Michael JohnsonEm 12 de outubro, a Anthropic descreveu um novo conjunto de medidas contra a destilação não autorizada de modelos Claude. Segundo a estimativa da empresa, após a implementação de classificadores, a quantidade de tokens de raciocínio extraídos por agentes mal-intencionados em sua plataforma caiu de 10 a 100 vezes. Trata-se de uma estimativa do fluxo interno da Anthropic, não de uma medição geral da destilação em todo o setor.
Destilação é um método de treinamento no qual um modelo aprende com as respostas de outro. As novas restrições da Anthropic visam situações em que redes de contas tentam extrair registros protegidos de raciocínio para treinar outros modelos. A empresa também descreve serviços de proxy que distribuem solicitações entre contas, modelos e provedores de infraestrutura.
Três camadas de proteção
A primeira camada limita a transferência de blocos protegidos de raciocínio entre conversas, contas e modelos. Para Claude Fable 5.1 e Opus 5.5, a Anthropic introduziu o modo preserved thinking: novas contas de API criadas em 31 de agosto de 2026 ou depois não podem editar o contexto anterior do modelo. No Sonnet 5.5, os registros de raciocínio ficam disponíveis apenas para a organização que fez a solicitação que os gerou.
A segunda camada usa classificadores em duas etapas para detectar tentativas de extrair raciocínios ocultos. A Anthropic informa que testou o sistema em avaliações internas e externas de red team, e que a taxa de falsos positivos é inferior a 0,1%. A empresa aplica os classificadores aos modelos públicos mais avançados, listados na descrição das novas proteções.
A terceira camada dificulta novas tentativas: contas com indícios persistentes de extração recebem limites mais rigorosos ou são bloqueadas. A Anthropic afirma ter bloqueado dezenas de milhares de contas associadas à destilação; segundo a empresa, muitas foram detectadas menos de duas horas após o início da campanha.
O que a redução anunciada mede
A estimativa de 10 a 100 vezes compara a quantidade de tokens de raciocínio do Claude que a Anthropic considera extraídos em sua própria plataforma antes e depois da implementação dos novos classificadores. Essa métrica descreve o fluxo observado pela empresa, não a qualidade de modelos de terceiros nem o volume de destilação em todo o setor. A Anthropic afirma que os classificadores detectam, nos modelos listados, todas as técnicas de extração descritas em seu relatório de setembro.
A empresa também apresenta um teste com o SWE-bench Verified. Um modelo pré-treinado e ajustado com transcrições completas do Claude Opus 4.8 obteve 80,4%; um modelo treinado com transcrições reduzidas obteve 71,8%. Nesse experimento, os registros reduzidos foram menos úteis para o modelo resolver tarefas do SWE-bench Verified. A Anthropic não apresenta esses resultados como uma avaliação da eficácia de todo o novo conjunto de proteções.
Consequências para desenvolvedores
As proteções alteram integrações e cálculos de API. A Anthropic observa que o modo preserved thinking exigiu atualizações de parte dos desenvolvedores, que os classificadores podem bloquear por engano solicitações inofensivas em menos de 0,1% dos casos e que, desde 24 de setembro, a empresa cobra por solicitações interrompidas pelas proteções nas categorias em que a taxa declarada de falsos positivos é inferior a 0,1%.
As equipes que transferem contexto entre chamadas devem verificar a compatibilidade de sua lógica com os blocos protegidos de raciocínio e testar o tratamento de recusas e a cobrança em cenários habituais. A Anthropic recomenda que os provedores de plataformas de API monitorem abusos por intermediários e infraestrutura de terceiros e desativem redes de contas confirmadas.
A Anthropic espera que os atacantes se adaptem e informa que continua atualizando os classificadores. Para os desenvolvedores, a tarefa prática já está clara: levar em conta as restrições à transferência de contexto e verificar como a integração lida com bloqueios e cobranças.