Auditores desmascaram 7,7 TB de “pesos da Anthropic” com 192 milhões de correspondências

Um total de 7,7 TB de arquivos, uma arquitetura plausível, pesos cuidadosamente divididos em shards e milhares de downloads: tudo parecia um grande vazamento da Anthropic. Mas não havia nenhum modelo treinado ali dentro. Os números tinham sido gerados de forma determinística a partir dos nomes dos tensores, o que significa que o enorme checkpoint podia ser montado sem treinamento e sem acesso à infraestrutura da empresa.

Isso não é apenas uma mistificação divertida. É um bom teste de estresse para a forma habitual de avaliar modelos de terceiros: observar o tamanho dos arquivos, a configuração e os hashes e concluir que o artefato é autêntico. Para um desenvolvedor, a conclusão é desconfortável, mas útil: uma embalagem plausível comprova apenas que o autor sabe criar uma embalagem plausível.

Como sete terabytes viraram um gerador de números aleatórios

O repositório burner22/numbat no Hugging Face era apresentado como um checkpoint de uma execução interna da Anthropic: cerca de 14 trilhões de parâmetros, 114 camadas, um híbrido GDN/MLA, uma mistura de 1.224 especialistas e pesos de quatro bits. A aritmética fechava, a estrutura dos arquivos parecia consistente e as somas de verificação correspondiam ao índice publicado.

A solução revelou-se quase debochadamente simples. O pesquisador pegava o nome de um tensor, calculava o SHA-256, usava os primeiros oito bytes como seed para o NumPy PCG64 e gerava uma matriz de números aleatórios com distribuição normal e o formato necessário. Depois do escalonamento e do arredondamento, os valores resultantes correspondiam ao conteúdo dos arquivos.

Em um exemplo simples, funciona assim. Suponha que o modelo contenha uma matriz chamada model.layers.42.mlp.weight. O nome é transformado em um hash, do hash se obtém um número para inicializar o gerador, e o gerador cria sempre a mesma sequência. Qualquer pessoa com a mesma receita consegue reconstruir os mesmos “pesos”: o treinamento não participa do processo.

Primeiro, a receita foi verificada em 43 tensores completos: todos os 730.368 valores corresponderam. Depois, a auditoria foi ampliada para matrizes de quatro bits e encontrou 162.246.496 nibbles correspondentes de um total de 162.246.496. A verificação final cobriu todo o conjunto de arquivos e, segundo a auditoria publicada, confirmou o mesmo mecanismo em aproximadamente 192 milhões de nibbles FP4. Esse resultado praticamente elimina a possibilidade de coincidência: pesos treinados não podem ser reproduzidos integralmente a partir do nome de uma matriz.

Por que os hashes não resolveram o problema

Nesse caso, o SHA-256 respondia a uma pergunta diferente daquela que os observadores acreditavam estar fazendo. Uma soma de verificação pode mostrar que o arquivo baixado corresponde ao arquivo do autor. Ela não prova que o arquivo foi obtido por treinamento, que pertence à Anthropic ou sequer que contém um modelo funcional.

O mesmo vale para o tamanho e a consistência interna. É possível criar terabytes de dados corretamente empacotados, escolher formatos realistas de matrizes e elaborar uma configuração convincente. Quanto melhor o autor conhecer a estrutura dos LLMs modernos, mais convincente será o cenário. Até o codinome numbat podia ser verdadeiro: ele já havia sido encontrado em código-fonte vazado do Claude Code. Mas um nome de projeto real não transforma números aleatórios em um checkpoint real.

A verificação também tem uma limitação. A correspondência com o gerador comprova a origem artificial dos pesos publicados, mas, por si só, não explica a motivação do autor nem confirma as demais histórias em torno do nome numbat. A Anthropic não confirmou publicamente a origem do repositório, portanto não há base para vinculá-lo à empresa além do uso de sua marca.

O que desenvolvedores e equipes de produto devem fazer

Não é necessário baixar os 7,7 TB completos. Para uma verificação inicial, basta obter um shard, selecionar uma matriz grande, repetir a receita declarada e comparar pelo menos milhões de nibbles de valores. Se a correspondência for sistemática, trata-se da saída de um gerador, não do resultado de treinamento.

Modelos dos quais um produto depende exigem um padrão mínimo mais rigoroso: assinatura do publicador, histórico de publicação verificável, documentação do treinamento, testes comportamentais independentes e uma cadeia de fornecimento clara. Não execute arquivos desconhecidos nem código personalizado fornecido pelo repositório apenas para fazer a verificação; o formato dos pesos deve ser analisado de forma isolada.

A principal lição desta história vai além de uma única falsificação. Tamanho, metadados bem elaborados e hashes correspondentes criam uma aparência de evidência, mas comprovam apenas que o artefato é consistente consigo mesmo. A autenticidade começa onde um pesquisador independente consegue verificar a procedência e obter um resultado explicável.