje, segundo um anúncio 2026-09. A própria pesquisa da Anthropic constatou que as salvaguardas do GLM-5.3 podem ser contornadas e que o modelo está disposto a desenvolver exploits de segurança de ponta a ponta.
Segundo, a Anthropic afirmou que modelos destilados ilegalmente representam um risco à segurança nacional porque as empresas que realizam a destilação integram as capacidades resultantes a sistemas militares, de inteligência e de vigilância estrangeiros. A empresa relatou em 2026-09 um caso em que pedidos para os modelos Kimi da Moonshot foram secretamente encaminhados para Claude como parte dos esforços de destilação. um pedido veio de um usuário que a Anthropic acredita estar afiliado ao Exército de Libertação Popular da China, que buscava analisar a vigilância por CFTV de um indivíduo específico.
Defesas Técnicas e Concessões
As defesas da Anthropic focam em tornar as transcrições de raciocínio de Claude — o processo de pensamento passo a passo que o modelo escreve antes de responder — mais difíceis para os destiladores acessarem. A empresa afirmou que transcrições de raciocínio são mais valiosas para destilação do que apenas os resultados finais, pois ajudam um modelo menor a entender como Claude chega às suas respostas.
As medidas iniciais incluíram resumir o raciocínio de Claude antes de exibi-lo aos usuários. Avaliações internas mostraram que um modelo Claude pré-treinado treinado com transcrições completas do Claude Opus 4.8 alcançou 80.4% no benchmark de codificação verificado do banco de SWE, em comparação com 71.8% quando treinados apenas em transcrições resumidas. No entanto, os atacantes se adaptaram empregando técnicas de "extração ativa", que iam desde instruções simples para produzir raciocínio prévio palavra por palavra até campanhas sofisticadas testando milhares de variações em prompt. Anthropic descreveu em setembro de um laboratório que testou 12,000 solicitações, cada uma buscando enganar Claude de maneira diferente.
As defesas atuais da empresa interrompem ataques de três maneiras. Primeiro, a Anthropic introduziu o pensamento preservado com Claude Fable 5.1 e Claude Opus 5.5, impedindo que novas contas de API criadas em ou após 2026-08-31, editem o contexto anterior de Claude. A medida também bloqueia a leitura de transcrições de raciocínio por modelos anteriores com salvaguardas mais fracas e, com Claude Sonnet 5.5, restringe o acesso ao raciocínio à organização que produziu a transcrição.
Segundo, a Anthropic implantou um sistema de classificadores de dois estágios baseado em sua pesquisa sobre classificadores constitucionais. A empresa afirmou que o classificador foi reforçado interna e externamente usando métodos manuais e automatizados, alcançando robustez comparável às salvaguardas que impedem Claude de ajudar a construir armas biológicas, com uma taxa de falsos positivos inferior a 0.1%. O sistema roda com Claude Sonnet 5.5, Claude Opus 5 e 5.5, e Claude Fable 5 e 5.1, e está planejado para futuros modelos de fronteira.
Terceiro, a Anthropic detecta contas usadas para destilação e aplica limites ou proibições de uso mais rigorosos. Desde 2026-09-24, a empresa retomou a cobrança por solicitações bloqueadas por salvaguardas antes que a Claude responda em áreas com taxas de falsos positivos abaixo de 0.1%, incluindo destilação.
Impacto Medido e Limitações
A Anthropic afirmou que, após a introdução do classificador de dois estágios, o número de tokens de raciocínio extraídos por destiladores em sua plataforma caiu consistentemente por um fator de 10 a 100 em comparação com os níveis pré-implementação. Em alguns dias, a empresa relatou que o volume de tokens de raciocínio extraídos era pequeno demais para ser medido. A empresa usou essas defesas para banir dezenas de milhares de contas associadas à destilação, muitas vezes dentro de dois horas após o início de uma campanha de destilação, segundo o divulgado de 12 de outubro.
A Anthropic reconheceu que as medidas envolvem concessões. A empresa afirmou em 2026-02 que estava trabalhando para tornar a destilação mais difícil sem afetar usuários legítimos, mas ainda não atingiu totalmente esse objetivo. O pensamento preservado exigiu que alguns desenvolvedores atualizassem suas integrações, os classificadores podem identificar erroneamente ou bloquear solicitações benignas em menos de 0.1% casos, e a empresa agora cobra dos usuários por esses pedidos bloqueados. A Anthropic também recusou receitas significativas e trilhões de tokens em tráfego pago de destiladores, e investiu bastante tempo de pesquisa e equipe de produto no problema.
A empresa afirmou que ainda não sabe por quanto tempo os ganhos irão durar, espera que a destilação continue sendo um desafio iterativo e ainda não enfrentou uma tentativa altamente sofisticada e persistente de contornar as novas defesas.
Chamada à Ação em Toda a Indústria
A Anthropic afirmou que prevenir a destilação ilícita exige trabalho e adesão de todos os desenvolvedores de modelos de fronteira, observando que seus esforços seriam prejudicados se atacantes pudessem acessar facilmente modelos igualmente capazes, sem salvaguardas robustas contra destilação. A empresa também pediu que plataformas de nuvem terceirizadas e provedores de inferência detectem e interrompam abusos rapidamente e desconectem contas fraudulentas, observando que os destiladores distribuem o tráfego entre a API da Anthropic, plataformas terceirizadas e outros provedores. A Anthropic reconheceu que incentivos da indústria frequentemente favorecem a inação porque as defesas são caras e os destiladores são clientes pagantes, e afirmou que publicou seus métodos para demonstrar uma alternativa viável.
Fonte: www.anthropic.com.