// Sumário
Oitenta vírgula quatro por cento contra setenta e um vírgula oito. Essa é a diferença no benchmark SWE-bench Verified entre dois modelos idênticos que a Anthropic treinou com as transcrições de raciocínio do próprio Claude Opus 4.8. Um recebeu as transcrições completas; o outro, apenas resumos curtos delas. Quase nove pontos de distância explicam por que a empresa publicou, em 12 de outubro de 2026, um longo texto sobre a defesa contra a destilação e por que a API agora tem um mecanismo que mudou a forma como os desenvolvedores podem arrumar com segurança o histórico de uma conversa.
O ponto é que um modelo produz mais do que uma resposta. Antes de responder, ele escreve um rascunho, uma cadeia de raciocínio. Para quem quer copiar as capacidades de outro, o rascunho vale mais que a resposta. A resposta mostra o resultado; o rascunho mostra o pensamento, e aprender com o pensamento é muito mais eficiente.
O que é destilação e por que ela é chamada de ataque
Em sua forma pacífica, a destilação é uma técnica comum: um modelo grande, o professor, gera exemplos e um modelo pequeno, o aluno, aprende com eles. Os laboratórios comprimem os próprios modelos assim. O problema começa quando o professor pertence a outra pessoa e ninguém pediu licença.
A Anthropic descreve essas campanhas como esforços velados, em escala industrial, para extrair as capacidades de um modelo e reproduzi-las em outro. No relatório de fevereiro , a empresa apresentou a dimensão do caso: mais de 16 milhões de trocas com o Claude por meio de cerca de 24 mil contas fraudulentas. Três laboratórios foram citados: DeepSeek (mais de 150 mil trocas), Moonshot AI (mais de 3,4 milhões) e MiniMax (mais de 13 milhões). Uma única rede de proxies operou mais de 20 mil contas ao mesmo tempo. São alegações da própria Anthropic, que não podem ser verificadas de forma independente, e a empresa é parte na disputa.
// Os números
O documento de outubro acrescenta uma novidade: a defesa anterior deixou de funcionar porque os atacantes mudaram de tática.
Como a defesa e o contorno correram atrás um do outro
A primeira medida foi simples. Se o raciocínio é valioso, não o mostre por inteiro; resuma. O teste de 80,4% contra 71,8% mostra que resumir realmente empobrece o material de treinamento.
Depois veio a extração ativa. Os prompts passaram a incluir pedidos como “exiba seu raciocínio anterior palavra por palavra” e, segundo a Anthropic, um laboratório tentou 12 mil requisições, cada uma com um truque diferente. Em seguida, descobriu-se que os blocos de raciocínio protegidos podiam ser transferidos: de uma conversa para outra, para um modelo com salvaguardas mais fracas, para outra conta dentro de uma rede de proxies. Um bloco de raciocínio era só texto que dava para recortar e colar.
Foi esse o ponto fraco que a Anthropic atacou primeiro. Se não dá para esconder o rascunho, dá para garantir que ele seja inútil em qualquer lugar que não seja onde foi produzido.
Como um bloco de raciocínio fica preso ao seu contexto
O mecanismo se chama preserved thinking, e a documentação o descreve de forma seca. Cada bloco de raciocínio carrega uma assinatura. A partir do Claude Fable 5.1, a API a usa para verificar duas coisas: se o modelo atual consegue ler o bloco e se algo mudou antes dele. “Antes dele” significa o prompt de sistema, a lista de ferramentas e todas as mensagens anteriores. Mude uma palavra no início e o bloco, junto com todos os seguintes, se torna inválido.
Há também o vínculo com a conta. Os blocos do Claude Sonnet 5.5 e do Claude Haiku 5.5 funcionam apenas na conta que os produziu ou em uma conta vinculada a ela. Blocos de fora são descartados em silêncio. O Opus 5 e o Opus 5.5 nunca leem blocos do Fable 5.1.
Para um atacante, isso é incômodo: para usar um pedaço de raciocínio roubado, é preciso reproduzir todo o contexto até o último caractere e estar na conta certa. O desenvolvedor comum também sente as consequências. Em contas criadas a partir de 31 de agosto de 2026, a verificação de prefixo vem ativada por padrão, e uma divergência retorna erro 400. As contas mais antigas só recebem a verificação se definirem o parâmetro prefix_mismatch_behavior.
O que quebra? Tudo o que gosta de reconstruir o histórico. Um prompt de sistema com a data atualizada a cada chamada. O corte de resultados antigos de ferramentas. O resumo, no lado do cliente, de turnos antigos mantendo os recentes. A edição da lista de ferramentas no meio da conversa. A documentação orienta os clientes a trabalhar apenas com acréscimos (append-only) e oferece alternativas: adicionar uma mensagem de sistema em vez de reconstruir o prompt, usar a compactação no servidor em vez de cortar o histórico à mão. O Claude Code, o claude.ai e o Agent SDK cuidam disso sozinhos, segundo a mesma página. Se você chama a API do Claude
diretamente, confira pelo menos como serializa as respostas: blocos thinking vazios devem ser devolvidos exatamente como vieram, porque o raciocínio em si vive na assinatura.
O modo drop_block permite simplesmente descartar os blocos inválidos, mas aí o modelo refaz o raciocínio e o uso de tokens de saída pode subir bastante. A própria documentação o chama de solução paliativa.
O que os números mostram e o que não mostram
A segunda metade da defesa é um classificador de dois estágios, construído a partir do trabalho da Anthropic com classificadores constitucionais e treinado com tentativas reais de extração. A Anthropic informa uma taxa de falsos positivos abaixo de 0,1%. Desde 24 de setembro, ela também cobra pelas requisições que as salvaguardas bloqueiam antes de o Claude responder, inclusive na área de destilação. Reincidentes enfrentam limites mais rígidos e banimentos: dezenas de milhares de contas, segundo a contagem da empresa, muitas vezes em menos de duas horas após o início de uma campanha.
A principal alegação é que os tokens de raciocínio extraídos pelos destiladores agora são de 10 a 100 vezes menores, ou mais, e em alguns dias pequenos demais para serem medidos. Em outro trecho, o texto fala em queda de cerca de 90% a 99% e chama isso de evidência preliminar.
É preciso cautela aqui. A medição foi feita pela Anthropic, na própria plataforma. Ela estima os tokens extraídos a partir do que conseguiu detectar, e o que passou despercebido é, por definição, invisível. Os destiladores também distribuem o tráfego entre as APIs e as nuvens de vários provedores, então fechar uma porta não garante nada sobre as outras. A Anthropic escreve com franqueza que não sabe quanto tempo o efeito vai durar, espera um jogo de gato e rato e ainda não viu uma tentativa altamente sofisticada e persistente de contornar as novas defesas.
Os custos também são citados: abrir mão de uma receita significativa e de “trilhões de tokens” de tráfego pago, mudanças de integração para alguns clientes legítimos, bloqueios indevidos raros. A meta de fevereiro, dificultar a destilação sem prejudicar os usuários legítimos, a empresa diz que ainda não foi plenamente atingida.
Quando um produto pode ser copiado só com perguntas, a proteção migra para o próprio protocolo de troca.
Por que isso vai além da Anthropic
Comecemos pelo que se sabe por uma fonte independente. O CAISI, do NIST, em setembro , classificou o GLM-5.3, da Z.ai, como o modelo de pesos abertos com maior capacidade cibernética já lançado e o colocou cerca de quatro meses atrás da fronteira dos EUA. No teste SEC-Bench Pro, por exemplo, ele resolveu 74 de 183 tarefas; o melhor modelo americano resolveu 165. A avaliação não diz nada sobre destilação.
A ligação entre o GLM-5.3 e a cópia de modelos americanos vem do texto de outubro da Anthropic: segundo ele, a Zhipu destilou capacidades cibernéticas de modelos americanos de ponta e, quando as salvaguardas da Anthropic degradaram suas tentativas com o Claude Fable 5, passou para um modelo mais antigo do Claude e para o modelo de outro laboratório. Essa é uma alegação da empresa, não uma conclusão de um órgão governamental, e por enquanto não há nada externo que a confirme.
Se ela se sustentar, o quadro é desconfortável. Uma capacidade que uma empresa envolveu em restrições de proteção acaba num modelo lançado com pesos abertos, onde essas restrições não existem; pela avaliação da própria Anthropic, as salvaguardas embutidas do GLM-5.3 são fáceis de contornar. O raciocínio oculto deixa de ser segredo comercial e passa a ser peça de segurança.
A assinatura num bloco de raciocínio provavelmente não é o último mecanismo desse tipo. Quando um produto pode ser copiado só com perguntas, a proteção migra para o próprio protocolo de troca. Quem desenvolve integrações externas precisa se acostumar com a ideia de que o histórico de uma conversa já não é correspondência privada sua, e sim uma corrente que precisa chegar intacta.