Astra, da OpenAI, teria se tornado o principal alvo de destilação dos laboratórios chineses de IA

O Astra, da OpenAI, teria se tornado o principal alvo dos esforços de destilação de modelos realizados por laboratórios chineses de IA depois que a Anthropic reforçou as defesas do Claude, segundo uma reportagem do The Information citada pelo The Decoder.

O relatório cita a DeepSeek e a Moonshot AI como organizações que supostamente dependeram fortemente das saídas do Astra ao desenvolver modelos mais recentes, incluindo produtos identificados como Kimi K3.1 Pro e V4.1-Flash 1017. As alegações não puderam ser verificadas de forma independente com base nas evidências fornecidas, e nenhuma das duas empresas apresentou uma resposta pública na reportagem resumida pelo The Decoder.

O desenvolvimento é importante porque sugere que proteções mais fortes em um fornecedor de modelos de fronteira podem redirecionar as tentativas de extração para outro fornecedor, em vez de encerrar a prática. Para desenvolvedores de modelos e compradores de IA empresarial, o episódio também destaca como é difícil proteger capacidades proprietárias quando sistemas avançados podem ser consultados repetidamente e em grande escala.

Do Claude ao Astra

A destilação de modelos envolve usar as respostas de um modelo mais capaz para melhorar um sistema menos capaz ou concorrente. Neste caso, a atividade relatada parece envolver tentativas de obter respostas detalhadas, incluindo as etapas ocultas de raciocínio que alguns modelos de fronteira utilizam internamente.

O Claude, da Anthropic, já havia sido descrito como um alvo preferencial para esse tipo de atividade. O The Decoder informa que a Anthropic reforçou suas defesas desde então, levando laboratórios chineses de IA a se concentrarem mais no Astra, da OpenAI, identificado no relatório como GPT-6 Astra.

As evidências disponíveis não estabelecem quão ampla é essa mudança no setor de IA da China, quantos dados do Astra foram coletados ou se a suposta atividade melhorou materialmente algum modelo identificado. No entanto, apontam para uma disputa em transformação entre fornecedores de modelos que tentam impedir a imitação não autorizada e laboratórios que procuram reproduzir capacidades avançadas a um custo menor.

A OpenAI também relatou uma campanha coordenada de destilação que, segundo a empresa, envolveu pessoas ligadas à Moonshot. A resposta da companhia, conforme relatada pelo The Decoder, foi que trata o problema com seriedade, mas observou que os atacantes modificam seus métodos quando novas proteções são introduzidas.

O que as evidências mostram — e o que não mostram

A reportagem mais sólida desse conjunto vem do The Information, mas o texto completo do artigo não estava disponível no material-fonte fornecido. O The Decoder apresenta o relato e atribui as principais conclusões a pessoas familiarizadas com o assunto. Assim, o suposto uso do Astra é um acontecimento importante relatado pela imprensa, não uma divulgação pública confirmada pela DeepSeek ou pela Moonshot AI.

Segundo o The Decoder, a Moonshot se recusou a comentar, enquanto a DeepSeek não respondeu a um pedido de comentário. Essas ausências de resposta não confirmam nem refutam as alegações. As evidências disponíveis não incluíam registros técnicos, conjuntos de dados, volumes de consultas, registros de treinamento ou resultados independentes de benchmark.

A afirmação da Anthropic de que seus métodos mais recentes reduziram em 90% a 99% a quantidade de dados que os atacantes podiam extrair é um resultado divulgado pela empresa. O material-fonte não explica as condições dos testes, a definição de dados extraídos nem se a redução se aplica igualmente a diferentes estratégias de ataque. Portanto, a cifra deve ser tratada como uma alegação do fornecedor, e não como uma medida geral de segurança.

A reportagem também não mostra que o Astra, da OpenAI, seja universalmente mais vulnerável que o Claude. A aparente mudança pode refletir o acesso relativo, a qualidade do modelo, os controles de conta, os preços, o comportamento das saídas ou a mudança nas táticas dos atacantes. Esses fatores continuam sem solução.

Por que isso importa para os desenvolvedores de IA

Para empresas de modelos de fronteira, a atividade relatada transforma o acesso às saídas em um problema de segurança tanto quanto em um recurso do produto. Controles de API, limites de taxa, triagem de contas, detecção de anomalias, comportamento de recusa e monitoramento passam a fazer parte da proteção das capacidades do modelo. As defesas também precisam considerar adversários que distribuem solicitações entre contas, variam os prompts ou combinam consultas aparentemente comuns em um esforço maior de coleta.

Para desenvolvedores menores de IA, a destilação pode reduzir o custo de alcançar um desempenho competitivo, mas a dependência das saídas de outra empresa cria riscos jurídicos, operacionais e técnicos. Um sistema treinado intensivamente com um modelo externo pode herdar seus pontos cegos, padrões de recusa, vieses ou convenções de formatação. Também pode se tornar vulnerável se o fornecedor alterar as regras de acesso ou introduzir restrições nas saídas.

Compradores empresariais devem interpretar com cuidado as alegações sobre imitação de modelos. Um fornecedor pode demonstrar pontuações semelhantes em benchmarks sem igualar a confiabilidade em fluxos de trabalho de produção, uso de ferramentas, tarefas com contexto longo, tratamento de segurança ou precisão específica de um domínio. A suposta atividade envolvendo o Astra não mostra que um sistema destilado ofereça desempenho equivalente, nem estabelece que organizações que utilizam esses sistemas tenham participado conscientemente de uma extração não autorizada.

O episódio também tem implicações competitivas. Se as defesas simplesmente transferirem a atenção do Claude para o Astra, os fornecedores de modelos poderão enfrentar um ciclo contínuo de contramedidas, em vez de uma solução única. Isso pode aumentar o custo de oferecer modelos de alta capacidade e incentivar fornecedores a disponibilizar interfaces mais controladas, sinais de procedência ou níveis de acesso diferenciados.

O que observar a seguir

O primeiro sinal será saber se a OpenAI identificará publicamente detalhes adicionais sobre a campanha ligada à Moonshot, incluindo os métodos que detectou e os controles implantados posteriormente. Evidências técnicas ajudariam a distinguir abuso direcionado de alegações amplas sobre laboratórios chineses de IA.

Um segundo sinal será saber se a Anthropic publicará testes independentes sobre a redução relatada de 90% a 99% nos dados extraídos. Detalhes sobre as premissas do ataque, os métodos de medição e o desempenho contra atacantes adaptativos determinarão o significado desse número.

Pesquisadores e operadores de plataformas também devem observar lançamentos de modelos associados à DeepSeek e à Moonshot AI em busca de semelhanças incomuns na estrutura das respostas, nos perfis de capacidade ou no comportamento. Essas semelhanças, por si só, não provariam a destilação, mas poderiam levar a uma análise mais detalhada das fontes de treinamento e dos métodos de avaliação.

Por fim, os provedores de API podem começar a divulgar mais informações sobre verificação de clientes, monitoramento de uso, marca d’água nas saídas e restrições à coleta automatizada. Essas medidas serão importantes para desenvolvedores legítimos e equipes de segurança, pois controles excessivamente agressivos podem dificultar a experimentação e a pesquisa aberta.

Perspectiva da Creati.ai

A suposta mudança do Claude para o Astra deve ser entendida como uma corrida armamentista pelo acesso ao comportamento dos modelos, não como prova de que um fornecedor perdeu definitivamente o controle de seu sistema. As evidências disponíveis são limitadas demais para estabelecer a escala da extração alegada ou as capacidades de quaisquer modelos resultantes.

Ainda assim, a história oferece um alerta prático aos desenvolvedores: a segurança das saídas não pode ser separada da estratégia de implantação do modelo. Os fornecedores precisam de defesas que se adaptem a padrões de ataque em mudança, enquanto os compradores devem avaliar a procedência, as políticas de acesso e o desempenho independente, em vez de presumir que a semelhança em benchmarks prova uma equivalência real de capacidades.