Caderno Tecnologia · Segurança e IA
Uma equipe de pesquisadores europeus encontrou uma maneira de extrair o "pensamento" oculto que os principais modelos de inteligência artificial do mundo produzem enquanto resolvem problemas complexos. A descoberta, que já levou OpenAI, Anthropic e Google a aplicarem correções emergenciais em suas interfaces de programação, reabre uma disputa que atravessa tanto a engenharia de software quanto a geopolítica: até que ponto laboratórios chineses de IA estão se apoiando no trabalho de concorrentes americanos para construir seus próprios modelos.
O que os pesquisadores descobriram
O grupo, formado por cientistas da computação da Universidade de Tübingen, do Instituto Max Planck, do instituto de segurança em IA MATS Research e da empresa de cibersegurança Snyk, identificou uma vulnerabilidade presente nos principais provedores de modelos de fronteira acessados via API, incluindo OpenAI, Anthropic e Google. Modelos avançados de IA resolvem problemas complexos quebrando-os em etapas menores, um processo conhecido como cadeia de raciocínio ou "chain of thought". Por questões de propriedade intelectual e segurança, as empresas mantêm esse raciocínio interno em sigilo, enviando ao usuário apenas uma versão criptografada dele para permitir parte do processamento no lado do cliente.
Segundo o pesquisador Alexander Panfilov, da Universidade de Tübingen, a vulnerabilidade está presente em todos os grandes provedores de modelos testados e pode tanto vazar informações pessoais quanto viabilizar ataques de destilação em larga escala, conforme reportagem da revista Wired1.
Como o "truque" funciona na prática
A técnica explora um detalhe da arquitetura comercial dos grandes provedores de IA: além do modelo principal, mais caro e mais capaz, eles costumam oferecer versões menores e mais baratas da mesma família, voltadas a tarefas simples. Os pesquisadores descobriram que, ao alimentar essas versões menores com os traços de raciocínio criptografados capturados de um modelo maior, era possível fazer com que elas revelassem esse conteúdo internamente1. Isso acontece porque os modelos menores recebem menos treinamento de alinhamento e segurança, o que os torna mais propensos a expor seu processo interno em vez de recusar o pedido.
O caso do Kimi K3 e a suspeita sobre modelos chineses
No artigo, os pesquisadores mostram que o modelo chinês de peso aberto Kimi K3, da Moonshot AI, produziu respostas muito semelhantes aos traços de raciocínio ocultos do Claude Opus 4.8 e do GPT 5.6 Sol para determinados comandos. Mesmo assim, os próprios autores reconhecem que o estudo não consegue provar de forma causal que houve destilação1. Dois outros modelos de peso aberto avaliados, o DeepSeek chinês e o Inkling, da empresa americana Thinking Machines, não apresentaram esse tipo de semelhança com o Claude Opus. Moonshot AI e Z.ai não responderam aos pedidos de comentário da Wired até a publicação da reportagem original.
A suspeita de destilação de modelos americanos por concorrentes chineses não é nova. Em fevereiro, a OpenAI já havia dito a parlamentares dos Estados Unidos que a DeepSeek parecia ter copiado um de seus modelos para construir o sistema de raciocínio R124. Em junho, a Anthropic informou ao Congresso americano que a Alibaba teria destilado sistematicamente seus modelos para desenvolver o Qwen. Reportagens brasileiras recentes também descrevem acusações de OpenAI e Anthropic contra a DeepSeek por suposto uso não autorizado de suas saídas para treinar concorrentes, ainda que sem provas públicas definitivas26.
Contraponto: destilação é sabotagem ou motor de inovação?
Nem todos veem a destilação como um problema a ser combatido. O CEO da Meta, Mark Zuckerberg, escreveu recentemente que a prática é um princípio importante do funcionamento do ecossistema de código aberto e que restringi-la colocaria os Estados Unidos em desvantagem, segundo a Wired1. Já Kyle Miller, pesquisador do think tank de política tecnológica CSET, argumenta que o real ganho estratégico da China com a destilação é limitado, já que ela melhora modelos existentes apenas de forma incremental e os laboratórios chineses já demonstram capacidade de construir sistemas de fronteira do zero. Para Yarin Gal, da Universidade de Oxford, se todos os provedores passarem a bloquear a destilação entre si, o ritmo de avanço da IA como um todo tende a desacelerar.
Senhas e chaves de API também ficaram expostas
Além da questão da destilação, o mesmo método permitiu recuperar informações sensíveis, como senhas e chaves de API, embutidas nos traços de raciocínio capturados da máquina de um usuário1. Os pesquisadores notificaram OpenAI, Anthropic e Google no mês anterior à publicação do estudo, e as três empresas já ajustaram suas interfaces de programação para mitigar esse vazamento específico. Um porta-voz da Anthropic, Michael Aciman, afirmou à Wired que a empresa já começou a construir mitigações de curto prazo para o comportamento descrito no relatório, destacando que a pesquisa não envolveu recuperação de chaves de criptografia, acesso à infraestrutura da Anthropic nem extração de dados pessoais de seus sistemas1. Google e OpenAI não comentaram o caso publicamente.
Panfilov ressalva, no entanto, que corrigir o problema de destilação por completo exigiria uma reformulação estrutural na forma como essas APIs funcionam hoje, e que parte dos traços de raciocínio ainda pode ser recuperada pelo mesmo método mesmo após os ajustes1.
O que isso significa para empresas e desenvolvedores no Brasil
O episódio chega em um momento de amadurecimento regulatório da IA no país. Em dezembro de 2025, a Autoridade Nacional de Proteção de Dados (ANPD) publicou seu Mapa de Temas Prioritários para o biênio 2026-2027, incluindo inteligência artificial e tecnologias emergentes como um dos quatro eixos de fiscalização, ao lado da proteção de dados de crianças e do tratamento de dados pelo poder público3. A autoridade também foi formalmente indicada para coordenar o Sistema Nacional de Inteligência Artificial (SIA), enquanto o Marco Legal da IA (PL 2338/2023) segue em tramitação na Câmara dos Deputados após aprovação no Senado em dezembro de 20243.
Para empresas brasileiras que utilizam APIs de modelos de linguagem em produtos próprios, especialmente fintechs, healthtechs e plataformas de atendimento que processam dados pessoais sob a Lei Geral de Proteção de Dados (LGPD), o caso reforça um ponto prático: qualquer segredo, senha ou chave de API que trafegue por prompts ou apareça em janelas de raciocínio de um modelo deve ser tratado como potencialmente exposto. A recomendação de especialistas em segurança de API é adotar cofres de segredos dedicados, tokens de curta duração e escopos restritos, em vez de depender da confidencialidade do próprio modelo para proteger credenciais. O tema também dialoga com a onda recente de vazamentos de credenciais encontrados em arquivos de configuração de assistentes de IA usados por desenvolvedores brasileiros, identificados por empresas de segurança em pacotes públicos do npm no início do ano.
Já para o debate sobre destilação em si, o Brasil tende a sentir os efeitos como usuário e integrador, não como protagonista da disputa. O uso de modelos chineses de peso aberto, mais baratos e às vezes hospedados localmente, tem crescido entre empresas nacionais que buscam reduzir custos de inferência, o que torna a origem e a proveniência técnica desses modelos uma questão cada vez mais relevante para times de compliance e segurança da informação no país.
Perguntas frequentes
A pesquisa prova que a China copiou modelos americanos?
Não. Os próprios autores do estudo afirmam que os resultados são indícios, não uma prova causal de destilação. A semelhança encontrada entre o Kimi K3 e os traços de raciocínio do Claude Opus 4.8 e do GPT 5.6 Sol é consistente com destilação, mas não a comprova de forma definitiva.
A vulnerabilidade ainda está ativa?
A parte que permitia vazar informações pessoais, como senhas e chaves de API, já foi corrigida por OpenAI, Anthropic e Google. Segundo os pesquisadores, porém, parte da extração de raciocínio ainda é possível pelo mesmo método, e uma correção completa exigiria mudanças estruturais na forma como essas APIs funcionam.
Destilação de modelos de IA é ilegal?
Não necessariamente. A prática é amplamente usada por toda a indústria, inclusive por empresas americanas, e é considerada por parte da comunidade de código aberto um mecanismo legítimo de difusão de conhecimento. O problema apontado pelos pesquisadores está na forma como a técnica pode contornar proteções contratuais e de sigilo entre provedores concorrentes.
Isso afeta usuários comuns de chatbots de IA no Brasil?
O maior risco prático recai sobre desenvolvedores e empresas que integram essas APIs em seus próprios produtos e podem, sem perceber, expor senhas ou chaves de acesso em prompts ou respostas processadas pelo modelo. Para o usuário final de um aplicativo de chat, o impacto direto é menor.
Este conteúdo tem caráter jornalístico e informativo. Dados regulatórios, números de mercado e projeções citados podem sofrer alterações; recomenda-se verificação junto às fontes originais antes de decisões técnicas ou de compliance.