Claude corta 99% do roubo de raciocínio por destilação

Destilação industrial virou o novo campo de batalha dos labs

Destilação industrial de tokens de raciocínio do Claude deixou de ser hipótese acadêmica para virar operação em escala, com centenas de milhares de contas falsas trabalhando em paralelo para sugar o passo a passo interno do modelo e treinar concorrentes menores e mais baratos. A Anthropic afirma que conseguiu cortar esse volume extraído entre 90% e 99% depois de aplicar uma nova camada de defesa, e se o número estiver perto do real, isso muda a conversa sobre custo de inferência, proteção de propriedade intelectual e o que realmente vale um modelo de fronteira hoje. Porque o valor não está só na resposta final que o usuário vê na tela, está no raciocínio intermediário, nas tentativas, correções e ramificações que o modelo faz antes de responder, e era exatamente isso que estava vazando em volume massivo.

Para quem opera sistemas com LLM em produção, o recado é direto: treinar com saída alheia ficou mais difícil, mais caro e mais arriscado, mas também ficou mais claro que depender de um único fornecedor sem entender como ele protege o próprio raciocínio é uma fragilidade operacional. Não se trata apenas de uma briga entre grandes laboratórios, se trata de como o mercado de modelos vai precificar inteligência, transparência e segurança daqui para frente.

O que a Anthropic diz que aconteceu

A Anthropic descreve um cenário de ataque sistemático contra o Claude, no qual redes organizadas criavam contas em massa para extrair tokens de raciocínio, que são os passos internos de chain-of-thought que o modelo gera antes da resposta final. Esses tokens são ouro para destilação, porque ensinam a um modelo menor não só o que responder, mas como pensar, como decompor um problema de código, de matemática ou de análise de segurança. Segundo a empresa, o volume desse tipo de extração caiu de 90% a 99% após as novas defesas entrarem em operação, e dezenas de milhares de contas já foram banidas por comportamento suspeito.

A empresa citou nominalmente companhias chinesas como participantes desse ecossistema. A Zhipu teria extraído capacidades de cibersegurança de modelos americanos de ponta para compor seu modelo GLM-5.3, enquanto a Moonshot teria roteado consultas de forma oculta através do Claude para aproveitar seu raciocínio sem exposição direta. A Anthropic também levantou a preocupação de que capacidades roubadas desse tipo podem acabar em sistemas militares e de vigilância, o que tira a discussão do campo puramente comercial e joga para o terreno geopolítico. É um ponto que aumenta a pressão por controles mais rígidos, mesmo que isso custe fricção para desenvolvedores legítimos.

A resposta da Anthropic tem três pilares: restrição de acesso aos passos internos de raciocínio, um classificador dedicado a detectar tentativas de extração e banimento automático de contas sinalizadas. A empresa pede que outros desenvolvedores adotem proteções semelhantes, mas admite que usuários legítimos estão sendo pegos no processo. Esse detalhe importa muito, porque mostra que a defesa ainda é reativa e probabilística, não cirúrgica.

Como funciona a defesa na visão de quem opera

Em termos de arquitetura, o que a Anthropic fez foi fechar a torneira mais valiosa. Antes, parte do raciocínio estendido ficava mais exposta via API, seja em modo verboso, em traces de reasoning ou em respostas longas que deixavam vazar a estrutura do pensamento. Agora, o acesso a esses tokens foi restringido por padrão, o que na prática significa menos visibilidade para debug, mas também menos superfície para quem quer copiar comportamento. É uma troca clássica entre observabilidade e segurança, e quem já operou pipeline de agentes sabe o quanto dói perder visibilidade quando algo quebra em produção.

O segundo pilar é o classificador de extração. Pela descrição, é plausível inferir que ele analisa padrões como volume anormal por chave de API, diversidade sintética de prompts, repetição de tarefas de raciocínio complexo em intervalos curtos, entropia de sessão e grafos de contas relacionadas por IP, fingerprint de dispositivo, padrão de pagamento e comportamento de prompt. Nada disso foi detalhado publicamente com precisão, e é razoável assumir que a Anthropic não vai abrir esse jogo, mas operacionalmente isso se parece muito com um sistema antifraude de cartão de crédito aplicado a tokens. O problema é conhecido: para pegar o ataque industrial, você precisa de um limiar agressivo, e limiar agressivo gera falso positivo.

Em custo e latência, essa defesa não sai de graça. Rodar um classificador em linha para cada lote de requisições adiciona overhead de inferência, aumenta o p99 em alguns milissegundos e exige infraestrutura de moderação separada do modelo principal. Também existe custo de suporte, porque cada conta legítima banida vira ticket, revisão manual e churn. Minha leitura como operador é que a Anthropic aceitou pagar esse preço porque o custo de não fazer nada era maior: cada milhão de tokens de raciocínio vazado vira um competidor mais barato amanhã, treinado com o seu próprio gasto de pesquisa, energia e dados. É uma conta de longo prazo, não de margem do trimestre.

O que isso muda para quem constrói com IA

Quem ganha no curto prazo é quem tem modelo de fronteira e consegue defender o raciocínio sem quebrar a experiência do desenvolvedor fiel. Quem perde é quem montou estratégia inteira em cima de destilação silenciosa, seja para criar um modelo próprio barato, seja para fazer proxy disfarçado e revender capacidade alheia com outra etiqueta. Esse segundo grupo vai precisar mudar de tática, migrar para dados sintéticos próprios, comprar licenças reais ou investir em pós-treino pesado, tudo mais caro e mais lento. Para startups que viviam de wrapper com margem fina, a torneira secando significa repensar unit economics.

Para quem é cliente legítimo da API do Claude, o efeito prático aparece em três lugares: menos acesso ao raciocínio detalhado para auditoria, mais risco de bloqueio se seu workload parecer extração, e possível mudança de preço implícita, porque reasoning escondido ainda custa para gerar, mas não pode mais ser reaproveitado livremente por você para fine-tuning externo. Se você roda avaliações massivas, gera milhares de variações do mesmo problema complexo ou faz scraping de traces para análise, seu tráfego se parece, aos olhos do classificador, com um ataque. É desconfortável, mas é a nova realidade.

A ação prática que você precisa fazer agora é simples e direta. Primeiro, audite como seu sistema usa reasoning: separe o que é debug interno do que é log persistido, evite armazenar traces completos sem necessidade e documente seu padrão de uso para contestar um eventual bloqueio. Segundo, distribua risco de fornecedor: mantenha avaliações rodando em pelo menos dois provedores e versione seus prompts para não ficar refém de um formato específico de raciocínio. Terceiro, se você destila saídas para treinar modelos menores, revise seus termos de uso e migre para pipelines com permissão explícita, com dados próprios ou com modelos abertos que permitam esse uso. Não espere o ban para organizar a casa.

• Regra operacional: reduza a coleta de traces ao mínimo necessário, adicione identificação clara nas suas chaves de API por ambiente e mantenha um canal direto com o suporte do provedor antes de escalar testes massivos que podem parecer destilação.

O problema que ninguém quer admitir

A tensão real aqui é que essa defesa resolve o sintoma, não a causa. Fechar o raciocínio reduz o vazamento mais eficiente, mas não impede que alguém destile só com respostas finais, com reescrita de prompts ou com mistura de vários modelos para reconstruir a capacidade aos poucos. Vai ficar mais caro e mais lento copiar o Claude, sem dúvida, mas ainda é possível copiar comportamento emergente com paciência e orçamento. A pergunta que fica é se 99% de redução se sustenta quando o atacante muda a estratégia para consultas de baixa intensidade distribuídas em ainda mais contas, com padrões mais humanos e com intervalos aleatórios. Antifraude é um jogo de gato e rato, nunca uma vitória definitiva.

Tem também o custo colateral que a própria Anthropic admite: legítimos estão sendo afetados. Isso me preocupa mais do que o número headline de 99%. Se pesquisador, equipe de red team ou empresa de avaliação for bloqueada no meio de um ciclo crítico, a confiança na plataforma cai rápido. Escala aqui não é só bloquear centenas de milhares de contas falsas, é fazer isso sem quebrar quem paga a conta e constrói em cima. E esse equilíbrio entre segurança de IP e experiência do desenvolvedor ainda não tem solução elegante, só tem trade-off. Menos transparência protege o lab, mas piora debugging, reprodutibilidade e pesquisa aberta.

Fechar o raciocínio protege margem, mas cobra o preço em confiança

No fim, a Anthropic fez o movimento óbvio para quem gastou bilhões em treinamento: trancar o ativo mais copiável. Funciona no curto prazo, aumenta o custo do clone e sinaliza para o mercado que destilação industrial terá consequência. Mas move o gargalo para outro lugar, que é como inovar em cima de um modelo que você não pode mais inspecionar por dentro. Vale acompanhar de perto a taxa de falsos positivos e se outros labs vão seguir o mesmo caminho de esconder o pensamento. Se todos fecharem, quem constrói agente complexo vai operar cada vez mais no escuro?