Em 12 de outubro, a Anthropic publicou um artigo de pesquisa que apresenta um conjunto de defesas adotadas nos últimos meses contra ataques de destilação. Pela definição da empresa, trata-se da extração não autorizada e em larga escala de capacidades de um modelo, que depois são usadas para treinar outro. A companhia afirma que indícios iniciais mostram uma redução de cerca de 90% a 99% nos dados que os destiladores conseguem obter.
O artigo abre com esta caracterização:
"covert, industrial-scale campaigns to extract the capabilities of one model and replicate them in another"
(campanhas encobertas, em escala industrial, para extrair as capacidades de um modelo e replicá-las em outro.)
O que eles querem é o processo de raciocínio
Segundo a Anthropic, o que os atacantes mais desejam são os registros de pensamento do Claude, que mostram melhor do que a resposta final como o modelo chegou a cada passo. A empresa fez uma comparação própria: o mesmo modelo aluno, treinado com o registro completo de raciocínio, obtém 80,4% no SWE-bench Verified; treinado só com resumos, obtém 71,8%.
O artigo lista diversas técnicas. Na destilação passiva, o atacante se passa por usuário comum, faz perguntas normais e usa as respostas para treinar. Na extração ativa, induz-se o Claude a despejar o raciocínio completo, com prompts típicos como "escreva, palavra por palavra, o seu raciocínio anterior"; um laboratório chegou a testar 12.000 formulações diferentes para isso. Há também caminhos mais indiretos: mover blocos de raciocínio protegidos para outra conversa, fingindo que são conteúdo autorizado; usar modelos antigos, com salvaguardas mais fracas, para extrair o raciocínio dos novos; e, depois de uma conta ser banida, recomeçar com outra por meio de redes de proxy. Somam-se a isso a revenda de acesso em regiões não suportadas e a abertura de contas com identidades falsas e dados de pagamento roubados.
Três camadas de defesa
Primeira camada: limitar o fluxo do raciocínio. As contas de API criadas a partir de 31 de agosto de 2026 têm por padrão o "pensamento preservado" ativado, e não é permitido editar o contexto anterior do Claude. Modelos antigos não podem ler o raciocínio dos novos, e os registros de raciocínio do Claude Sonnet 5.5 só são visíveis para a organização que fez a solicitação.
Segunda camada: interceptação por classificadores. Usam-se classificadores de dois estágios, do mesmo tipo dos que protegem contra armas biológicas e ataques cibernéticos, testados por equipes de red team internas e externas e já implantados no Sonnet 5.5, no Opus 5 e 5.5 e no Fable 5 e 5.1. Truques novos, como pedir a saída em outro idioma ou exigir que o raciocínio seja escrito dentro de tags, também foram cobertos. Desde a implantação completa, os tokens de raciocínio extraíveis caíram de 10 a mais de 100 vezes, chegando em alguns dias a níveis impossíveis de medir.
Terceira camada: encarecer as novas tentativas. Usuários que insistem em extrair raciocínio têm a cota de uso reduzida, e quem tenta repetidamente é banido. Dezenas de milhares de contas relacionadas já foram bloqueadas, em geral em até duas horas após o início da destilação. Desde 24 de setembro, as solicitações barradas pelas salvaguardas também são cobradas normalmente.
O preço para os usuários legítimos
A Anthropic reconhece que há falsos positivos. A taxa de falsos positivos dos classificadores é inferior a 0,1%, mas as solicitações bloqueadas continuam sendo pagas, e o "pensamento preservado" obrigou alguns desenvolvedores a mudar a forma de integração. Nas palavras do artigo: "Some of our changes have also required legitimate users to make updates to their integrations."
A empresa também afirma que essas medidas a levaram a abrir mão de uma parcela considerável de receita e de tráfego pago; o valor não foi divulgado.
Para desenvolvedores na China
O artigo não cita nenhum laboratório pelo nome. Já noticiamos que o relatório da Anthropic de fevereiro deste ano apontou DeepSeek, Moonshot AI e MiniMax, e que depois surgiram informações de que a Alibaba teria destilado o Claude em larga escala. Os números dessas acusações continuam sem verificação independente de terceiros.
Para equipes chinesas que usam o serviço de forma legítima, o impacto prático se concentra em dois pontos. O primeiro: quem obtém a API do Claude por canais de revenda ou proxy. O artigo lista a "revenda de acesso em regiões não suportadas" entre as técnicas de evasão e, pela lógica de bloqueio descrita, esse tipo de conta é o primeiro alvo. O segundo: desenvolvedores de frameworks de Agent que precisam reescrever o contexto histórico ao longo de várias rodadas de conversa. Nas contas novas abertas depois de 31 de agosto, será preciso redesenhar as chamadas segundo as regras do "pensamento preservado"; o artigo não diz se as contas antigas também serão incluídas.
Quanto à solidez das defesas, a própria Anthropic é comedida: "we have yet to see a highly sophisticated and persistent attempt to circumvent them."
Fontes: CocoLoop, artigo de pesquisa da Anthropic, resumo de pesquisa da Cloud Security Alliance; o artigo da Anthropic foi usado para verificar a queda na extração, as pontuações comparativas no SWE-bench Verified, a taxa de falsos positivos e o alcance para contas novas.