Anthropic diz que novas defesas reduzem a destilação do Claude em 90-99%

A Anthropic diz que novas defesas reduziram em cerca de 90 a 99% os dados coletados dos seus modelos Claude por meio de destilação. A empresa descreveu as medidas em um post datado de 12 de outubro de 2026. Destilação, aqui, significa copiar as habilidades de um modelo treinando um novo modelo com as respostas dele, sem permissão. Várias das defesas mudam o comportamento da API do Claude, por isso alguns desenvolvedores já tiveram de atualizar seu código.

Contra o que a Anthropic está se defendendo

O post da Anthropic chama os ataques de destilação de “campanhas secretas em escala industrial” para extrair as capacidades de um modelo. Eles costumam passar por redes de contas falsas. Os atacantes querem principalmente transcrições de raciocínio, o pensamento passo a passo que mostra como o Claude chega a uma resposta.

A Anthropic testou por que essas transcrições importam. A empresa treinou um modelo com transcrições do Claude Opus 4.8 e o avaliou no SWE-bench Verified, um benchmark de programação:

Dados de treinamento	Pontuação no SWE-bench Verified
Transcrições de raciocínio completas	80,4%
Transcrições resumidas	71,8%

A Anthropic também argumenta que modelos copiados podem ser lançados sem salvaguardas fortes. Isso aumenta o risco de uso indevido em áreas como ciberataques e biologia.

O que mudou para usuários da API

A Anthropic lista estas medidas:

Medida	Modelos	O que faz
Pensamento preservado	Claude Fable 5.1, Opus 5.5	Contas de API criadas em 31 de agosto de 2026 ou depois não podem editar o contexto anterior
Isolamento do raciocínio	Sonnet 5.5 e modelos mais novos	O raciocínio do Sonnet 5.5 só é visível para a organização que fez a requisição; modelos mais antigos não conseguem ler o raciocínio de modelos mais novos
Classificador em duas etapas	Sonnet 5.5, Opus 5 e 5.5, Fable 5 e 5.1	Sinaliza tentativas de extração; bloqueia requisições benignas em menos de 0,1% dos casos
Cobrança	Requisições bloqueadas por salvaguardas	Cobradas desde 24 de setembro de 2026

A Anthropic também corrigiu truques como pedir ao Claude que traduza seu raciocínio anterior para outro idioma. Tentativas persistentes de extração agora enfrentam limites de uso mais rígidos e banimentos. A Anthropic diz que já baniu dezenas de milhares de contas, muitas vezes em até duas horas após o início de uma campanha, informa o Pulse 2.0.

Depois que o classificador entrou no ar, os tokens de raciocínio extraídos pelos atacantes caíram por um fator de 10 a mais de 100, segundo a Anthropic.

Quem a Anthropic aponta

O post cita dois laboratórios chineses de IA. Segundo a Anthropic, a Zhipu usou destilação para copiar as habilidades cibernéticas de modelos americanos enquanto desenvolvia o GLM-5.3. Quando as salvaguardas do Claude prejudicaram essas tentativas, a Zhipu passou para um modelo mais antigo do Claude e para o modelo de outro laboratório, diz a Anthropic. Um órgão do governo dos EUA classificou depois o GLM-5.3 como o modelo de pesos abertos com maior capacidade cibernética lançado até hoje. Cobrimos o lançamento do GLM-5.3 com pesos abertos em agosto.

A Anthropic também diz que requisições enviadas ao Kimi, da Moonshot AI, eram secretamente encaminhadas ao Claude. No início deste mês, a OpenAI ligou uma campanha separada de extração de raciocínio à Moonshot AI.

O relatório de ameaças de setembro da Anthropic contou quase 200 milhões de interações relacionadas à destilação em cinco campanhas, informa o Crypto Briefing. A maior, ligada ao Qwen da Alibaba, passou de 151 milhões de interações de maio a julho de 2026.

Os custos que a Anthropic admite

As defesas têm um preço. A Anthropic diz que recusou “receita significativa e trilhões de tokens em tráfego pago”. O pensamento preservado obrigou alguns desenvolvedores a mudar suas integrações. Requisições benignas às vezes são bloqueadas, e os usuários pagam por esses bloqueios.

A Anthropic diz que não atingiu totalmente sua meta de não afetar usuários legítimos. A empresa espera um jogo de gato e rato e ainda não viu uma tentativa persistente e altamente sofisticada. “Ainda não sabemos quanto tempo esses ganhos vão durar”, disse a empresa, segundo citação do Pulse 2.0.

O que isso significa para desenvolvedores

Para equipes que desenvolvem sobre a API do Claude:

• Verifique a data da conta. Se a sua conta de API foi criada em 31 de agosto de 2026 ou depois, você não pode editar o contexto anterior no Fable 5.1 nem no Opus 5.5. Apps que reescrevem turnos passados, como cortar ou trocar mensagens antigas, precisam de outra abordagem.
• Não conte com o compartilhamento do raciocínio. O raciocínio do Sonnet 5.5 fica com a organização que fez a requisição. Um pipeline que passa o pensamento de um modelo para outro modelo pode deixar de funcionar.
• Reserve orçamento para chamadas bloqueadas. Requisições bloqueadas por salvaguardas são cobradas. Com menos de 0,1%, o custo é pequeno, mas acompanhe as chamadas bloqueadas para perceber se a taxa subir.
• Evite prompts que pareçam extração. Pedir a um modelo que repita palavra por palavra seu raciocínio anterior agora é um padrão que o classificador observa. Deixe isso fora dos prompts de produção.
• Espere mais mudanças. A Anthropic chama isso de uma disputa contínua. Acompanhe as notas de versão da empresa para ver novos limites sobre como o raciocínio pode ser lido ou reutilizado.