Edição Markdown

AI-translated from English; not yet reviewed by a fluent editor.

# Anthropic afirma que novas defesas do Claude reduzem em 90% a 99% a extração de raciocínio

> A Anthropic refere que alegados destiladores extraem entre 90% e 99% menos raciocínio do Claude na sua plataforma. As defesas também alteram a integração com a API e a faturação de pedidos bloqueados.

By BIG CHANGE Editorial

Published: 2026-10-13T08:42:18.603Z
Updated: 2026-10-13T08:42:18.603Z
Canonical: https://bigchange.ai/blog/anthropic-claude-distillation-defenses-reasoning

![Conceptual charcoal illustration of an unbranded desktop monitor seen from the side with a dark privacy filter attached over its blank screen.](https://bigchange.ai/api/media/file/anthropic-preserved-reasoning-hero-v1.png)
AI-generated conceptual illustration by BIG CHANGE. No Anthropic device, software interface, attack or test result is depicted.

A Anthropic afirma que as alterações ao Claude reduziram acentuadamente a quantidade de raciocínio protegido que alegados destiladores de modelos conseguem extrair. Num [relato de 12 de outubro sobre as suas defesas](https://www.anthropic.com/research/distillation-defenses), a empresa estima que os tokens de raciocínio obtidos por destiladores na sua própria plataforma diminuíram entre 10 e 100 vezes após a introdução de um novo classificador. A medição baseia-se no tráfego e na identificação de ataques da própria Anthropic; a empresa não publicou uma avaliação independente da redução global.

## A grande mudança

- **O que mudou:** A Anthropic combina agora controlos sobre os locais onde um bloco de raciocínio do Claude pode ser reutilizado, um classificador que bloqueia tentativas de expor raciocínio oculto e limites para contas que persistem nas tentativas. A estimativa interna indica que chega muito menos raciocínio aos destiladores identificados através da plataforma.
- **Porque é importante:** Transcrições completas do raciocínio podem ser material de treino útil para copiar o comportamento de um modelo. Restringir essa fonte aumenta o trabalho necessário para uma extração não autorizada, enquanto os programadores de API têm de manter alguns históricos de conversação e podem pagar por certos pedidos bloqueados.
- **O que acompanhar:** A durabilidade da redução depende dos próximos métodos dos atacantes e do tráfego fora da plataforma direta da Anthropic. A Anthropic afirma que ainda não observou uma tentativa muito sofisticada e persistente contra as novas defesas e prevê continuar a alterá-las.

## Três controlos visam diferentes vias de extração

A destilação de modelos pode treinar um sistema mais pequeno com respostas de outro mais capaz. A preocupação da Anthropic neste caso é a recolha não autorizada do raciocínio completo e oculto do Claude, que, segundo a empresa, é mais útil para quem o pretende copiar do que apenas o texto das respostas. Anteriormente, a Anthropic resumia o raciocínio antes de o mostrar aos utilizadores. Num teste de programação realizado pela empresa, um modelo treinado com transcrições completas do Claude Opus 4.8 obteve 80,4% no SWE-bench Verified, contra 71,8% com transcrições resumidas. A experiência sustenta o valor dos registos mais completos naquela configuração; não mede quanto melhorou um modelo externo específico.

O primeiro novo controlo limita a deslocação de blocos de raciocínio. A Anthropic afirma que os atacantes tentaram mover blocos entre conversas, modelos e contas para levar o Claude a revelar texto protegido. No Claude Fable 5.1 e no Opus 5.5, “preserved thinking” associa um bloco ao contexto da conversa anterior nas novas contas de API. A Anthropic também restringe os modelos que podem ler blocos de outros modelos e associa o raciocínio do Sonnet 5.5 à organização que o produziu.

A [documentação atual da API do Claude](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking) torna concreta a consequência para a integração: um pedido à API que devolva um bloco de pensamento anterior tem de preservar o prompt de sistema, as ferramentas e as mensagens anteriores relevantes. Para contas criadas em 31 de agosto de 2026 ou depois, a verificação do prefixo é aplicada por predefinição. As aplicações que reescrevem o contexto anterior ou reconstroem uma conversa guardada poderão ter de alterar a forma como a reproduzem. A documentação indica que os históricos normais, aos quais apenas se acrescentam mensagens, não exigem alterações.

O segundo controlo da Anthropic é um classificador de duas etapas, treinado e testado contra tentativas de extrair raciocínio oculto. Segundo a empresa, funciona nos seus modelos mais capazes de disponibilidade geral, incluindo Sonnet 5.5, Opus 5 e 5.5, e Fable 5 e 5.1. A Anthropic indica uma taxa de falsos positivos inferior a 0,1% para estas salvaguardas. Afirma também ter corrigido técnicas como pedir o raciocínio anterior noutro idioma ou dentro de etiquetas de saída. A publicação não fornece um teste independente dessa taxa nem demonstra que todos os futuros métodos de extração serão bloqueados.

O terceiro controlo funciona ao nível da conta. A Anthropic afirma que tentativas repetidas de extração podem desencadear limites de utilização mais apertados ou suspensões. Desde 24 de setembro, também voltou a cobrar pedidos bloqueados antes de o Claude responder em categorias especificadas com baixa taxa de falsos positivos, incluindo a destilação. Assim, os utilizadores legítimos podem enfrentar tanto um bloqueio indevido como uma cobrança; a Anthropic reconhece ainda que o pensamento preservado obrigou alguns programadores a atualizar as integrações.

## O que mede a redução comunicada

A Anthropic estima a quantidade de tokens de raciocínio do Claude extraída por destiladores **na sua própria plataforma**. Após a introdução do classificador, afirma que esse número se manteve entre 10 e 100 vezes abaixo do anterior e que o classificador deteta as técnicas descritas no relatório de setembro contra os seus modelos mais fortes de disponibilidade geral. A estimativa depende da capacidade da Anthropic para identificar tráfego de destilação e, por si só, não mede extrações através de outros fornecedores nem métodos de ataque que não tenha reconhecido.

A empresa afirma ter banido dezenas de milhares de contas associadas à destilação, muitas vezes nas duas horas seguintes ao início de uma campanha. Diz também que os destiladores encaminham tráfego através de plataformas de nuvem de terceiros e de outros fornecedores de inferência. Estas afirmações tornam relevante o limite da plataforma: a diminuição dos tokens extraídos observada pela Anthropic é evidência de uma alteração no tráfego que consegue medir, não uma contagem de todos os dados de treino não autorizados recolhidos do Claude em todo o lado.

A Anthropic afirma que ainda não observou um esforço altamente sofisticado e persistente para contornar as defesas atuais. Esta ressalva é mais importante do que uma afirmação de sucesso que pareça permanente. A empresa documentou uma redução interna substancial e uma abordagem operacional para proteger o raciocínio do modelo; os resultados futuros dependerão da adaptação dos atacantes e de outras vias de acesso detetarem o mesmo comportamento.

## Fontes e leituras complementares

- [Anthropic, “Reforçar as nossas defesas contra ataques de destilação”](https://www.anthropic.com/research/distillation-defenses), 12 de outubro de 2026. O relato principal da empresa descreve os controlos, a estimativa interna de extração, a alegação sobre falsos positivos e as contrapartidas para os utilizadores. A medição da plataforma não foi reproduzida de forma independente para este artigo.
- [Claude Platform, “Preserved thinking”](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking), consultado em 13 de outubro de 2026. A documentação atual da API especifica regras para blocos e prefixos, as datas das contas afetadas e os padrões de integração que poderão exigir alterações. Revimos a documentação; a BIG CHANGE não fez pedidos à API.
- [Anthropic, relatório de inteligência sobre ameaças de setembro de 2026](https://www.anthropic.com/threat-intelligence-report-september-2026), setembro de 2026. O relatório anterior da empresa contextualiza os métodos de extração aos quais a Anthropic afirma ter respondido; é o relato da própria empresa sobre essas campanhas.

## Sources

- [Anthropic, Reforçar as nossas defesas contra ataques de destilação](https://www.anthropic.com/research/distillation-defenses) — Relato principal da empresa sobre controlos, medições internas e contrapartidas reconhecidas; as estimativas são atribuídas e não verificadas de forma independente.
- [Claude Platform, Preserved thinking](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking) — Documentação atual da API de primeira parte sobre associação de blocos, verificações de prefixo e alterações de integração; a BIG CHANGE não realizou pedidos à API.
- [Anthropic, relatório de inteligência sobre ameaças de setembro de 2026](https://www.anthropic.com/threat-intelligence-report-september-2026) — Relato anterior de primeira parte sobre os métodos; contexto, não confirmação independente dos resultados de outubro.