As primeiras evidências sugerem que defesas mais robustas contra ataques de destilação de IA reduziram em cerca de 90% a 99% os dados extraídos do Claude. As medidas visam tentativas clandestinas de copiar os recursos do modelo — e custaram receita ao seu desenvolvedor, além de tráfego pago equivalente a trilhões de tokens.
Principais conclusões
A extração de tokens de raciocínio do Claude caiu de dez a cem vezes após a implantação do classificador.
O sistema de detecção registra menos de 0,1% de falsos positivos.
Tentativas repetidas de extração acionam limites mais rigorosos e bloqueios de contas.
A empresa pede que plataformas de nuvem e desenvolvedores de modelos atuem em conjunto para interromper abusos.
Em uma publicação no blog de 12 de outubro de 2026, a Anthropic afirmou que suas defesas combinam restrições às transcrições de raciocínio, detecção de extrações e medidas contra contas. Suas proteções baniram dezenas de milhares de contas ligadas à destilação, muitas vezes em até duas horas após o início de uma campanha.
Como avaliar as defesas contra ataques de destilação de IA
Ataques de destilação são campanhas não autorizadas e clandestinas que extraem as capacidades de um modelo para reproduzi-las em outro. A empresa afirma que os invasores geram milhões de respostas, muitas vezes por meio de contas fraudulentas, para imitar modelos avançados por uma fração do custo e do tempo necessários para desenvolvê-los.
As defesas se concentram nas transcrições de raciocínio: o pensamento que Claude produz antes de responder. Segundo a empresa, elas ensinam mais a um modelo menor do que apenas as respostas finais. Após a implantação do classificador, o volume de tokens de raciocínio extraídos em sua plataforma permaneceu de 10 a 100 vezes menor do que antes.
Testes anteriores mostraram por que era importante proteger essas transcrições. Um modelo Claude pré-treinado com transcrições completas do Claude Opus 4.8 obteve 80,4% no SWE-bench Verified; o treinamento com transcrições resumidas resultou em 71,8%.
Em seguida, os invasores deixaram de coletar respostas comuns e passaram a extrair ativamente o raciocínio oculto. Um laboratório testou 12.000 solicitações diferentes. Redes de proxy controlavam centenas de milhares de contas fraudulentas, usavam identidades falsas e dados de pagamento roubados e revendiam o acesso em locais onde Claude não estava disponível. Uma rede descrita no relatório de fevereiro da empresa gerenciava mais de 20.000 contas simultaneamente.
Como funcionam as proteções contra destilação
As defesas da empresa contra ataques de destilação de IA agora restringem os canais pelos quais o raciocínio pode circular, bloqueiam solicitações de extração e penalizam tentativas persistentes. Essas medidas visam técnicas que transferiam raciocínio protegido entre conversas, modelos e contas.
O recurso de preservação do raciocínio, lançado com Claude Fable 5.1 e Claude Opus 5.5, impede que contas de API criadas em 31 de agosto de 2026 ou depois editem o contexto anterior de Claude. O raciocínio desses modelos também não pode ser lido por modelos mais antigos com proteções mais fracas. Claude Sonnet 5.5 limita o acesso às transcrições à organização que as gerou.
Um classificador em duas etapas, testado por meio de avaliações internas e externas de segurança conduzidas por equipes red team, detecta solicitações de extração com uma taxa de falsos positivos declarada inferior a 0,1%. O sistema opera com Claude Sonnet 5.5, Claude Opus 5 e 5.5, além de Claude Fable 5 e 5.1. A empresa afirma que ele detecta todas as técnicas de destilação descritas em seu relatório de setembro.
As atualizações bloquearam táticas que envolviam traduzir raciocínios anteriores ou reproduzi-los dentro de tags. Tentativas persistentes de extração levam a limites de uso mais rigorosos e ao banimento de contas. Desde 24 de setembro de 2026, a empresa também cobra por solicitações bloqueadas antes de Claude responder em categorias como destilação, nas quais a taxa de falsos positivos permanece abaixo de 0,1%.
As preocupações com a segurança vão além de Claude
A empresa argumenta que a destilação ilícita gera preocupações de segurança nacional quando capacidades copiadas são incorporadas a sistemas militares, de inteligência e de vigilância estrangeiros. Também afirma que os modelos desenvolvidos dessa forma podem não ter proteções proporcionais às suas capacidades.
A empresa cita o desenvolvimento do GLM-5.3 pela Zhipu. Segundo a publicação no blog, a Zhipu tentou extrair capacidades cibernéticas do Claude Fable 5 e, depois que as proteções dificultaram suas tentativas, passou a usar um modelo Claude mais antigo e o modelo de outro laboratório.
Segundo a Anthropic, o Centro dos EUA para o Avanço da Inovação e dos Padrões de Superinteligência (CAISSI) — chamado de CAISI pelo NIST — concluiu que o GLM-5.3 é o modelo de pesos abertos com maior capacidade cibernética lançado até agora. A pesquisa da própria empresa identificou proteções que podiam ser facilmente contornadas e disposição para desenvolver explorações de segurança completas.
A publicação no blog também descreve solicitações aos modelos Kimi da Moonshot que foram secretamente redirecionadas para Claude durante tentativas de destilação, incluindo uma solicitação para analisar imagens de CFTV de uma pessoa.
A empresa defende a cooperação entre desenvolvedores de modelos de fronteira, plataformas de nuvem e provedores de inferência, por onde os responsáveis pela destilação distribuem o tráfego. Afirma que as plataformas podem dificultar a extração detectando abusos e removendo contas fraudulentas. Algumas proteções também exigiram que usuários legítimos atualizassem suas integrações.
Artigo produzido com o auxílio de inteligência artificial e revisado pela equipe editorial.