Ataques de destilação: o que modelos de IA copiados significam para você

“Destilação” costumava ser uma palavra educada no machine learning. Descrevia o treinamento de um modelo pequeno para imitar um grande, uma técnica padrão e útil. Em setembro e outubro de 2026, ela virou uma pauta de segurança e de comércio. Se você compra ou constrói IA para marketing, deve entender os dois sentidos.

O que aconteceu

No início de setembro, CISA, NSA e FBI publicaram um alerta conjunto sobre o que descrevem como destilação de conhecimento em escala industrial por empresas de IA sediadas na China. Segundo a reportagem da Help Net Security sobre o alerta, as agências citaram DeepSeek, Moonshot AI, Alibaba Group, MiniMax, StepFun e Z.AI e afirmaram que elas extraíram bilhões de tokens por meio de milhões de requisições a modelos de fronteira dos EUA desde pelo menos o fim de 2024. O alerta lista sinais de detecção, como uso ininterrupto sem tempo ocioso humano e grupos de contas agindo de forma coordenada, e recomenda verificações de identidade mais fortes, monitoramento e compartilhamento de informações entre provedores de IA. A reportagem observa que não incluiu manifestação das empresas citadas.

Em 12 de outubro, a Anthropic descreveu sua própria resposta. Em Strengthening our defenses against distillation attacks, afirmou que evidências preliminares sugerem que seus métodos reduziram em cerca de 90% a 99% os dados coletados por destiladores. As medidas incluem impedir que contas de API mais novas editem o raciocínio anterior do Claude, um classificador em duas etapas treinado com tentativas de extração e com taxa de falsos positivos abaixo de 0,1%, limites mais rígidos e banimentos para tentativas repetidas, e a cobrança por requisições bloqueadas por suas salvaguardas. A Anthropic diz ter banido dezenas de milhares de contas ligadas à destilação e espera um contínuo “jogo de gato e rato”.

Por que isso importa

Há dois motivos para um profissional de marketing se importar com uma briga entre laboratórios de IA.

O primeiro é o risco na cadeia de suprimentos. Se um modelo foi construído copiando o comportamento de outro modelo sem permissão, você não sabe quais salvaguardas vieram junto. O post da Anthropic argumenta que modelos destilados podem se aproximar da capacidade de fronteira enquanto são lançados com proteções mais fracas. Quando você escolhe um modelo para rodar seu atendimento ao cliente ou gerar anúncios, a procedência faz parte da qualidade.

O segundo é o atrito para usuários legítimos. Defesas têm custos. A Anthropic reconhece que alguns desenvolvedores precisaram atualizar integrações, que uma pequena parcela de requisições benignas pode ser bloqueada e que requisições bloqueadas agora podem ser cobradas. Se o seu stack de marketing faz muitas chamadas automatizadas a uma API de fronteira, parte desse tráfego pode parecer uma campanha de extração. Leia as políticas dos seus provedores agora, não depois que seu pipeline quebrar.

O que minha pesquisa diz

A destilação não é a vilã aqui. Feita de forma legítima, é como tornamos a IA acessível. Um modelo grande ensina um pequeno; o pequeno roda barato em escala. Argumentei na Forbes que, no marketing, a técnica importa mais do que o tamanho do modelo, e a destilação é uma dessas técnicas.

O que muda o quadro é consentimento e transparência. Meu trabalho em IA explicável parte de um princípio simples: um profissional de marketing deve poder ver por que um sistema recomenda algo. Em Against Opacity (ACM Multimedia 2023), combinamos a previsão de taxa de cliques com um assistente baseado em LLM que explica os fatores determinantes. Em SOMONITOR (um preprint de 2024), descrevemos a combinação de modelos de desempenho explicáveis com LLMs para análise de concorrentes. Explicações só significam algo se você sabe o que é o modelo e de onde ele veio.

Há também uma ironia que vale notar. A defesa que a Anthropic descreve, resumir ou restringir o acesso ao raciocínio completo do modelo, torna os sistemas um pouco menos transparentes para todos, porque o raciocínio é o que os copiadores querem. Esse trade-off vai moldar quanto de explicação os fornecedores de IA estarão dispostos a expor. Os compradores devem pedir explicações pensadas para eles, sobre seus dados e suas decisões, em vez de rastros brutos de raciocínio.

O que quem compra IA para marketing deve fazer agora

• Pergunte a cada fornecedor quais modelos estão por trás do produto e de onde esses modelos vêm.
• Verifique os termos das APIs que você chama. O uso automatizado e de alto volume é normal no marketing; garanta que o seu seja claramente legítimo, identificado e dentro dos limites.
• Planeje uma troca de modelo. Políticas, preços e acesso podem mudar rapidamente. Mantenha prompts, procedimentos e conjuntos de avaliação portáteis.
• Destile seus próprios modelos de forma legítima. Se você precisa de um modelo barato para uma tarefa restrita, treine-o com seus próprios dados ou com saídas que você tem licença para usar.
• Prefira explicações de decisões à exposição de mecanismos internos. O que você precisa auditar é por que uma recomendação foi feita para a sua campanha.

A briga da destilação é sobre quem pode copiar quem. Para o marketing, é um lembrete de que “qual modelo?” agora é uma questão de governança, e não apenas técnica.

Perguntas frequentes