A OpenAI publicou em 30 de setembro um relato em que diz ter identificado e interrompido uma campanha coordenada para extrair o raciocínio protegido de seus modelos. Raciocínio protegido, na definição da própria empresa, é o registro interno do modelo enquanto resolve uma tarefa: o que ele escreve para si antes de responder, e que o usuário não vê. Segundo o texto, a atividade começou em 1º de julho em volume baixo e teve pico nos dias 24 e 25 do mesmo mês, com 16 mil requisições vindas de mais de 4 mil usuários seguindo um mesmo padrão de extração. A investigação posterior encontrou atividade relacionada num conjunto de mais de 15 mil usuários, e a OpenAI afirma ter interrompido tudo em 28 de julho. Um núcleo da campanha é atribuído a pessoas associadas à Moonshot AI, desenvolvedora do Kimi, com a ressalva de que não está claro se todos os operadores observados partiram de uma única origem.
A nota de rodapé do próprio comunicado registra o que o número grande esconde: os 16 mil são tentativas de extração, não extrações bem-sucedidas. E o método descrito não envolve invasão nenhuma. Os operadores copiavam o raciocínio criptografado de uma conversa e, numa segunda conversa, pediam ao modelo que descriptografasse e transcrevesse aquele conteúdo em texto visível. A OpenAI é explícita sobre o que não aconteceu:
Os operadores não quebraram nossa criptografia, comprometeram um banco de dados nem obtiveram acesso direto às conversas armazenadas dos usuários. Em vez disso, manipularam as interações com o modelo para que o raciocínio protegido pudesse ser reproduzido em formas visíveis ao solicitante, de maneira coordenada e em escala, violando nossos termos de serviço.
A API da OpenAI foi fechada. A da Azure, semanas depois
A OpenAI credita a pesquisadores independentes a identificação de caminhos de ataque relacionados, feita por divulgação responsável, e diz que o trabalho deles acelerou as correções. O que a empresa não conta é o que esses mesmos pesquisadores publicaram no mesmo dia. Segundo o relato do The Decoder, o grupo de Joachim Schaeffer refez o teste em 13 de setembro: na API da própria OpenAI e na da própria Anthropic o ataque estava bloqueado, mas na Microsoft Azure ele funcionou contra todos os modelos da OpenAI testados, inclusive o GPT-6 Astra recém-lançado, e contra modelos da Anthropic até o Sonnet 5. Uma única tentativa bastava para tirar o raciocínio palavra por palavra. Pela linha do tempo dos pesquisadores, a OpenAI só colocou proteção no endpoint da Azure em 27 de setembro, e a extração deixou de se reproduzir nos modelos da Anthropic hospedados lá a partir de 28 de setembro. Há ainda um segundo caminho, mais simples, demonstrado publicamente pelo desenvolvedor Can Bölük: entregar ao modelo um bloco de notas como ferramenta e mandar que escreva ali o raciocínio. Isso funcionou em todos os modelos da OpenAI testados e também no Opus 4.8 e no Sonnet 5. Opus 5, Fable 5 e Fable 5.1 não entregaram.
Quem compra modelo pela nuvem herda o calendário da nuvem
Para quem contrata modelo de fronteira no Brasil, o que importa aqui não é a disputa de atribuição, é a frase que os pesquisadores usaram para resumir o achado: mesmos modelos, proteções diferentes conforme a plataforma que os serve. Boa parte das empresas daqui não assina contrato direto com a OpenAI nem com a Anthropic. Compra pela nuvem, porque já existe contrato guarda-chuva, porque o crédito está comprometido ali e porque a nota fiscal sai mais simples. A consequência prática é que o calendário de correção que vale para o seu sistema é o da revendedora, não o do laboratório que anunciou a correção, e neste caso a diferença foi de semanas. É uma pergunta de renovação de contrato, não de arquitetura: quando o fornecedor do modelo anuncia uma proteção, em quantos dias ela chega ao endpoint que a minha aplicação chama. Ficam duas ressalvas que o comunicado não faz. A atribuição é da OpenAI, parte interessada, e a empresa não apresentou publicamente evidência técnica detalhada que a sustente, como registrou o Olhar Digital. E a Moonshot já havia rejeitado antes a alegação de que o desempenho do seu modelo Kimi K3 viesse de destilação, atribuindo os ganhos a mudanças próprias de arquitetura.
