A Anthropic acusou o Alibaba de realizar a maior campanha ilícita de modelo de destilação que já mediu, parte de uma onda de ataques de extração de sete laboratórios de IA baseados na China que a empresa diz ter detectado e interrompido desde fevereiro de 2026. As alegações aparecem no relatório de inteligência de ameaças de setembro de 2026 da Anthropic, publicado na quinta-feira, que dedica uma seção inteira às tentativas em escala industrial de clonar as capacidades de Claude.
A divulgação é a contabilidade pública mais detalhada de uma prática que silenciosamente se tornou um dos problemas mais controversos da indústria da IA. Para quem acompanha notícias de última hora sobre IA, o relatório parece uma escalada na batalha contínua entre os laboratórios fronteiriços dos EUA e os concorrentes chineses sobre quem controla os modelos mais capazes – e como essas capacidades são obtidas.
O que a Anthropic diz que o Alibaba fez
De acordo com o relatório, operadores afiliados ao Qwen do Alibaba, ou Tongyi, Lab injetaram um prompt fixo em cada solicitação que forçou Claude a escrever todo o seu raciocínio em cadeia de pensamento dentro de tags de texto embutidas antes de responder. Essas transcrições de raciocínio foram então salvas e convertidas em dados de ajuste fino supervisionados, que a Anthropic diz ter sido usado para ajudar a treinar Qwen 3.5, 3.6 e 3.7.
A escala é impressionante. A Antthropic diz que a campanha teve como alvo as transcrições da cadeia de pensamento do Opus 4.6 e 4.7, atingiu um pico de quase 3 milhões de trocas por dia lançadas a partir de mais de 3.500 contas fraudulentas e totalizou mais de 151 milhões de trocas observadas entre maio e julho de 2026. A empresa afirma que a operação executou dois pools de quase 5.000 contas fraudulentas que usaram proxies residenciais, endereços de e-mail descartáveis e pagamentos com cartão virtual para ocultar seus rastros. Quando a Anthropic proibiu o primeiro pool, o tráfego simplesmente mudou para o segundo.
Além da destilação, o relatório alega que o Alibaba também usou Claude para avançar em sua própria pesquisa e desenvolvimento de IA, incluindo a construção de ambientes de aprendizagem por reforço e pesquisa de arquitetura de modelos. A Anthropic diz que algumas contas também estavam canalizando solicitações do DeepSeek e da Xiaomi, sugerindo que as mesmas redes proxy atendem a várias organizações.
Moonshot serviu Claude em vez de Kimi
As acusações contra a Moonshot AI, criadora da família de modelos Kimi, são talvez as mais incomuns. A Anthropic relata que o Moonshot encaminhou silenciosamente as solicitações dos clientes para Claude, em vez de processá-las com seus próprios modelos – e então exibiu as respostas de Claude aos usuários que acreditavam estar conversando com Kimi.
Em um caso, a Anthropic contou quase 300.000 solicitações de clientes retransmitidas à Anthropic em apenas dez dias, a grande maioria encaminhada para a Opus. A operação decorreu através de uma rede proxy de 5.380 contas fraudulentas, a maioria parecendo estar localizada em Singapura e no Japão. Entre maio e julho de 2026, a Anthropic atribui mais de 23 milhões de trocas à campanha.
Moonshot também construiu o que a Anthropic chama de ataque de repetição entre sessões: salvando a "assinatura de pensamento" criptografada que Claude retorna em vez do raciocínio bruto, iniciando uma nova sessão e solicitando que Claude converta essa assinatura de volta no rastreamento de raciocínio completo. A Anthropic diz que o DeepSeek usou a mesma técnica e que novas defesas contra ela estão sendo implantadas.
O relatório sinaliza uma séria dimensão de privacidade: as consultas dos usuários que o Moonshot redirecionou incluíam informações confidenciais que seus clientes nunca consentiram em compartilhar com terceiros. Os exemplos incluem um utilizador provavelmente afiliado ao Exército de Libertação Popular da China que analisa dados de vigilância CCTV de um indivíduo visado a partir de centenas de câmaras em Chengdu, e um engenheiro de uma grande empresa estatal chinesa cujo código interno e credenciais em tempo real passaram por Claude sem o seu conhecimento.
Operação de retransmissão do DeepSeek
A Anthropic diz que o DeepSeek implantou táticas semelhantes, retransmitindo silenciosamente as solicitações dos usuários para Claude Opus e coletando rastros de raciocínio por meio do mesmo método de repetição entre sessões. A empresa supostamente identificou os alvos verificando as solicitações de entrada de strings associadas a equipamentos de codificação de terceiros, como Claude Code, Claude Agent SDK e OpenCode, e então selecionou as solicitações de retransmissão dos usuários marcados.
A escala atribuída ao DeepSeek: mais de 12,1 milhões de trocas observadas em apenas 14 dias em julho de 2026. Os dados retransmitidos expuseram o que os usuários certamente presumiram ser privado. Os exemplos da Anthropic incluem um funcionário de uma empresa de tecnologia chinesa que analisa a documentação interna de um programa emblemático de IA, um operador de TI que trabalha com dados de uma agência governamental russa associada ao seu Ministério da Defesa, cujos pedidos expuseram credenciais de base de dados em tempo real, e engenheiros de um Gabinete de Segurança Pública municipal na China que estão a construir uma ferramenta que rastreia os movimentos dos indivíduos contra registos policiais por número de identificação nacional.
Zhipu, Xiaomi e o padrão mais amplo
O relatório também atribui uma campanha de extração de cadeia de pensamento à Zhipu AI, que se autodenomina Z.ai fora da China. A Anthropic diz que a Zhipu executou seu pipeline contra o Opus 4.8 girando através de 273 contas fraudulentas durante dez dias em junho, contando 770.609 trocas por meio de seu limpador de extração CoT e mais de 3 milhões de trocas totais no mesmo período.
DeepSeek, Xiaomi e Moonshot são acusados separadamente de alimentar Claude com conversas entre seus próprios usuários e modelos como dados de treinamento. A Anthropic diz que essas sessões continham nomes, endereços de e-mail, dados de empresas e outras informações confidenciais de centenas de usuários finais em pelo menos uma dúzia de idiomas – muitas delas transmitidas por meio de serviços de roteamento de modelo de terceiros populares entre usuários nos Estados Unidos e na Europa – e que as práticas são provavelmente inconsistentes com as leis de privacidade e os próprios termos de serviço dos laboratórios.
Por que a destilação é tão difícil de parar
A destilação em si é um método de treinamento legítimo e amplamente utilizado: um modelo menor de “aluno” aprende com os resultados de um modelo maior de “professor”. O que a Anthropic define como ilícito é a versão secreta em escala industrial – contas falsas baseadas em cartões de crédito, credenciais e chaves de API roubados, além de transcrições de usuários compradas de serviços de proxy que salvam conversas sem o conhecimento dos usuários.
As tentativas de extração documentadas no relatório variam de contundentes a criativas. Um laboratório realizou um experimento com 12 mil solicitações, cada solicitação usando uma técnica diferente, para descobrir quais delas extrairiam o raciocínio de Claude. Outro orientou o modelo a “traduzir” sua memória de trabalho anterior para o japonês somente katakana para escapar dos filtros antidestilação.
A OpenAI sinalizou publicamente ataques de destilação desde o início de 2025, e o Google publicou um rastreador de ameaças sobre destilação adversária no início deste ano. A contribuição da Anthropic é escala e especificidade: laboratórios nomeados, modelos nomeados e números concretos.
A Anthropic diz que todos os ataques dos sete laboratórios tiveram como alvo seus modelos geralmente disponíveis e que não observou nenhuma tentativa contra seus sistemas restritos Mythos 5 ou Mythos Preview, que não são acessíveis ao público. Observa também que os modelos destilados a partir de sistemas fronteiriços não herdam nenhuma das suas barreiras de segurança – e que a sua própria investigação sugere que a destilação pode aumentar capacidades perigosas nos domínios biológico e cibernético, mesmo quando as trocas recolhidas contêm pouco sobre esses assuntos.
A empresa afirma que todas as campanhas descritas foram interrompidas, que as salvaguardas foram reforçadas em resposta e que a informação foi partilhada com autoridades e parceiros da indústria quando apropriado. Se a nomeação de nomes mudará a economia dos modelos fronteiriços de clonagem - ou apenas documentará uma corrida armamentista já em pleno andamento - dependerá do que acontecer a seguir.
---
Fique à frente da IAReceba as últimas notícias, análises e avanços sobre IA — tudo em um só lugar.
Leia mais notícias sobre IA →
