Anthropic afirma que o laboratório Qwen da Alibaba operou 25.000 contas falsas para roubar as capacidades do Claude

A Anthropic acusou o laboratório de IA Qwen, da Alibaba, de orquestrar o que classifica como o maior ataque de destilação (distillation) conhecido contra os seus modelos Claude, usando quase 25.000 contas fraudulentas para colher 28,8 milhões de conversas ao longo de uma janela de 45 dias que se estendeu de 22 de abril a 5 de junho de 2026.

A empresa revelou a suposta operação em uma carta a membros do Comitê Bancário do Senado dos EUA, enquadrando-a como uma tentativa de "transformar centenas de bilhões de dólares de investimento americano em IA em um subsídio para um concorrente geopolítico". A Alibaba não se manifestou publicamente sobre as acusações específicas.

O que é destilação e por que isso importa?

A destilação é uma técnica de treinamento legítima: você executa um modelo maior e mais capaz em milhares de problemas e, em seguida, treina um modelo menor com base nessas respostas. O resultado é um modelo compacto que rende acima de seu porte porque aprendeu com um professor mais inteligente.

Quando aplicada sem permissão ao modelo de produção de um concorrente, no entanto, ela se aproxima da espionagem industrial. Um laboratório que destila com sucesso um modelo de fronteira contorna anos de pesquisa e bilhões de dólares em computação — e, o que é crítico, o árduo trabalho de segurança que acompanhou esse desenvolvimento. Como a Anthropic colocou em sua divulgação de fevereiro sobre ataques anteriores, "as capacidades perigosas são transferidas por meio das saídas. Os meses gastos fazendo o modelo recusar solicitações nocivas não são".

Um padrão, não um caso isolado

A acusação contra a Alibaba é a mais proeminente de uma série em escalada. Em fevereiro de 2026, a Anthropic revelou que três startups chinesas de IA — DeepSeek, Moonshot AI e MiniMax — haviam operado coletivamente cerca de 24.000 contas fraudulentas responsáveis por mais de 16 milhões de trocas com o Claude, visando as capacidades de codificação, raciocínio e agênticas do modelo.

A operação do Qwen ofusca esses incidentes anteriores em escala: 28,8 milhões de conversas em menos de sete semanas, com as contas visando especificamente a engenharia de software avançada e o raciocínio agêntico de múltiplas etapas do Claude — precisamente as capacidades mais valiosas na atual onda de ferramentas de desenvolvimento impulsionadas por IA.

O que a Anthropic está pedindo

Além de divulgar o incidente, a Anthropic está conclamando os formuladores de políticas dos EUA a tratar os ataques de destilação em larga escala como uma questão de segurança nacional. A empresa argumenta que nenhum laboratório isolado consegue detectar e bloquear de forma confiável essas campanhas por conta própria, e que é necessária uma "ação rápida e coordenada entre os atores do setor, os formuladores de políticas e a comunidade global de IA".

No lado técnico, a Anthropic afirma ter implantado sistemas de detecção aprimorados, capazes de identificar os padrões de comportamento que distinguem as contas de coleta por destilação dos usuários legítimos — consultas em massa, sistemáticas e repetitivas em diversos domínios de capacidade, em vez da variedade orgânica de sessões reais de desenvolvedores.

O que isso significa para os desenvolvedores

Para a maioria prática dos desenvolvedores que constroem com o Claude Code ou a API da Anthropic, nada muda no dia a dia. A Anthropic afirmou que o uso legítimo não é afetado e que a aplicação dos termos de serviço tem como alvo as contas falsas, e não os clientes normais da API.

Mas o episódio é um lembrete útil da economia em jogo. As capacidades que tornam o Claude valioso para tarefas de codificação agêntica — raciocínio profundo, uso de ferramentas em múltiplas etapas, recusas robustas — representam um enorme investimento acumulado. Quando essas capacidades são extraídas e replicadas sem restrições de segurança, os modelos derivados que surgem são ao mesmo tempo mais baratos e potencialmente menos seguros, remodelando o mercado de maneiras que afetam todo desenvolvedor que escolhe uma pilha tecnológica.

Isso também sinaliza que a seleção de modelos em 2026 já não é puramente uma questão de pontuações de benchmark e preço. A procedência — quem o construiu, como e sob qual regime de segurança — está se tornando também um fator que vale a pena compreender.