Agências de segurança cibernética e de inteligência dos Estados Unidos acusaram empresas de IA sediadas na China de realizar uma “extração sistemática” de funcionalidades e capacidades proprietárias de modelos de fronteira americanos por meio de ataques de distillation.
Segundo um boletim publicado pela National Security Agency (NSA), pela Cybersecurity and Infrastructure Security Agency (CISA) e pelo Federal Bureau of Investigation (FBI), a atividade ocorre em escala industrial e é considerada parte central da estratégia de desenvolvimento de IA dessas companhias.
“Embora a distillation seja reconhecida como uma técnica legítima e útil em pesquisas de IA, empresas de IA sediadas na China estão envolvidas em atividades agressivas, maliciosas e direcionadas de distillation, em escala industrial, que extraem funcionalidades proprietárias restritas e capacidades de modelos de IA de fronteira dos EUA”, afirmaram as agências responsáveis pelo documento.
O aviso conjunto aponta que empresas chinesas como DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI extraíram bilhões de tokens em milhões de interações e solicitações de modelos de IA de fronteira dos Estados Unidos desde, pelo menos, o fim de 2024. Entre os alvos estariam variantes de Anthropic Claude, OpenAI GPT, Google Gemini e SpaceXAI Grok, provavelmente com o aval do governo chinês.
“As empresas de IA sediadas na China obtêm economia de custos em suas campanhas de distillation em escala industrial por meio da compra em massa de assinaturas premium de empresas americanas de IA, compartilhadas entre equipes de desenvolvedores”, disseram as agências.
Entre as táticas avançadas citadas estão a extração de raciocínio chain-of-thought (CoT), a alternância automatizada entre caminhos durante tentativas de bloqueio e estruturas sofisticadas de avaliação de qualidade para identificar contramedidas de defesa. Segundo as agências, empresas chinesas que conduzem distillation em escala industrial contra modelos americanos reduzem de forma significativa o tempo de desenvolvimento de IA e os gastos com o treinamento de um modelo de fronteira.
As acusações específicas apresentadas pela NSA, pela CISA e pelo FBI incluem:
DeepSeek, que conduziu campanhas organizadas entre o fim de 2024 e meados de 2025 para atingir capacidades de raciocínio, otimizações especializadas e funções específicas de domínio, com o objetivo de treinar seus modelos R1 e V3.
Moonshot AI, que extraiu dados significativos de Claude Fable 5 para treinar seu modelo Kimi-K3 e dados de GPT-4o para treinar o Kimi-K2.
Alibaba, que fez distillation de Claude-4, Claude Opus, Claude Sonnet e GPT-5 para melhorar a capacidade de engineering de software de seus modelos, a funcionalidade de diálogo para atendimento ao cliente, a criação de imagens e personagens, além de integrar capacidades de RL, SFT e distillation no fim de 2025.
MiniMax, que fez distillation de raciocínio CoT, RL, SFT e capacidades de engineering de software para aprimorar seu modelo M2 com base em Claude Code, Claude Sonnet 4, Claude Opus, Gemini 1, Gemini 2.5 Pro e Gemini 3 Pro no fim de 2025.
StepFun, que fez distillation de dados de Claude Opus 4.1 e 4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT-5 Mini, GPT-5 Pro, GPT-5.1, GPT-5.1 Codex e GPT-5.2 entre o fim de 2025 e o início de 2026 para melhorar as funções de programação e agentic do modelo Step 4.
Z.AI, que fez distillation de bilhões de tokens de dados do GPT-5.5 e do Claude Opus 4.8 para desenvolver capacidades de raciocínio CoT em seu modelo, em meados de 2025.
Essas solicitações de distillation são roteadas por diferentes métodos para obter acesso não autorizado aos modelos americanos, violando os termos de uso. Entre eles estão APIs, provedores remotos de cloud e agregadores terceirizados que obscurecem os metadados do usuário para evitar detecção.
Vale destacar que os modelos de fronteira dos Estados Unidos são oficialmente restritos e não são oferecidos na China. Isso levou desenvolvedores chineses a depender de sistemas domésticos ou de métodos alternativos de acesso, como VPN, contas ocultadas e agentes automatizados para contornar essas restrições geográficas.
Os esforços são complementados por um mercado cinzento de proxies que funcionam como estações de retransmissão ou transferência para obter acesso ilícito por meio de servidores hospedados fora da China continental. Esses serviços foram anunciados em marketplaces chineses como Taobao e Xianyu.
Além disso, empresas de IA sediadas na China adotam deliberadamente medidas para distribuir essas operações entre múltiplos provedores e plataformas e, assim, passar despercebidas, concentrando-se em extrair as melhores capacidades e os recursos proprietários de cada modelo de fronteira dos Estados Unidos para treinar seus próprios modelos.
Para enfrentar essa ameaça, as agências recomendaram que empresas americanas de IA implementem medidas abrangentes de detecção e mitigação, alterem de forma sutil as respostas a tentativas suspeitas de distillation maliciosa e correlacionem atividades entre provedores de modelos, plataformas de cloud e agregadores de APIs para identificar campanhas distribuídas.
Esta não é a primeira vez que empresas chinesas são citadas por envolvimento em ataques ilegais de distillation. No início de fevereiro, a Anthropic afirmou ter identificado campanhas em escala industrial conduzidas por DeepSeek, Moonshot AI e MiniMax para extrair de forma ilícita as capacidades do Claude e melhorar seus próprios modelos.
Ainda nesta semana, o Google Threat Intelligence Group disse ter observado um aumento nas campanhas de distillation voltadas aos modelos de IA do Google, algumas delas com mais de 100 milhões de prompts e foco em compreensão visual e de áudio, geração de imagens e geração de vídeo.
“Os atacantes usam infraestrutura de proxy para orquestrar ataques automatizados em grande escala, alternando consultas entre milhares de credenciais comprometidas e contas fraudulentas em diferentes canais de produto para ocultar sua origem e burlar os controles de segurança padrão”, disse o Google.
Ismael Valenzuela, vice-presidente de Labs, Threat Research and Intelligence da Arctic Wolf, afirmou que o boletim de segurança precisa ser interpretado como um abuso de acesso legítimo, ao mesmo tempo em que reforça a necessidade de uma resposta coordenada contra adversários sofisticados e bem financiados.
“Embora a distillation não tenha nada de incomum em um ambiente de pesquisa, o alerta afirma que as empresas infratoras estão distribuindo deliberadamente as operações pelo vasto ecossistema global de IA, de forma semelhante às táticas de evasão que equipes de segurança já viram em adversários envolvidos em credential stuffing distribuído ou fraude de pagamentos”, disse Valenzuela.
“Quando adversários conseguem replicar o raciocínio avançado e os comportamentos agentic de modelos de empresas americanas de IA sem respeitar as leis e regulações que vinculam essas empresas, os defensores terão dificuldade para distinguir essa atividade de plataformas legítimas, abrindo espaço para operações cibernéticas ofensivas, campanhas de influência ou ferramentas autônomas que podem passar despercebidas.”
“As empresas que não estão diretamente associadas a modelos de fronteira de IA podem ser tentadas a ignorar essas campanhas por considerá-las irrelevantes, já que se tratam de um tema de segurança nacional, mas a exposição do acesso aos modelos para clientes ou parceiros torna as API keys e as contas de serviço alvos valiosos, com o abuso de acesso a esses modelos parecendo legítimo”, acrescentou Valenzuela.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...