Anthropic diz reduzir em até 99% a extração de dados do Claude por destilação

A Anthropic afirmou em 12 de outubro de 2026 que novas defesas reduziram em cerca de 90% a 99% a quantidade de dados de raciocínio que tentativas de destilação conseguem extrair do Claude. A estimativa é da própria empresa, medida na sua plataforma, e ainda não foi confirmada por auditoria independente. O anúncio é relevante porque mostra que a disputa por modelos de IA não envolve apenas pesos vazados: respostas, cadeias de raciocínio e uso automatizado de APIs também podem servir como matéria-prima para copiar capacidades.

Para quem desenvolve produtos sobre modelos de terceiros, o efeito prático pode aparecer em mudanças de integração, limites de uso e bloqueios de solicitações suspeitas. Para o mercado, a novidade evidencia uma tensão difícil: fornecedores precisam proteger sistemas caros de reproduzir, mas controles agressivos também podem atingir fluxos legítimos.

O que é destilação ilícita de modelos

Destilação, no sentido técnico, é o treinamento de um modelo menor ou mais barato a partir das saídas de outro modelo. Ela pode ser uma técnica legítima quando há autorização e dados adequados. A Anthropic usa a expressão destilação ilícita para campanhas que extraem respostas e capacidades de um modelo sem autorização, geralmente por grande volume de chamadas e redes de contas fraudulentas.

O alvo mais valioso não é apenas a resposta final. Modelos de raciocínio podem produzir etapas intermediárias, contexto e justificativas que ajudam outro sistema a aprender estratégias de resolução. Segundo a Anthropic, preservar esse material aumenta significativamente o valor de uma coleta em escala. A empresa cita um experimento próprio no qual um modelo treinado com transcrições completas de raciocínio do Opus 4.8 obteve 80,4% no SWE-bench Verified, contra 71,8% quando treinado com resumos. O número ilustra a motivação dos ataques, mas não deve ser lido como benchmark independente de todos os modelos.

As três linhas de defesa anunciadas

A primeira mudança, chamada pela empresa de preserved thinking, restringe a edição de contexto anterior em determinadas contas e modelos. A ideia é impedir que um agente ou integração reapresente uma parte protegida da conversa a um modelo com salvaguardas mais fracas. A segunda é um classificador voltado a detectar técnicas de extração. A terceira combina limites mais severos, suspensão de contas e cobrança de algumas solicitações bloqueadas.

A Anthropic diz que os classificadores afetam menos de 0,1% das solicitações normais nas áreas em que a métrica foi avaliada. Essa é uma alegação operacional importante, mas ainda é um dado divulgado pela própria fornecedora. Desenvolvedores devem tratar qualquer bloqueio inesperado como incidente de integração: registrar o request ID, preservar os parâmetros não sensíveis e usar os canais de suporte, em vez de tentar contornar os controles com variações automatizadas de prompt.

O que significa a redução de 90% a 99%

O intervalo equivale a deixar passar de dez a cem vezes menos dados do que antes, conforme a medição da Anthropic. Ele não significa que a destilação deixou de ser possível nem que todo o tráfego fora da plataforma foi observado. A própria empresa reconhece que não sabe por quanto tempo os ganhos durarão e que ainda não viu uma tentativa altamente sofisticada e persistente de evasão sob o novo conjunto de controles.

Há uma diferença essencial entre reduzir dados extraídos e provar que uma capacidade não pode ser reproduzida. Coletores podem mudar de fornecedor, recorrer a respostas públicas, combinar modelos, distribuir contas ou explorar produtos de terceiros. Por isso, a declaração deve ser entendida como redução de eficácia numa camada específica, não como solução definitiva para o problema de cópia de capacidades.

Acusações contra empresas chinesas exigem cautela

No texto, a Anthropic afirma que a Zhipu teria destilado capacidades cibernéticas de modelos norte-americanos durante o desenvolvimento do GLM-5.3 e relembra uma acusação anterior relacionada ao encaminhamento de solicitações de usuários do Kimi, da Moonshot, para o Claude. Essas são alegações da Anthropic. A publicação analisada não traz resposta das empresas citadas nem uma verificação independente completa dos fatos; por isso, não é correto apresentá-las como conclusões judiciais ou técnicas já estabelecidas.

A dimensão geopolítica explica parte da preocupação da Anthropic, mas não elimina a necessidade de evidência verificável. O debate sobre destilação reúne propriedade intelectual, segurança cibernética, concorrência e controle de exportações. Cada uma dessas frentes exige padrões de prova diferentes. Um comunicado de segurança pode ser relevante para operadores de API, enquanto acusações sobre atribuição ou uso militar demandam escrutínio adicional de fontes independentes e, quando cabível, manifestação das partes mencionadas.

Impacto para equipes que usam APIs de IA

• Revise integrações que editam ou reaproveitam contexto: mudanças em regras de raciocínio protegido podem alterar comportamentos antes aceitos.
• Separe contas, chaves e ambientes: mistura de automações de teste, produção e experimentos torna investigações de bloqueio mais difíceis.
• Evite loops de retry sem limite: reenvios automáticos de uma solicitação bloqueada podem piorar o problema e gerar custos.
• Monitore taxas de erro e de bloqueio: alertas por aumento súbito ajudam a diferenciar falha de integração de uma política de uso.
• Não tente extrair raciocínio oculto: além de contrariar políticas de fornecedores, a prática torna a aplicação mais frágil a mudanças de modelo.

No Brasil, empresas que oferecem atendimento, análise documental, programação assistida ou agentes internos dependem cada vez mais de APIs internacionais. Isso torna governança de credenciais, limites financeiros e telemetria de chamadas tão importantes quanto a qualidade do prompt. Uma defesa contra coleta abusiva pode atingir aplicações legítimas mal instrumentadas; o melhor antídoto é manter rastreabilidade de uso e arquitetura que não dependa de comportamentos não documentados.

Limites técnicos e econômicos

Controles de distilação impõem custos a ambos os lados. A Anthropic afirma ter recusado receita e grandes volumes de tráfego associados a campanhas de extração. Clientes, por outro lado, podem enfrentar falsos positivos, exigências novas de integração ou cobrança por solicitações que não receberam resposta. A empresa diz que a cobrança de bloqueios se aplica em áreas com taxa de falso positivo abaixo de 0,1%; mesmo assim, organizações precisam conferir logs e documentação contratual para entender a regra que vale para sua conta.

Também existe um risco de transparência. Quanto menos um fornecedor puder divulgar sobre o classificador, menor a chance de atacantes adaptarem rapidamente a coleta; porém, menor também a capacidade de clientes independentes auditarem viés e impacto. O equilíbrio razoável é publicar métricas, escopo e rotas de contestação sem entregar um manual de evasão.

Análise do NoticIA

A parte mais duradoura do anúncio não é o percentual de redução, que pode mudar conforme os adversários se adaptam. É a transformação de segurança de modelos em disciplina de produto: contexto, ferramentas de edição, faturamento e gestão de contas tornam-se controles de segurança, não detalhes administrativos. Fornecedores de IA passaram a defender uma superfície que se parece com fraude financeira e abuso de plataforma, mas cujo ativo extraído é capacidade de raciocínio.

O contraponto é que barreiras técnicas não resolvem sozinhas conflitos sobre concorrência e acesso ao conhecimento. Para serem confiáveis, as empresas precisam demonstrar impacto, oferecer mecanismos de recurso e distinguir com precisão abuso automatizado de pesquisa, testes de segurança autorizados e uso comercial legítimo. O anúncio da Anthropic é uma evidência de endurecimento operacional; não é uma prova independente de que a destilação foi contida de forma permanente.