A Anthropic afirma que as alterações ao Claude reduziram acentuadamente a quantidade de raciocínio protegido que alegados destiladores de modelos conseguem extrair. Num relato de 12 de outubro sobre as suas defesas, a empresa estima que os tokens de raciocínio obtidos por destiladores na sua própria plataforma diminuíram entre 10 e 100 vezes após a introdução de um novo classificador. A medição baseia-se no tráfego e na identificação de ataques da própria Anthropic; a empresa não publicou uma avaliação independente da redução global.

A grande mudança

  • O que mudou: A Anthropic combina agora controlos sobre os locais onde um bloco de raciocínio do Claude pode ser reutilizado, um classificador que bloqueia tentativas de expor raciocínio oculto e limites para contas que persistem nas tentativas. A estimativa interna indica que chega muito menos raciocínio aos destiladores identificados através da plataforma.
  • Porque é importante: Transcrições completas do raciocínio podem ser material de treino útil para copiar o comportamento de um modelo. Restringir essa fonte aumenta o trabalho necessário para uma extração não autorizada, enquanto os programadores de API têm de manter alguns históricos de conversação e podem pagar por certos pedidos bloqueados.
  • O que acompanhar: A durabilidade da redução depende dos próximos métodos dos atacantes e do tráfego fora da plataforma direta da Anthropic. A Anthropic afirma que ainda não observou uma tentativa muito sofisticada e persistente contra as novas defesas e prevê continuar a alterá-las.

Três controlos visam diferentes vias de extração

A destilação de modelos pode treinar um sistema mais pequeno com respostas de outro mais capaz. A preocupação da Anthropic neste caso é a recolha não autorizada do raciocínio completo e oculto do Claude, que, segundo a empresa, é mais útil para quem o pretende copiar do que apenas o texto das respostas. Anteriormente, a Anthropic resumia o raciocínio antes de o mostrar aos utilizadores. Num teste de programação realizado pela empresa, um modelo treinado com transcrições completas do Claude Opus 4.8 obteve 80,4% no SWE-bench Verified, contra 71,8% com transcrições resumidas. A experiência sustenta o valor dos registos mais completos naquela configuração; não mede quanto melhorou um modelo externo específico.

O primeiro novo controlo limita a deslocação de blocos de raciocínio. A Anthropic afirma que os atacantes tentaram mover blocos entre conversas, modelos e contas para levar o Claude a revelar texto protegido. No Claude Fable 5.1 e no Opus 5.5, “preserved thinking” associa um bloco ao contexto da conversa anterior nas novas contas de API. A Anthropic também restringe os modelos que podem ler blocos de outros modelos e associa o raciocínio do Sonnet 5.5 à organização que o produziu.

A documentação atual da API do Claude torna concreta a consequência para a integração: um pedido à API que devolva um bloco de pensamento anterior tem de preservar o prompt de sistema, as ferramentas e as mensagens anteriores relevantes. Para contas criadas em 31 de agosto de 2026 ou depois, a verificação do prefixo é aplicada por predefinição. As aplicações que reescrevem o contexto anterior ou reconstroem uma conversa guardada poderão ter de alterar a forma como a reproduzem. A documentação indica que os históricos normais, aos quais apenas se acrescentam mensagens, não exigem alterações.

O segundo controlo da Anthropic é um classificador de duas etapas, treinado e testado contra tentativas de extrair raciocínio oculto. Segundo a empresa, funciona nos seus modelos mais capazes de disponibilidade geral, incluindo Sonnet 5.5, Opus 5 e 5.5, e Fable 5 e 5.1. A Anthropic indica uma taxa de falsos positivos inferior a 0,1% para estas salvaguardas. Afirma também ter corrigido técnicas como pedir o raciocínio anterior noutro idioma ou dentro de etiquetas de saída. A publicação não fornece um teste independente dessa taxa nem demonstra que todos os futuros métodos de extração serão bloqueados.

O terceiro controlo funciona ao nível da conta. A Anthropic afirma que tentativas repetidas de extração podem desencadear limites de utilização mais apertados ou suspensões. Desde 24 de setembro, também voltou a cobrar pedidos bloqueados antes de o Claude responder em categorias especificadas com baixa taxa de falsos positivos, incluindo a destilação. Assim, os utilizadores legítimos podem enfrentar tanto um bloqueio indevido como uma cobrança; a Anthropic reconhece ainda que o pensamento preservado obrigou alguns programadores a atualizar as integrações.

O que mede a redução comunicada

A Anthropic estima a quantidade de tokens de raciocínio do Claude extraída por destiladores na sua própria plataforma. Após a introdução do classificador, afirma que esse número se manteve entre 10 e 100 vezes abaixo do anterior e que o classificador deteta as técnicas descritas no relatório de setembro contra os seus modelos mais fortes de disponibilidade geral. A estimativa depende da capacidade da Anthropic para identificar tráfego de destilação e, por si só, não mede extrações através de outros fornecedores nem métodos de ataque que não tenha reconhecido.

A empresa afirma ter banido dezenas de milhares de contas associadas à destilação, muitas vezes nas duas horas seguintes ao início de uma campanha. Diz também que os destiladores encaminham tráfego através de plataformas de nuvem de terceiros e de outros fornecedores de inferência. Estas afirmações tornam relevante o limite da plataforma: a diminuição dos tokens extraídos observada pela Anthropic é evidência de uma alteração no tráfego que consegue medir, não uma contagem de todos os dados de treino não autorizados recolhidos do Claude em todo o lado.

A Anthropic afirma que ainda não observou um esforço altamente sofisticado e persistente para contornar as defesas atuais. Esta ressalva é mais importante do que uma afirmação de sucesso que pareça permanente. A empresa documentou uma redução interna substancial e uma abordagem operacional para proteger o raciocínio do modelo; os resultados futuros dependerão da adaptação dos atacantes e de outras vias de acesso detetarem o mesmo comportamento.

Fontes e leituras complementares