Anthropic reduz em 90–99% o volume de dados que vaza para destiladores do Claude

A Anthropic afirma que, nos últimos meses, enfraqueceu de forma significativa os ataques de destilação contra o Claude: segundo dados preliminares, o volume de dados que os destiladores conseguem coletar caiu de 90% a 99%. A empresa define esses ataques como campanhas furtivas em escala industrial. O objetivo é extrair as capacidades de um modelo e reproduzi-las em outro sem a permissão do desenvolvedor, em geral por meio de redes de contas falsas. A proteção, segundo a Anthropic, saiu cara: a empresa abriu mão de uma receita relevante e de trilhões de tokens de tráfego pago.

Por que a Anthropic vê isso como uma ameaça

A empresa aponta dois motivos. O primeiro é a segurança. A destilação permite chegar rápido à fronteira de capacidades, mas as salvaguardas são reproduzidas pior nesse processo. Esses modelos podem ser usados para causar danos em biologia e cibersegurança.

O principal exemplo do texto é a Zhipu e o GLM-5.3. De acordo com a Anthropic, o laboratório destilou as capacidades cibernéticas de modelos americanos de ponta. Ele tentou trabalhar com o Claude Fable 5, mas as proteções cibernéticas pioraram a qualidade de seus ataques, e a Zhipu migrou para um modelo mais antigo do Claude e para um modelo de outro laboratório. O centro americano CAISSI depois classificou o GLM-5.3 como o modelo open-weights mais capaz em cibersegurança já lançado. Os testes da própria Anthropic mostraram que as proteções do GLM-5.3 são facilmente contornadas e que o modelo está disposto a escrever exploits de ponta a ponta.

O segundo motivo é a segurança nacional. Na visão da Anthropic, empresas que destilam modelos americanos incorporam as capacidades obtidas a sistemas militares, de inteligência e de vigilância estrangeiros. A empresa cita o caso do Kimi, da Moonshot: requisições feitas a ele eram repassadas em segredo ao Claude. Uma delas, supostamente de um usuário ligado ao Exército de Libertação Popular da China, tratava da análise de gravações de vigilância por CCTV de uma pessoa específica.

Por que medidas simples não bastaram

Os destiladores geram milhões de respostas de um modelo forte e treinam com elas um modelo menor. Os dados mais valiosos para isso não são as respostas finais, e sim as transcrições do raciocínio, ou seja, o que o Claude escreve antes de responder. Elas mostram como o modelo chega ao resultado. Por isso, a defesa se concentra quase por completo em fechar o acesso a essa camada.

A primeira medida foi resumir o raciocínio antes de exibi-lo ao usuário. A Anthropic testou o efeito da seguinte forma: um modelo Claude pré-treinado passou por ajuste fino com transcrições do Claude Opus 4.8, e o resultado foi medido no SWE-bench Verified.

• Treinamento com raciocínio completo: 80,4%.
• Treinamento com raciocínio resumido: 71,8%.
• Diferença: 8,6 pontos percentuais.
• Redução do volume de dados coletados após as novas medidas: 90–99% (estimativa preliminar).

Mas os destiladores se adaptaram. Eles deixaram a coleta passiva, em que as requisições são enviadas como as de um usuário comum, e passaram à extração ativa, isto é, a tentativas de contornar as restrições. O trecho disponível do texto é interrompido nesse ponto, então os detalhes dos novos métodos de defesa não são revelados aqui. A Anthropic promete descrevê-los na versão completa do blog.

O custo da proteção e o que fazer como desenvolvedor

As medidas antidestilação afetam tanto a própria Anthropic quanto os clientes. A empresa observa que as equipes de pesquisa e de produto dedicaram muito tempo à tarefa. Parte das mudanças exige que usuários de boa-fé atualizem suas integrações.

Para desenvolvedores e plataformas, a conclusão é prática:

• Verifique como seu aplicativo funciona com raciocínio resumido em vez do completo. Se você construiu lógica em cima dele, será preciso alterar a integração.
• Trate as cadeias de raciocínio como um ativo sensível. É isso que os destiladores mais valorizam.
• Fique atento a anomalias em contas: redes de perfis falsos e o redirecionamento de requisições de terceiros para a API continuam sendo os principais esquemas.
• Se você publica modelos open-weights, avalie não só a qualidade, mas também a robustez das proteções. O exemplo do GLM-5.3 mostra que contornar as restrições nesses modelos pode ser simples.

A Anthropic ressalta que todo desenvolvedor de modelos enfrenta a destilação. Os 90–99% declarados continuam sendo uma estimativa da própria empresa, e o texto não traz verificação independente. Mesmo assim, a escolha é clara: a Anthropic considera que trilhões de tokens de tráfego valem menos do que o risco de surgirem modelos poderosos sem proteções adequadas.