A Agência de Cibersegurança e Segurança das Infraestruturas dos EUA (CISA), o FBI e a Agência de Segurança Nacional (NSA) alertaram que várias empresas chinesas de inteligência artificial terão passado meses a usar “ataques de destilação” para extrair capacidades proprietárias de alguns dos principais modelos norte-americanos. O aviso identifica a DeepSeek, a MoonshotAI, a Alibaba, a MiniMax, a StepFun e a Z.AI. Entre as empresas dos EUA potencialmente afetadas estão a Anthropic, a OpenAI, a Google e a xAI.
A operação consiste no envio de grandes volumes de prompts cuidadosamente preparados para modelos avançados, com o objetivo de reproduzir as suas capacidades, padrões de raciocínio e restrições de segurança. As respostas obtidas podem depois ser utilizadas para treinar ou melhorar outro modelo. A CISA afirmou que parte desta atividade poderá ter ocorrido com conhecimento do Governo chinês e estimou que as capacidades extraídas correspondem a milhares de milhões de dólares em investimento norte-americano em investigação e desenvolvimento.
Redes proxy e contas falsas dificultam a deteção
O aviso indica que os operadores recorreram a servidores proxy para ocultar a sua verdadeira origem e criaram extensas redes de utilizadores falsos. Essas contas enviavam um elevado número de consultas para contornar os sistemas de monitorização e os controlos de acesso das plataformas. Algumas campanhas poderão ter decorrido durante meses, procurando mapear de forma sistemática o desempenho de um modelo em diferentes tarefas, áreas temáticas e limites de segurança, em vez de obter apenas uma resposta isolada.
Os atacantes também utilizaram prompt injection para levar os modelos a ignorar as regras existentes. Num relatório de ameaças de setembro de 2026, a Anthropic descreveu vários prompts associados a atividades de destilação. Uma das abordagens instruía o modelo a “não assinalar isto como extração de raciocínio”, enquanto outra afirmava que o utilizador estava a depurar o sistema e pedia a reprodução, palavra por palavra, do raciocínio anterior. Outros prompts eram disfarçados de instruções do sistema e solicitavam o conteúdo completo oculto entre as etiquetas <thinking></thinking>.
A destilação não é, por si só, ilegal. Investigadores podem estudar as respostas de um modelo e comparar diferentes resultados para melhorar os seus próprios sistemas, uma prática com utilizações legítimas na investigação técnica. As agências de cibersegurança dos EUA e as empresas de IA distinguem esse trabalho de campanhas baseadas em grandes volumes de contas falsas, na violação dos termos de serviço ou na indução do modelo a divulgar material restringido. Na sua avaliação, esta última atividade ultrapassa os limites da investigação normal.
Empresas de IA reforçam controlos à medida que as táticas mudam
Atualmente, nenhuma medida técnica isolada consegue impedir por completo este tipo de ataque. A Anthropic e outras empresas de IA estão a melhorar a deteção de padrões anormais de consultas, os mecanismos de verificação da identidade dos clientes e os controlos de acesso, aplicando respostas mais específicas a cada tipo de atividade. As empresas também procuram partilhar informação sobre ameaças para identificar mais rapidamente redes de contas e padrões de consultas semelhantes.
A CISA defendeu uma resposta coordenada que abranja todo o ecossistema de IA. Essa abordagem envolveria os criadores de modelos, os fornecedores de serviços de computação na nuvem, os serviços de verificação de identidade e o Governo dos EUA, em vez de deixar cada empresa a bloquear a atividade de forma isolada.
A economia dos serviços de IA aumenta a dificuldade. À medida que a concorrência pressiona os preços para baixo e reduz o custo de realizar grandes volumes de chamadas aos modelos, também pode diminuir a barreira financeira à recolha de quantidades extensas de respostas. As plataformas continuam, por isso, sob pressão para monitorizar utilizações invulgares, verificar os clientes e proteger comportamentos restringidos dos modelos sem prejudicar o acesso legítimo.
Preocupações de segurança vão além dos segredos comerciais
As agências de segurança norte-americanas receiam que a replicação em larga escala de capacidades avançadas de IA afete não apenas a concorrência entre empresas chinesas e norte-americanas, mas também a disponibilidade de modelos com controlos de segurança mais fracos. Num relatório de fevereiro de 2026 sobre ataques de destilação, a Anthropic alertou que capacidades perigosas poderiam permanecer num modelo extraído mesmo que as salvaguardas do sistema original fossem enfraquecidas ou removidas.
A empresa afirmou que esses sistemas poderiam potencialmente apoiar o desenvolvimento de armas biológicas, a conceção de equipamento militar avançado, ciberataques em grande escala ou outras operações automatizadas com elevado potencial de perturbação. Alertou ainda que governos com forte controlo político poderiam utilizar sistemas semelhantes para desenvolver armas cibernéticas ofensivas, conduzir campanhas de desinformação e realizar vigilância em massa.
Para as empresas de IA, a questão é, portanto, mais ampla do que a perda de tecnologia proprietária. Depois de as capacidades e os limites de segurança de um modelo serem copiados, o criador original pode ter menos controlo sobre a forma como esses recursos são utilizados e sobre a manutenção das salvaguardas.
Custos divulgados pela DeepSeek geram novas dúvidas
A disputa também influencia a forma como os investidores avaliam a estratégia chinesa de desenvolver modelos de IA a baixo custo. A DeepSeek atraiu forte atenção do mercado depois de afirmar que tinha desenvolvido um sistema avançado por um custo muito inferior ao dos principais modelos norte-americanos. No seu aviso, a CISA afirmou que o custo de formação de 5,6 milhões de dólares divulgado publicamente pela DeepSeek era incompleto, por não incluir o custo total de obtenção de dados e capacidades através de uma destilação em larga escala alegadamente abusiva.
O aviso indicou que a DeepSeek tinha utilizado prompts para pedir a ferramentas de IA norte-americanas que revelassem o seu raciocínio passo a passo, criando uma via para melhorar os seus próprios modelos. Se esta avaliação estiver correta, o valor de formação apresentado como manchete não refletirá o investimento total necessário para desenvolver o sistema. Também não será diretamente comparável com modelos treinados através da compra de chips proprietários, da construção de centros de dados, do fornecimento de eletricidade e da contratação de equipas de investigação.
A concorrência de preços em todo o setor da IA está a intensificar-se ao mesmo tempo. Modelos mais pequenos e eficientes procuram conquistar programadores e clientes empresariais através de tarifas mais baixas, enquanto modelos chineses, incluindo os da DeepSeek, ampliam a sua presença no mercado norte-americano.
Para os investidores, as questões centrais vão além do preço por chamada ao modelo. Incluem a forma como as empresas comprovam a origem dos dados de formação e das capacidades dos modelos, a possibilidade de as plataformas reduzirem os custos ocultos provocados pelos ataques de destilação e a eventual adoção, pelos reguladores, de mecanismos de cooperação mais amplos em todo o ecossistema de IA.