O que vale a pena roubar é o raciocínio
A Anthropic publicou um relato de como defende o Claude contra a destilação — a prática de copiar as capacidades de um modelo para outro colhendo suas saídas em escala, normalmente por redes de contas fraudulentas. A empresa diz que as primeiras evidências sugerem que seus métodos cortaram de 90% a 99% os dados obtidos pelos destiladores.
O que os destiladores querem, segundo o texto, não são as respostas do Claude, mas sua mecânica: as transcrições do raciocínio que o modelo escreve antes de responder. A Anthropic coloca um número no porquê. Um modelo treinado com transcrições completas de raciocínio do Claude Opus 4.8 marcou 80,4% no SWE-bench Verified; treinado com transcrições resumidas, o mesmo modelo ficou em 71,8%.
Três defesas
A primeira é arquitetônica. O “pensamento preservado”, introduzido com o Claude Fable 5.1 e o Claude Opus 5.5, impede que contas de API criadas a partir de 31 de agosto de 2026 editem o contexto anterior do Claude — o truque que permitia induzir o modelo a reproduzir literalmente o próprio raciocínio anterior. No Claude Sonnet 5.5, as transcrições de raciocínio só são visíveis para a organização cuja solicitação as gerou.
A segunda é um classificador em duas etapas, derivado do trabalho da Anthropic com classificadores constitucionais e em operação no Claude Sonnet 5.5, no Claude Opus 5 e 5.5 e no Claude Fable 5 e 5.1. A Anthropic diz que ele passou por equipes vermelhas internas e externas, que sua robustez está mais ou menos no nível das salvaguardas da empresa para armas biológicas e que sua taxa de falsos positivos fica abaixo de 0,1%. As evasões encontradas desde então — traduzir o raciocínio anterior para outro idioma ou escrevê-lo dentro de etiquetas — foram corrigidas.
A terceira é econômica. Contas que insistem em tentativas de extração enfrentam limites mais rígidos e banimentos, e desde 24 de setembro a Anthropic cobra pelas solicitações que suas salvaguardas bloqueiam antes de o Claude responder.
O que dizem os números
Os tokens de raciocínio extraídos por destiladores na plataforma da Anthropic agora são “consistentemente de 10 a 100 vezes menores” do que antes, diz a empresa, e em alguns dias pequenos demais para medir. Dezenas de milhares de contas ligadas à destilação foram banidas, muitas vezes em até duas horas do início de uma campanha. A Anthropic afirma ter recusado receita relevante e trilhões de tokens de tráfego pago vindos de destiladores.
A escala do problema descrito é grande. Redes de proxies usaram centenas de milhares de contas fraudulentas, e uma delas chegou a operar mais de 20 mil ao mesmo tempo. Um laboratório, diz a Anthropic, testou 12 mil solicitações, cada uma com um truque diferente.
Quem ela nomeia
Duas empresas são citadas. A Anthropic diz que a Zhipu destilou capacidades cibernéticas de modelos americanos de ponta enquanto desenvolvia o GLM-5.3, e que, depois de suas tentativas contra o Claude Fable 5 serem degradadas pelas salvaguardas cibernéticas da Anthropic, passou a um modelo Claude mais antigo e ao modelo de outro laboratório. A Anthropic observa que o Center for Advancing Innovation and Standards for Super Intelligence dos Estados Unidos avaliou o GLM-5.3 como o modelo de pesos abertos mais capaz em ciber lançado até hoje, e diz que sua própria pesquisa achou fáceis de burlar as salvaguardas do GLM-5.3.
A segunda é a Moonshot, que segundo a Anthropic encaminhava secretamente ao Claude solicitações feitas a seus modelos Kimi. Em uma dessas solicitações encaminhadas, afirma a Anthropic, um usuário que ela acredita ligado ao Exército de Libertação Popular da China pediu ao Claude que analisasse imagens de videovigilância de uma pessoa específica.
O que a Anthropic admite
A empresa espera um “jogo de gato e rato” e diz não saber quanto tempo os ganhos vão durar, acrescentando que ainda não viu uma tentativa muito sofisticada e persistente de contornar as defesas. Há custos para usuários legítimos também: o pensamento preservado obriga alguns desenvolvedores a atualizar suas integrações, e o classificador vez ou outra bloqueia solicitações inofensivas que, mesmo assim, agora são cobradas.
O argumento com que a Anthropic encerra é sobre o setor, não sobre ela. Os destiladores espalham seu tráfego por APIs, nuvens de terceiros e outros provedores de inferência, e os incentivos desestimulam a defesa, porque defesas são caras e destiladores ilícitos continuam pagando suas contas. Publicar o método, diz a empresa, serve para mostrar que existe uma alternativa viável.
