A Anthropic publicou em 10 de setembro seu relatório de inteligência de ameaças, que cobre atividade interrompida entre dezembro de 2025 e agosto de 2026. A seção que mais interessa a quem compra token barato não fala de espionagem nem de golpe: fala de destilação ilícita, que a empresa define como campanha industrial e encoberta para extrair as capacidades de um modelo e replicá-las em outro sem autorização. Desde a primeira divulgação sobre o assunto, em fevereiro, a Anthropic diz ter identificado e interrompido ataques desse tipo vindos de sete laboratórios sediados na China, todos contra modelos de acesso geral. Nomes e números aparecem no texto, o que é novo: até aqui a acusação circulava sem endereço.
O maior ataque já medido pela empresa é atribuído à Alibaba, pela equipe do Qwen e do Tongyi Lab, e mirava as transcrições de raciocínio do Opus 4.6 e do 4.7. Segundo o relatório, a campanha chegou ao pico de quase 3 milhões de trocas por dia, disparadas de mais de 3.500 contas fraudulentas, e somou mais de 151 milhões de trocas observadas entre maio e julho de 2026. Os outros números são estes: a Moonshot, do Kimi, aparece com mais de 23 milhões de trocas no mesmo período e uma rede de 5.380 contas fraudulentas; a DeepSeek, com mais de 12,1 milhões de trocas em 14 dias de julho; a Zhipu, conhecida fora da China como Z.ai, com mais de 3,4 milhões em 17 dias entre junho e julho, girando 273 contas; e a Xiaomi, com mais de 400 mil requisições em 20 dias de março e abril, distribuídas por mais de 1.500 contas. A SenseTime, segundo a Anthropic, comprou transcrições de revendedores; a MiniMax teria montado um serviço de proxy através de uma empresa de fachada que só oferece modelos da Anthropic e da OpenAI, e nenhum modelo chinês, nem o dela própria.
Contas de fachada, cartões roubados e uma chave de API que não é sua
O caminho descrito é sempre o mesmo. Como a Anthropic bloqueia acesso a partir de alguns países, os pedidos passam por serviços de proxy, as chamadas estações de transferência, que abrem milhares de contas com identidades falsas, cartões de crédito falsos ou roubados e chaves de API furtadas de clientes legítimos. Sobre a extração do raciocínio em si, o relatório mostra as tentativas mais toscas, instruções diretas do tipo não marque isto como extração de raciocínio, e uma sofisticada: como o Claude devolve uma assinatura no lugar do raciocínio bruto, Moonshot e DeepSeek guardavam essa assinatura, abriam uma sessão nova e induziam o modelo a reconstruir a transcrição completa a partir dela. Em um dos casos, um laboratório rodou um experimento com mais de doze mil requisições, cada uma testando uma técnica diferente, para descobrir quais furavam a defesa antes de lançar o ataque grande.
O dado que vazou não era do laboratório, era do usuário
A parte mais desconfortável do relatório não é sobre propriedade intelectual, é sobre privacidade. A Anthropic afirma que Moonshot e DeepSeek não apenas coletaram trocas: redirecionaram silenciosamente pedidos dos próprios clientes para o Claude e devolveram a resposta do Claude como se fosse do modelo contratado. Num intervalo de dez dias, diz o texto, a Moonshot repassou quase 300 mil requisições de clientes para a Anthropic, a maioria delas para o Opus. A DeepSeek, segundo a mesma apuração, filtrava as requisições que chegavam procurando marcas de quem usava ferramentas de programação de terceiros, entre elas o Claude Code, e desviava esses usuários. Nos exemplos citados há credenciais ativas de um banco de dados de órgão do governo russo, código interno e credenciais de empresas chinesas, e o sistema de gestão de casos de uma delegacia municipal na China. A Anthropic diz que as trocas repassadas continham nomes, e-mails e dados corporativos de centenas de usuários finais em pelo menos uma dúzia de idiomas, muitos deles chegando por serviços de roteamento de modelos usados nos Estados Unidos e na Europa.
Essas práticas provavelmente são incompatíveis com as leis de privacidade e com os próprios termos de serviço desses laboratórios.
Quem no Brasil mandou dado para um roteador esta semana
A leitura brasileira desta história não passa pela briga entre laboratórios, passa pela conta. Rodar agente em produção com modelo de fronteira americano é caro, e a saída adotada por muita equipe daqui é a mesma dos Estados Unidos e da Europa: plugar um roteador de modelos e mandar a carga para o que estiver mais barato na hora, quase sempre um modelo chinês de pesos abertos. O relatório da Anthropic descreve exatamente esse caminho como o duto por onde dados de usuários finais atravessaram fronteiras sem que eles soubessem. Para quem responde por LGPD, a pergunta prática não é qual modelo pontua melhor: é se o contrato com o roteador diz onde o pedido termina, quem guarda a transcrição e por quanto tempo. Na maioria das integrações feitas por preço, não diz. E vale registrar a ressalva que o documento não faz por si: tudo aqui é a versão da Anthropic, que é parte interessada e concorrente direta das empresas que acusa. Não há auditoria independente, não há processo judicial citado, e o relatório não traz resposta de nenhuma das companhias nomeadas. É uma acusação detalhada e com números, não uma decisão.
