O alerta conjunto publicado em 8 de setembro de 2026 por NSA, FBI e CISA acusa seis empresas chinesas — DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI — de participar de campanhas de destilação de conhecimento em escala industrial contra modelos americanos. Em paralelo, a Anthropic atribui milhões de trocas com Claude a operações ligadas à Alibaba, à Moonshot AI e à DeepSeek. O ponto central não é a existência da destilação, uma técnica legítima, mas a forma como o acesso teria sido obtido e usado.
O que diz o alerta americano
Segundo CISA, NSA e FBI, as campanhas funcionam pelo envio de grandes volumes de solicitações a modelos como Claude, GPT, Gemini e Grok. O objetivo alegado é extrair capacidades como raciocínio, programação, tarefas agentivas, engenharia de software, matemática e aprendizado por reforço.
As agências citam APIs, provedores de nuvem, agregadores de terceiros e estruturas descritas como “estações de transferência”. Também mencionam contas fraudulentas, assinaturas premium compartilhadas, proxies, endereços de e-mail descartáveis, pagamentos com cartões virtuais, limpeza de metadados e troca automatizada de rotas.
CISA afirma que a atividade organizada ocorre desde pelo menos o fim de 2024. A lista do alerta americano tem seis empresas: DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI. Ela não deve ser confundida automaticamente com a referência separada da Anthropic a sete laboratórios chineses envolvidos em atividades focadas no Claude.
Destilação não é automaticamente roubo
Na destilação, um modelo “professor” produz respostas para determinados problemas, e um modelo “aluno” usa essas respostas para aprender capacidades selecionadas. É uma forma conhecida de treinamento e não exige, por si só, a transferência do código-fonte ou dos pesos do modelo.
A controvérsia surge quando o acesso alegado depende de contas falsas, contorno de restrições geográficas, intermediários não autorizados ou coleta em escala de respostas e rastros de raciocínio protegidos por regras do provedor. Nesse cenário, a discussão passa a envolver autorização, autenticidade das contas, termos de uso e possível exposição de dados enviados pelos usuários.
A destilação, portanto, não é sinônimo de cópia integral. O que está em disputa é se determinados operadores teriam usado interfaces de modelos de terceiros de maneira fraudulenta ou fora das condições autorizadas.
Duas situações tecnicamente diferentes
| Dimensão | Destilação comum | Conduta alegada pela Anthropic e pelas agências americanas |
| Objetivo | Usar respostas de um modelo professor para treinar um modelo aluno menor ou mais eficiente. | Extrair capacidades de modelos avançados de terceiros para sistemas concorrentes. |
| Autorização | Usar dados, respostas ou acesso permitidos pelo provedor. | Usar, segundo as alegações, contas fraudulentas, rotas intermediárias ou meios para contornar restrições. |
| Acesso | Pesquisa normal, licenciamento comercial ou modelos próprios. | APIs, provedores de nuvem, agregadores, proxies e “estações de transferência”. |
| Material obtido | Respostas ou sinais de treinamento; código-fonte e pesos não são necessários. | Respostas, rastros de raciocínio e funcionalidades descritas como proprietárias. |
| Status jurídico | A técnica não é automaticamente ilegal. | As acusações não equivalem a uma decisão judicial que confirme roubo ou violação da lei. |
A escala descrita pela Anthropic
A Anthropic atribui a operadores ligados à Alibaba mais de 151 milhões de trocas com Claude entre maio e julho de 2026. A atividade teria atingido quase 3 milhões de trocas por dia no pico e envolvido mais de 3.500 contas apontadas como fraudulentas.
A empresa também atribui à Moonshot AI mais de 23 milhões de trocas com Claude entre maio e julho de 2026. Em um intervalo de dez dias, a atividade ligada à Moonshot AI teria encaminhado quase 300 mil solicitações de clientes ao Claude por meio de 5.380 contas identificadas como fraudulentas.
No caso da DeepSeek, a Anthropic atribui mais de 12,1 milhões de trocas com Claude ao longo de 14 dias em julho de 2026. Esses números são atribuições feitas pela Anthropic, não medições auditadas por uma decisão judicial.
| Entidade | Atividade atribuída no Claude | Período de medição | Condição adicional |
| Operadores ligados à Alibaba | Mais de 151 milhões de trocas | Maio a julho de 2026 | Pico de quase 3 milhões de trocas por dia e mais de 3.500 contas apontadas como fraudulentas |
| Moonshot AI | Mais de 23 milhões de trocas | Maio a julho de 2026 | Quase 300 mil solicitações de clientes encaminhadas em um intervalo de dez dias por meio de 5.380 contas identificadas como fraudulentas |
| DeepSeek | Mais de 12,1 milhões de trocas | 14 dias em julho de 2026 | Atribuição feita pela Anthropic |
As cifras ajudam a dimensionar a acusação, mas não demonstram sozinhas qual capacidade foi incorporada a cada modelo nem provam que o código-fonte ou os pesos de Claude tenham sido transferidos.
A questão das solicitações dos usuários
Uma das alegações mais sensíveis envolve solicitações que usuários acreditavam estar enviando aos serviços da Moonshot AI ou da DeepSeek. Segundo a acusação da Anthropic, parte dessas solicitações teria sido encaminhada ao Claude, possivelmente para obter respostas usadas no treinamento de outros sistemas.
A acusação inclui a possibilidade de que os usuários não soubessem do encaminhamento. Isso torna a questão diferente de uma simples comparação técnica entre modelos: ela envolve transparência sobre o serviço usado e o destino das informações inseridas.
A Anthropic também afirma que algumas trocas continham informações sensíveis de usuários individuais, grandes empresas multinacionais e entidades ligadas a governos. A empresa considera que esse tipo de prática pode entrar em conflito com leis de privacidade e com os termos de uso dos laboratórios envolvidos.
O que os provedores podem fazer
CISA recomenda que os provedores detectem comportamentos anômalos, compartilhem inteligência entre empresas de modelos, plataformas de nuvem e agregadores e alterem as respostas em tentativas identificadas com alto grau de confiança como destilação maliciosa.
Entre as medidas sugeridas está o fornecimento de respostas de menor fidelidade ou com desempenho reduzido para atividades suspeitas. A recomendação também diferencia tentativas maliciosas de pesquisadores e avaliadores legítimos. Isso não equivale a uma política geral de degradação para todos os usuários chineses.
O desafio técnico é evitar que uma defesa direcionada atinja quem está usando o modelo de maneira autorizada. Uma regra baseada apenas na localização do usuário, no idioma ou na nacionalidade seria muito mais ampla do que a resposta descrita por CISA.
O que está estabelecido — e o que não está
Está estabelecido que NSA, FBI e CISA publicaram um alerta oficial em 8 de setembro, que seis empresas chinesas foram citadas nesse documento e que a Anthropic publicou uma avaliação própria sobre atividades envolvendo Claude. Também está claro que destilação é uma técnica legítima e que as acusações se concentram em acesso, autorização, escala e possível roteamento de dados.
As acusações não estabelecem uma decisão judicial de que DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun ou Z.AI tenham roubado código-fonte ou pesos de modelos americanos. O material descreve extração alegada de respostas, rastros de raciocínio e funcionalidades por meio de interfaces de modelos.
A consequência prática é mais concreta do que a disputa semântica sobre “cópia”: provedores de IA tendem a tratar o uso automatizado e fraudulento de suas APIs como um problema de segurança, privacidade e controle de acesso. Para o usuário, isso reforça a importância de saber qual modelo está respondendo e como suas solicitações são encaminhadas — enquanto a acusação ainda segue sem uma decisão judicial que defina a responsabilidade das empresas citadas.
