Um modelo pode recusar um pedido suspeito e ainda assim perder a disputa se o atacante repetir a tentativa por milhares de contas. A Anthropic detalhou em 12 de outubro como passou a tratar a destilação ilícita como um problema de sistema, e não apenas como uma sequência de prompts ruins.

A empresa estima que suas novas defesas reduziram entre 90% e 99% a quantidade de tokens de raciocínio extraída por operadores que tentam replicar capacidades do Claude sem autorização. O dado vem de medições internas na própria plataforma. Não é um benchmark independente, e a Anthropic reconhece que ainda não observou uma tentativa altamente sofisticada e persistente contra o conjunto completo de controles.

Essa ressalva importa. O resultado descreve a visibilidade da empresa sobre o tráfego que ela identifica como destilação, não uma prova de que toda extração foi eliminada. A contribuição técnica está menos na promessa de bloqueio total e mais na combinação de fronteiras de contexto, detecção de conteúdo e análise de comportamento.

Três camadas para o mesmo ataque

Destiladores procuram gerar milhões de respostas de um modelo mais capaz e usá-las para treinar outro. Transcrições de raciocínio são especialmente valiosas porque carregam etapas intermediárias, não apenas a resposta final. Resumir esse raciocínio ajudou no início: em um teste da Anthropic no SWE-bench Verified, um modelo treinado com transcrições completas marcou 80,4%, contra 71,8% usando versões resumidas.

Mas os atacantes passaram a pedir que o Claude reconstruísse o conteúdo oculto, mover blocos entre conversas e modelos e distribuir o tráfego por redes de contas. A resposta atual reúne três controles:

  • Limites de contexto: o recurso chamado preserved thinking impede novas contas de API de editar o contexto anterior de modelos selecionados; no Claude Sonnet 5.5, a transcrição fica vinculada à organização que fez a solicitação.
  • Classificação em duas etapas: um sistema inspirado nos classificadores constitucionais analisa tentativas de extração. A Anthropic afirma que ele detecta todas as técnicas descritas em seu relatório de setembro e mantém falsos positivos abaixo de 0,1%.
  • Resposta ao comportamento repetido: limites mais rígidos, cobrança por solicitações bloqueadas em cenários de baixa taxa de falso positivo e banimento de contas aumentam o custo de insistir.

Segundo a empresa, dezenas de milhares de contas associadas à destilação foram banidas, muitas em menos de duas horas após o início de uma campanha. Depois da implantação do classificador, o volume estimado de raciocínio exposto caiu de dez a mais de cem vezes.

A unidade de defesa deixou de ser apenas o prompt. Ela inclui a transcrição, a organização, a rede de contas e a economia do ataque.

A defesa também cobra dos usuários legítimos

O sistema não veio sem atrito. Alguns desenvolvedores precisaram ajustar integrações porque já não podem modificar contextos anteriores da mesma maneira. Pedidos benignos podem ser bloqueados, ainda que a taxa informada fique abaixo de 0,1%, e a Anthropic voltou a cobrar certas solicitações barradas antes de o modelo responder.

Para uma plataforma, uma taxa pequena pode representar muitos casos quando o volume é alto. Por isso, o número de falsos positivos precisa vir acompanhado de processo de contestação, observabilidade e tempo de recuperação. A empresa não publicou, neste anúncio, a distribuição desses erros por tipo de carga de trabalho nem uma avaliação externa do classificador.

A campanha coordenada relatada pela OpenAI mostrou como artefatos de raciocínio podem atravessar contas, sessões e modelos. O novo relato da Anthropic cobre o outro lado: como reduzir essa superfície sem depender de uma regra única. As duas histórias apontam para a mesma mudança de arquitetura. Proteger o modelo exige controles consistentes também nos provedores parceiros, porque o tráfego pode migrar para onde a observação é mais fraca.

Para líderes técnicos, o critério prático não é perguntar se há um “filtro antidestilação”. Vale pedir métricas separadas para tentativas detectadas, dados efetivamente expostos, falsos positivos, tempo de contenção e cobertura entre canais de inferência. Ataques distribuídos prosperam nas diferenças entre esses números. Uma defesa madura começa quando a equipe mede cada um deles sem confundi-los.

Fontes: relato técnico da Anthropic sobre as novas defesas, documentação de preserved thinking e pesquisa sobre classificadores constitucionais.