EUA expõem destilação industrial contra modelos de IA

NSA, CISA e FBI publicaram em 8 de setembro de 2026 o advisory conjunto AA26-251A com uma acusação incomum na história dos alertas de segurança: empresas chinesas de inteligência artificial — DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI — extraíram bilhões de tokens de modelos de fronteira americanos desde pelo menos o final de 2024. O alvo direto são os fornecedores de modelos como Claude, GPT, Gemini e Grok, mas o documento muda o cálculo de risco para qualquer organização que expõe APIs de IA, revende acesso a modelos ou administra assinaturas corporativas de inteligência artificial. A ação prioritária é revisar a telemetria de consumo: contas novas que atingem uso máximo imediato e tráfego repetitivo concentrado em poucas capacidades formam a assinatura dessa campanha.

Segundo o advisory da CISA, a destilação deixou de ser técnica complementar de pesquisa e passou a ser o núcleo da estratégia de desenvolvimento dessas empresas, “provavelmente com conhecimento do governo chinês”. Para times defensivos, o documento vale menos pelo geopolítico e mais pela lista concreta de táticas, indicadores e controles que passa a ser esperada de qualquer plataforma que sirva modelos de IA em escala.

O que o advisory revela

O relatório descreve campanhas organizadas por empresa. A DeepSeek conduz extração desde o final de 2024 para gerar dados de treinamento sintéticos dos modelos R1 e V3, visando capacidades de raciocínio, otimização jurídica e funções agênticas. A Moonshot AI usou dados do Claude Fable 5 para treinar o Kimi-K3 e dados do GPT-4o para o Kimi-K2. A StepFun destilou modelos da linha GPT-5 para fortalecer funções de código do Step 4, e a Z.AI extraiu bilhões de tokens de GPT-5.5 e Claude Opus 4.8 até meados de 2026 para desenvolver raciocínio em cadeia. O advisory também observa que o custo de treinamento de US$ 5,6 milhões divulgado pela DeepSeek é enganoso porque não inclui o valor real dos dados obtidos com a destilação.

Cada lançamento de fronteira vira alvo imediato — comportamento que já acompanhamos em cobertura anterior do lançamento do GPT-6 Astra. A tabela resume os alvos documentados:

Como a extração acontece

O advisory detalha o caminho técnico. As requisições de destilação entram por APIs nativas, provedores de nuvem remotos e agregadores de terceiros que ofuscam metadados do usuário. Quando o acesso direto é bloqueado por restrição geográfica, as empresas recorrem a um mercado cinza de proxies chamados “transfer stations”, que burlam termos de uso, evitam salvaguardas e destroem a rastreabilidade. Também há compra em volume de assinaturas premium compartilhadas entre equipes de desenvolvedores para reduzir custo. Entre as táticas avançadas estão a extração de raciocínio em cadeia (CoT), o failover automatizado entre caminhos quando um bloqueio acontece e estruturas de avaliação de qualidade criadas para detectar contra-medidas defensivas.

Há até injeção de prompt documentada: a MiniMax tentou enganar o Claude Code para fazê-lo acreditar que era um produto da própria MiniMax, durante tarefas internas de geração e refinamento de código. O padrão — abuso de identidade e de canais legítimos em vez de exploração de vulnerabilidade — é o mesmo que já exigia trocar o elo humano por controles mais fortes no combate ao phishing com IA.

Números de uma operação industrial

A confirmação independente veio da Anthropic, que em fevereiro de 2026 publicou os detalhes técnicos das campanhas identificadas na própria plataforma. Os laboratórios geraram mais de 16 milhões de intercâmbios com o Claude por meio de aproximadamente 24 mil contas fraudulentas, violando termos de serviço e restrições regionais de acesso. A operação da DeepSeek passou de 150 mil intercâmbios; a da Moonshot AI ultrapassou 3,4 milhões; a da MiniMax passou de 13 milhões.

Em um caso, uma única rede de proxy gerenciou mais de 20 mil contas fraudulentas simultâneas, misturando tráfego de destilação com requisições comuns de clientes para dificultar a detecção. Quando a Anthropic lançou um novo modelo durante a campanha ativa da MiniMax, o grupo redirecionou quase metade do tráfego em 24 horas. A empresa atribui as campanhas com alta confiança por correlação de endereços IP, metadados de requisição e indicadores de infraestrutura.

Por que isso importa

Para quem defende infraestrutura, o risco não termina na fronteira dos fornecedores americanos. A Anthropic alerta que modelos destilados ilicitamente não preservam salvaguardas: capacidades perigosas proliferam com proteções removidas, inclusive em contexto militar, de vigilância e de operações ofensivas. Assinaturas corporativas compradas em volume, agregadores de API e contas subsidiadas de educação e startup são a matéria-prima dessas campanhas — e existem dentro de empresas comuns, não apenas em laboratórios de IA.

Sinais para o time defensivo

Os dois relatórios convergem em marcadores operacionais. A Anthropic descreve o padrão: volume massivo concentrado em poucas áreas, estruturas altamente repetitivas e conteúdo que mapeia diretamente o que é valioso para treinar um modelo. O advisory pede detecção de anomalias de prompts, contas, redes e comportamentos — e especificamente que as plataformas passem a monitorar a razão entre assinaturas e uso, além de uso máximo imediato em contas novas e padrões de throughput em escala corporativa. Traduzido em checklist:

• Contas novas com consumo no limite poucas horas após a criação;
• Relação assinatura/consumo fora da curva por longos períodos;
• Prompts repetitivos com pequenas variações concentrados em uma capacidade estreita;
• Solicitações pedindo ao modelo para escrever o raciocínio interno passo a passo de uma resposta já concluída;
• Métodos de pagamento e horários de uso compartilhados entre contas distintas;
• Tráfego coordenado via agregadores que ofuscam metadados.

Defesas recomendadas

O advisory lista três ações imediatas para provedores de IA: detecção abrangente de prompts, contas, redes e comportamentos anômalos; alterações sutis de resposta para reduzir o ganho de destiladores suspeitos sem degradar a experiência de clientes legítimos; e compartilhamento de inteligência entre provedores de modelos, nuvens e agregadores para revelar campanhas distribuídas. A Anthropic acrescenta classificadores e fingerprinting comportamental em tráfego de API, incluindo detecção de elicitação de raciocínio em cadeia, além de verificação reforçada nas contas educacionais, de pesquisa e de startups — as vias mais exploradas na criação de contas fraudulentas.

Prioridades práticas

P1 — esta semana: inventariar onde a organização expõe modelos ou revende acesso; revisar a relação entre assinatura e consumo e as contas novas com uso máximo; definir processo de banimento com detecção de failover entre caminhos, porque a resposta a um bloqueio é automática.

P2 — este trimestre: implementar classificadores para padrões repetitivos e elicitação de raciocínio; reforçar verificação nas vias de conta subsidiada; entrar em canal de compartilhamento de indicadores com provedores e nuvens. Times que não operam plataformas de IA devem, no mínimo, tratar assinaturas corporativas de modelos como ativo a inventariar e restringir: sem elas, a campanha perde a principal fonte de escala barata.

Fontes

• CISA, NSA e FBI — Cybersecurity Advisory AA26-251A
• Anthropic — Detecting and preventing distillation attacks