Anthropic diz ter reduzido em 90–99% o roubo de tokens de raciocínio do Claude

A Anthropic afirmou ter reduzido em 90–99% a extração dos tokens de raciocínio internos do Claude. A empresa associa ataques de destilação em larga escala às chinesas Zhipu e Moonshot e relata o bloqueio de dezenas de milhares de contas. Os números, por enquanto, se apoiam apenas na palavra da Anthropic: no material a que tivemos acesso, não há nem um ponto de referência inicial nem a descrição da metodologia de cálculo.

O que exatamente tentavam extrair

A destilação é uma técnica antiga e, em princípio, legal: um modelo menor, ou simplesmente diferente, é treinado com as respostas de um modelo mais forte. Os problemas começam quando o "professor" é o modelo fechado de outra empresa e os termos de serviço proíbem esse uso. Para o líder comercial, isso significa transferir para o concorrente o investimento feito em treinamento.

No caso dos modelos de raciocínio, o valor é ainda maior. A resposta final mostra o resultado; a cadeia de raciocínio mostra o caminho: quais passos o modelo dá, onde ele se autoverifica, como divide o problema. Esses registros são material de treinamento pronto para reproduzir um comportamento parecido em outro sistema. Por isso a Anthropic fala justamente em tokens de raciocínio, e não em saídas comuns da API.

O que se sabe sobre as medidas

A declaração traz os seguintes pontos:

• redução da extração dos raciocínios internos do Claude em 90–99%;
• dezenas de milhares de contas bloqueadas;
• duas empresas chinesas apontadas como envolvidas: Zhipu e Moonshot;
• os ataques são descritos como "industriais", ou seja, sistemáticos e distribuídos, e não experimentos pontuais de usuários isolados.

A escala de dezenas de milhares de contas indica um esquema típico: as requisições são fracionadas entre muitas contas, de modo que cada uma, isoladamente, pareça um usuário comum. A defesa contra isso se baseia em análise comportamental, e não em limites por chave. Os mecanismos específicos da Anthropic não são revelados no texto a que tivemos acesso.

O que falta na declaração

Várias perguntas continuam em aberto. A variação de "90 a 99%" representa uma diferença de quase uma ordem de grandeza no vazamento residual: com 99%, passa um centésimo do tráfego; com 90%, um décimo. Não está claro a que exatamente o indicador se aplica: ao número de requisições, ao volume de tokens ou a uma avaliação da utilidade dos dados extraídos. Também não está claro em que provas se sustenta a atribuição a empresas específicas — infraestrutura, rastros de pagamento ou conteúdo das requisições. Nos materiais disponíveis, não há a posição da Zhipu nem da Moonshot.

Há ainda uma leitura mais cautelosa da própria métrica. Se a defesa reduziu o vazamento, mas os atacantes migraram para outros canais — por exemplo, intermediários e revendedores de acesso —, o efeito real será menor que o declarado. Esse tipo de verificação costuma ser feito por pesquisadores independentes, e eles ainda não se manifestaram.

Conclusões práticas

Para equipes que constroem produtos sobre modelos fechados, o principal sinal é o endurecimento do controle sobre contas. Quem trabalha por meio de agregadores e proxies deve verificar de onde vem o acesso do intermediário e se ele não viola os termos do provedor: bloqueios "em cadeia" também atingem clientes honestos. Empresas que fazem fine-tuning de modelos próprios devem manter o registro da origem dos dados e excluir explicitamente saídas de modelos de terceiros quando a licença as proíbe. Já os desenvolvedores de modelos abertos da China, a julgar pela declaração, terão de responder não só pela qualidade, mas também pela integridade dos dados de treinamento.

A própria disputa sobre destilação só tende a se acirrar: quanto mais caro o treinamento de sistemas de ponta, maior a tentação de chegar ao resultado por um caminho barato — e mais ativamente os laboratórios vão esconder e proteger seus raciocínios.