Destilação de modelos de linguagem: é possível provar roubo de conhecimento por meio de um chat?

No mundo dos grandes modelos de linguagem, cresce um conflito que lembra, por natureza, as guerras de patentes na indústria farmacêutica, só que em vez de moléculas, o que se rouba é conhecimento empacotado em bilhões de parâmetros. Um estudo recente publicado no Habr levanta uma pergunta provocadora: é possível determinar, apenas conversando com um modelo de linguagem em um chat, que ele foi treinado por destilação com as saídas de outro modelo? O autor acredita que sim. E, se ele estiver certo, isso muda as regras do jogo para toda a indústria.

Para entender o contexto, é preciso voltar a um escândalo que veio à tona vários meses antes. A Anthropic, criadora do Claude, acusou publicamente desenvolvedores chineses de destilar seu modelo de forma sistemática. A alegação era de que engenheiros da China usaram a API do Claude em massa, coletando suas respostas para treinar modelos próprios. A Anthropic afirmou ter detectado isso por meio do monitoramento de contas: análise de padrões de requisições, histórico de uso e vínculos das contas com empresas chinesas. As provas se baseavam no nível da infraestrutura: quem enviou quantas requisições e quando.

Mas o autor do estudo seguiu um caminho completamente diferente. Ele se perguntou: e se as evidências não estiverem nos logs dos servidores, mas no próprio modelo? A destilação é um processo em que um modelo pequeno, o aluno, é treinado para reproduzir o comportamento de um modelo grande, o professor.

Na prática, é uma compressão de conhecimento: em vez de treinar um modelo com terabytes de dados brutos, o desenvolvedor o alimenta com respostas prontas de um sistema mais poderoso. O modelo aluno absorve não só os fatos, mas também as particularidades de estilo, as cadeias lógicas, as expressões características e até os erros do professor. Esses rastros, uma espécie de «impressões digitais», foram o que o pesquisador tentou detectar por meio do chamado autorrelato do modelo.

O método parece elegante em sua simplicidade. Se um modelo foi treinado com respostas do Claude, ele pode reproduzir involuntariamente padrões característicos do Claude: formulações específicas de recusa, uma estrutura de raciocínio reconhecível, certos limites éticos que a Anthropic incorpora ao seu produto. É como um linguista que, pelas peculiaridades da fala, consegue dizer em que região uma pessoa cresceu; aqui, trata-se da «região de treinamento» de uma rede neural. O autor afirma ter encontrado marcadores desse tipo, embora faça uma ressalva importante: os resultados são provisórios e não podem servir como prova jurídica.

Essa ressalva não é mera formalidade, mas reflexo de um problema fundamental. Os modelos de linguagem continuam sendo, em grande parte, caixas-pretas até para seus criadores. Ninguém pode afirmar com certeza absoluta por que um modelo deu exatamente aquela resposta. A coincidência de padrões estilísticos pode resultar da destilação ou do treinamento com dados semelhantes de fontes abertas. Dois modelos treinados nos mesmos artigos científicos e livros inevitavelmente se parecerão, e isso não tem nada a ver com roubo de propriedade intelectual.

Mesmo assim, a direção da pesquisa é extremamente promissora. A indústria precisa urgentemente de ferramentas para verificar a origem dos modelos. Hoje o mercado está inundado de modelos open source, muitos dos quais se saem de forma suspeitamente boa em tarefas que, em teoria, exigem recursos computacionais bem maiores. Se os métodos de «perícia linguística» para redes neurais forem aprimorados, podem se tornar a base de uma nova área: a forense de IA, a criminalística digital do mundo da inteligência artificial.

Para grandes laboratórios como OpenAI, Anthropic e Google DeepMind, o que está em jogo é enorme. Treinar modelos de fronteira custa centenas de milhões de dólares, e se os concorrentes conseguem qualidade comparável por uma pequena fração desse custo via destilação, todo o modelo econômico desmorona. Não por acaso, os termos de uso da maioria dos grandes provedores já proíbem expressamente o uso das saídas para treinar modelos concorrentes. Mas uma proibição sem mecanismo para detectar violações é só palavra no papel.

O estudo, apesar de preliminar, aponta para um futuro em que os modelos carregarão marcas indeléveis de sua origem. Talvez, com o tempo, os desenvolvedores passem a incorporar deliberadamente marcas d'água ocultas em seus modelos: padrões de resposta únicos que não possam ser removidos na destilação. Algumas empresas já experimentam técnicas assim. Se esses métodos se tornarem confiáveis, o desenvolvimento de IA ganhará o que hoje lhe falta de forma crítica: um mecanismo de responsabilização. Por enquanto, a indústria equilibra-se na linha tênue entre a troca aberta de conhecimento e a proteção dos investimentos, e essa linha fica mais tênue a cada mês.