Anthropic reduz de 10 a 100 vezes a extração de raciocínios do Claude por destiladores

A Anthropic afirmou que as novas medidas contra a destilação reduziram em cerca de 90–99% o volume de dados coletado pelos «destiladores». Depois do lançamento do classificador, o número de tokens de raciocínio do Claude extraídos na plataforma da própria empresa se mantém de 10 a 100 vezes abaixo do nível anterior. Em alguns dias, o volume foi tão pequeno que não foi possível medi-lo. Dezenas de milhares de contas ligadas à destilação foram banidas, muitas vezes em menos de duas horas após o início da campanha.

Para a Anthropic, destilação é uma campanha industrial velada: por meio de redes de contas falsas, os atacantes coletam milhões de respostas de um modelo forte e treinam um modelo menor com elas. O mais valioso não são as respostas, e sim as cadeias de raciocínio que o Claude escreve antes de responder. Com elas, o modelo mais fraco aprende como o mais forte chega ao resultado. Por isso, a defesa gira quase inteiramente em torno do acesso a esse raciocínio.

Por que medidas simples não bastaram

A primeira medida foi resumir o raciocínio antes de exibi-lo ao usuário. A Anthropic testou o efeito no SWE-bench Verified: o modelo treinado com transcrições completas do Claude Opus 4.8 obteve 80,4%, enquanto o treinado com transcrições resumidas chegou a 71,8%. Os atacantes então passaram da coleta passiva para a ativa: pediram que o Claude reproduzisse literalmente raciocínios anteriores, e um laboratório testou 12 000 formulações diferentes de armadilhas.

As primeiras versões dos filtros de proteção foram contornadas. Os ataques foram escalados por redes de proxies com centenas de milhares de contas falsas. Elas revendiam acesso em regiões onde o Claude não está disponível e se cadastravam com dados falsos e dados de pagamento roubados. Segundo o relatório de fevereiro, uma única rede chegou a controlar mais de 20 000 contas simultaneamente.

Três camadas de proteção

Agora os ataques são bloqueados de três maneiras:

• Controle da rota do raciocínio. O Claude Fable 5.1 e o Opus 5.5 ganharam o preserved thinking: contas novas de API (criadas a partir de 31 de agosto de 2026) não podem editar o contexto anterior. Isso impede transferir blocos de raciocínio protegidos entre conversas para convencer o modelo de que eles já são «conhecidos» do usuário. O raciocínio dos modelos novos não pode ser lido por modelos antigos, que têm proteção mais fraca. No Sonnet 5.5, as transcrições ficam disponíveis apenas para a organização cuja requisição as gerou.
• Classificador em duas etapas, no esquema de constitutional classifiers. Ele passou por red-teaming interno e externo com tentativas reais de destiladores. Segundo a estimativa da Anthropic, sua robustez é aproximadamente equivalente à da proteção contra ajuda na criação de armas biológicas, e a taxa de falsos positivos fica abaixo de 0,1%. Funciona no Sonnet 5.5, no Opus 5 e 5.5 e no Fable 5 e 5.1.
• Mais dificuldade para novas tentativas. Usuários que insistem em extrair o raciocínio recebem limites mais rígidos e, depois, o banimento. Desde 24 de setembro, a empresa voltou a cobrar pelas requisições bloqueadas antes da resposta em áreas com falsos positivos abaixo de 0,1%, incluindo a destilação.

Correções rápidas já fecharam algumas técnicas novas, como o pedido para traduzir raciocínios anteriores para outro idioma ou exibi-los em tags ao lado da resposta.

Por que a Anthropic fala disso publicamente

A empresa apresenta dois argumentos. O primeiro: os modelos destilados chegam ao mercado sem proteções comparáveis. Ao criar o GLM-5.3, a Zhipu destilou capacidades de segurança cibernética dos principais modelos americanos. Ela tentou trabalhar com o Claude Fable 5, mas, depois que a proteção prejudicou seus ataques, passou a usar um modelo mais antigo do Claude e um modelo de outro laboratório. Segundo a avaliação do CAISSI, órgão americano, o GLM-5.3 é hoje o modelo open-weights mais forte em cibersegurança, e a Anthropic afirma que a proteção dele é fácil de contornar e que o modelo está pronto para escrever exploits de ponta a ponta.

O segundo argumento diz respeito à segurança nacional. A Anthropic cita um caso em que requisições ao Kimi, da Moonshot, eram encaminhadas em segredo ao Claude. Uma delas, segundo a avaliação da empresa vinda de um usuário ligado ao Exército de Libertação Popular da China, pedia a análise de gravações de CCTV sobre uma pessoa específica.

A abordagem tem um custo, e a empresa não o esconde. Ela abriu mão de uma receita expressiva e de trilhões de tokens de tráfego pago. Parte dos desenvolvedores precisa atualizar suas integrações por causa do preserved thinking. Menos de 0,1% das requisições legítimas pode ser bloqueado, e agora elas também terão de ser pagas. Além disso, a Anthropic ainda não viu nenhuma tentativa realmente sofisticada e persistente de contornar a nova proteção e espera que o jogo de gato e rato continue.

O que desenvolvedores e plataformas devem fazer

Para quem desenvolve sobre o Claude, o principal ponto prático é verificar se o seu código depende de editar o contexto anterior ou de reutilizar blocos de raciocínio. Para contas criadas a partir de 31 de agosto de 2026, isso já não funciona. Inclua no tratamento de erros os raros falsos bloqueios e considere que eles são cobrados.

Para plataformas de nuvem e provedores de inferência, a conclusão é mais dura. Os destiladores distribuem o tráfego entre a API da Anthropic, nuvens de terceiros e outros provedores, de modo que a proteção de um laboratório só funciona enquanto os vizinhos não deixam brechas. A Anthropic diz abertamente que os incentivos do setor empurram na direção oposta: proteger custa dinheiro, e o destilador continua sendo um cliente pagante. A publicação dos métodos é um convite para copiar a abordagem: detectar requisições por raciocínio oculto, banir rapidamente contas falsas e não aceitar dados de pagamento suspeitos.