A Anthropic publicou a 12 de outubro de 2026 um texto de investigação sobre novas defesas contra ataques de destilação no Claude. Estes ataques são campanhas à escala industrial que recolhem saídas do modelo, sobretudo transcrições de raciocínio oculto, para treinar sistemas rivais sem autorização. A empresa diz que a evidência inicial aponta para uma redução de cerca de 90 a 99 por cento nos dados obtidos pelos destiladores.
O texto apresenta a destilação ilícita como problema de segurança e de segurança nacional. A Anthropic argumenta que modelos destilados podem aproximar-se da fronteira de capacidades sem salvaguardas proporcionais, e cita casos ligados a laboratórios chineses. Afirma que a Zhipu destilou capacidades cibernéticas de modelos norte-americanos durante o desenvolvimento do GLM-5.3, incluindo tentativas sobre o Claude Fable 5 antes de mudar de alvo. Também refere tráfego de destilação associado à Moonshot em que pedidos ao Claude terão sido reencaminhados a partir do Kimi, incluindo um pedido ligado a análise de videovigilância de uma pessoa concreta.
Defesas anteriores resumiam o raciocínio do Claude antes de o mostrar aos utilizadores. Segundo a Anthropic, um modelo treinado com transcrições completas do Claude Opus 4.8 obteve 80,4 por cento no SWE-bench Verified, contra 71,8 por cento só com raciocínio resumido. Os atacantes passaram então à extração ativa, pedindo a reprodução literal do raciocínio anterior e testando milhares de pedidos adversarial.
A nova abordagem tem três eixos. O preserved thinking no Claude Fable 5.1 e no Claude Opus 5.5 impede contas de API novas (criadas em ou após 31 de agosto de 2026) de editar o contexto anterior, e modelos posteriores limitam a reutilização do raciocínio entre modelos e contas. No Claude Sonnet 5.5, as transcrições ficam acessíveis apenas à organização que as gerou. Um classificador em duas fases, no espírito dos constitutional classifiers, visa tentativas de extração no Sonnet 5.5, Opus 5 e 5.5, e Fable 5 e 5.1, com taxa de falsos positivos declarada abaixo de 0,1 por cento. Tentativas repetidas levam a limites mais rígidos e banimentos; desde 24 de setembro, a Anthropic voltou a cobrar pedidos bloqueados por estas salvaguardas antes da resposta do Claude.
Após o classificador, a Anthropic diz que os tokens de raciocínio extraídos na sua plataforma caíram por um fator de 10 a 100, por vezes para valores demasiado baixos para medir, e que dezenas de milhares de contas foram banidas, muitas vezes em menos de duas horas. A cobertura da Reuters no dia seguinte reitera as mesmas magnitudes e a comparação com as recusas em biologia de risco.
A empresa admite custos: receita e biliões de tokens de tráfego pago recusados, atualizações de integração impostas pelo preserved thinking, e raros bloqueios indevidos. Espera um jogo de gato e rato e ainda não viu uma contornagem sofisticada e persistente do novo conjunto. Conclui que outros laboratórios e plataformas de inferência têm de cooperar, porque o tráfego abusivo já atravessa a API da Anthropic, a cloud e outros fornecedores.