Rafael NazarA OpenAI afirma ter identificado e interrompido uma campanha coordenada de distilação de modelos de inteligência artificial (IA) que teria como objetivo extrair capacidades protegidas de raciocínio de seus sistemas. Segundo a empresa, parte central da atividade foi atribuída a indivíduos associados à Moonshot AI, desenvolvedora chinesa do chatbot Kimi.
A atividade teria começado no início de julho e atingido o pico entre os dias 24 e 25 daquele mês. Nesse período, a OpenAI identificou 16 mil solicitações feitas por mais de 4 mil usuários, seguindo um padrão semelhante de extração. Posteriormente, a investigação encontrou atividades relacionadas em um conjunto de mais de 15 mil usuários. A empresa afirma que interrompeu completamente a campanha em 28 de julho.
Segundo a OpenAI, os operadores não invadiram seus bancos de dados, não quebraram diretamente a criptografia usada para proteger o raciocínio dos modelos e não tiveram acesso direto às conversas armazenadas dos usuários.
O método identificado explorava a forma como os modelos processavam informações entre diferentes conversas. Os usuários copiavam dados de raciocínio criptografados de uma interação e, em uma segunda conversa, solicitavam ao modelo que descriptografasse e transcrevesse o conteúdo oculto em texto visível.
“Os operadores não quebraram nossa criptografia, comprometeram um banco de dados nem obtiveram acesso direto às conversas armazenadas dos usuários. Em vez disso, manipularam as interações com o modelo para que o raciocínio protegido pudesse ser reproduzido em formas visíveis ao solicitante, de maneira coordenada e em escala, violando nossos termos de serviço”, afirmou a OpenAI.
A empresa classificou a técnica como uma nova forma de ataque de distilação. De acordo com a companhia, ainda não está claro se toda a atividade partiu de um único operador usando milhares de contas ou se envolveu diferentes grupos. A OpenAI, contudo, afirma que um núcleo da operação pode ser associado a pessoas ligadas à Moonshot AI. A empresa não apresentou publicamente evidências técnicas detalhadas para sustentar essa atribuição.
A distilação de modelos é uma técnica legítima de treinamento. Nela, um sistema mais poderoso, chamado de “professor”, produz respostas que podem ser usadas para treinar um modelo menor, o “aluno”. O objetivo pode ser criar sistemas mais baratos e eficientes, capazes de reproduzir determinadas capacidades do modelo maior com menor necessidade de processamento.
A prática é normalmente utilizada no desenvolvimento de modelos de IA. A controvérsia surge quando empresas usam modelos proprietários de terceiros para coletar grandes volumes de respostas sem autorização e reproduzir capacidades consideradas protegidas. Nesse contexto, empresas estadunidenses de IA passaram a chamar determinadas operações de distilação ilícita.
O raciocínio intermediário dos modelos se tornou especialmente relevante nesse processo. Em vez de coletar apenas as respostas finais, uma operação de distilação pode tentar obter informações sobre como um sistema resolve problemas complexos, oferecendo ao modelo em treinamento exemplos mais detalhados de como chegar a determinada conclusão.
A acusação da OpenAI ocorre em meio a uma disputa mais ampla entre empresas chinesas e laboratórios estadunidenses de IA. Em fevereiro, a Anthropic afirmou ter identificado campanhas de distilação envolvendo três laboratórios chineses, incluindo a Moonshot.
Na ocasião, a Anthropic disse ter identificado mais de 16 milhões de interações com o Claude associadas a aproximadamente 24 mil contas fraudulentas. Segundo a empresa, a Moonshot teria sido responsável por mais de 3,4 milhões dessas interações.
Em setembro, a Anthropic voltou a acusar a Moonshot de usar seus modelos para treinamento. De acordo com um relatório da empresa, a startup teria encaminhado silenciosamente solicitações de seus próprios clientes para o Claude, fazendo com que usuários que acreditavam estar utilizando o Kimi recebessem respostas do modelo da Anthropic.
A Anthropic afirma ter identificado quase 300 mil solicitações encaminhadas ao Claude durante dez dias, principalmente para o modelo Opus, por meio de uma rede de 5.380 contas fraudulentas. A empresa também disse ter encontrado mecanismos destinados a extrair registros de raciocínio das respostas obtidas.
Ainda segundo a Anthropic, a Moonshot teria observado mais de 23 milhões de interações relacionadas a campanhas de distilação entre maio e julho de 2026. Esses números se referem às investigações da própria Anthropic e não à campanha descrita pela OpenAI.
A Moonshot nega as acusações. A empresa já havia rejeitado anteriormente a alegação de que o desempenho de seu modelo Kimi K3 fosse resultado de distilação. Segundo a Reuters, a companhia afirmou que os ganhos de desempenho vieram de mudanças próprias na arquitetura do sistema.
A discussão também chegou ao governo dos Estados Unidos. Em julho, o secretário do Tesouro, Scott Bessent, afirmou que o governo poderia aplicar sanções contra modelos chineses de pesos abertos caso fossem confirmadas evidências de distilação de modelos estadunidenses.
Na ocasião, Bessent disse que autoridades dos Estados Unidos estavam encontrando marcas associadas a grandes modelos de linguagem do país em diversos modelos chineses e classificou a situação como inaceitável. A possibilidade de sanções surgiu em meio às acusações de que empresas chinesas estariam usando modelos estadunidenses para acelerar o desenvolvimento de seus próprios sistemas.
A Reuters informou, na época, que autoridades dos Estados Unidos também avaliavam possíveis restrições contra empresas chinesas, enquanto Pequim rejeitou as acusações de apropriação indevida de tecnologia.
A OpenAI afirma que o episódio não representa uma vulnerabilidade exclusiva de seus modelos. A empresa compartilhou informações sobre a campanha com parceiros do setor por meio do Frontier Model Forum, com o objetivo de melhorar as defesas contra tentativas semelhantes.
Além de bloquear as contas envolvidas, a companhia afirma ter reforçado os controles de criação de contas e da infraestrutura, ampliado o monitoramento de redes e corrigido o mecanismo que permitia transportar dados de raciocínio criptografados de uma conversa para outra e tentar convertê-los novamente em texto legível.
A empresa espera que esse tipo de operação se torne mais sofisticado à medida que os modelos de fronteira avancem. “Esperamos que as tentativas de distilação adversarial se tornem mais sofisticadas à medida que os modelos de fronteira melhorem e os agentes busquem maneiras mais baratas de reproduzir suas capacidades. A defesa contra essa atividade exige controles em várias camadas e adaptação contínua”, afirmou a OpenAI.
