Como a China está usando o Claude para treinar rivais do Claude

Em fevereiro de 2026, a Anthropic publicou uma acusação que passou quase despercebida no calor das notícias sobre novos modelos, mas que hoje explica boa parte do reordenamento global de IA: três startups chinesas de topo — Moonshot, DeepSeek e MiniMax — teriam usado o próprio Claude, em escala industrial, para treinar seus rivais do Claude. É uma prática chamada destilação, e ela é o motivo pelo qual, meses depois, o Kimi K3, o DeepSeek V4 e o GLM-5.2 chegam tão perto da fronteira ocidental — sem terem tido o mesmo acesso a compute e a dados de treinamento originais.

O que é destilação em IA

Imagine que você quer ensinar alguém a jogar xadrez. Existem duas formas: mostrar as regras e deixar a pessoa aprender jogando (o método caro e lento), ou colocar essa pessoa para acompanhar um grande mestre por milhares de partidas e aprender pelo exemplo (o método rápido e barato). Destilação em IA é o segundo caminho.

Tecnicamente, o desenvolvedor de um modelo menor (o estudante) usa as respostas geradas por um modelo maior e mais capaz (o professor) como dado de treinamento. O modelo menor aprende a imitar o comportamento do maior — sem precisar entender de onde veio essa inteligência. É uma prática legítima e usada rotineiramente pela indústria — inclusive pela OpenAI e pela Anthropic, para treinar versões menores dos próprios modelos. O que muda é quando o "professor" é de outra empresa e a destilação é feita sem autorização.

A acusação da Anthropic — os números

Em fevereiro de 2026, a Anthropic publicou uma declaração pública descrevendo o que chamou de "ataques de destilação em escala industrial". Segundo a empresa:

• As três empresas — Moonshot, DeepSeek e MiniMax — teriam operado, em conjunto, mais de 24 mil contas fraudulentas no Claude.
• Essas contas geraram, ao todo, mais de 16 milhões de trocas de mensagens com o modelo.
• O foco das interações não era conteúdo aleatório: era raciocínio agentivo, uso de ferramentas, código e visão. Ou seja, as capacidades mais valiosas do Claude.
• A parcela estimada da Moonshot: aproximadamente 3,4 milhões de queries.

A Anthropic descreveu isso como violação clara dos termos de uso do Claude, que expressamente proíbem usar o modelo para treinar sistemas concorrentes. As três empresas chinesas não confirmaram nem negaram publicamente as acusações.

Como funciona operacionalmente uma destilação industrial

Para dar dimensão prática ao que 24 mil contas e 16 milhões de queries significam, vale desmontar o processo:

1. Criação de contas em massa: uso de e-mails temporários, VPNs para simular geolocalizações diversas, cartões de pré-pago para as contas pagas.
2. Geração de prompts diversificados: em vez de fazer 1000 pedidos parecidos, o operador cria um pipeline que gera milhões de variações — cobrindo domínios diferentes, estilos, complexidades, idiomas.
3. Coleta estruturada das respostas: cada resposta do Claude é armazenada com o prompt original, formando um dataset de "input-output" de alta qualidade.
4. Treinamento supervisionado do modelo menor: esse dataset alimenta o próprio modelo, ensinando-o a produzir respostas semelhantes.
5. Fine-tuning por reforço com feedback do professor: em versões mais sofisticadas, o modelo estudante é ajustado com base em comparações contínuas com o professor.

Isso é possível porque a inteligência de um modelo grande está condensada nas respostas que ele dá. Não é preciso ter acesso aos pesos originais — as saídas contêm sinal suficiente para transferir grande parte da capacidade.

Por que a defesa é difícil

A Anthropic e outras empresas ocidentais têm mecanismos de detecção — analisam padrões de uso anormais, detectam contas com prompts sintéticos, monitoram picos de tráfego. Mas há três limites naturais:

• Volume distribuído: se você espalha 3,4 milhões de queries entre 8 mil contas, cada conta faz pouco mais de 400 queries — perfeitamente dentro do uso legítimo de um profissional.
• Diversidade de prompts: um dataset bem-gerado tem variedade suficiente para não parecer sintético.
• Rotação de identidades: contas queimadas são substituídas por novas em ciclos curtos.

Na prática, quando o padrão é identificado, milhões de trocas já ocorreram. É o mesmo problema que o marketing anti-fraude enfrenta: a detecção tende a chegar depois do dano.

O que isso muda para o mercado global

Se as acusações estão certas, três coisas mudam:

1. O custo real de fazer IA de fronteira é menor do que aparenta — para quem consegue "colher" de quem já pagou pelo pesado. Isso muda o modelo econômico de labs de fronteira, que dependem de vender API a preço alto para financiar o próximo treino.
2. A vantagem competitiva se erode mais rápido: um modelo que leva 12 meses e US$ 1 bilhão para treinar pode ser "aproximadamente igualado" em 6 meses com uma fração do custo por destilação.
3. A retórica de "IA responsável" ganha ambiguidade: se o Claude foi treinado com salvaguardas caras e o K3 aprende comportamentos do Claude, quanto dessas salvaguardas se transfere?

A resposta da Anthropic — o que mudou desde fevereiro

A Anthropic reagiu em várias frentes:

• Reforço dos termos de uso: proibição explícita e detalhada de destilação para treino de concorrentes.
• Sistema de detecção mais robusto: análise de padrões de conta agregada com scoring de risco por comportamento.
• Fallback para modelos menores: quando um classificador de risco dispara no Fable 5, a request pode ser redirecionada para o Opus 4.8, protegendo os padrões mais avançados do modelo topo.
• Restrições geográficas por classificador: categorias sensíveis como model distillation foram adicionadas à lista de gatilhos do Fable 5.

E o lado chinês do argumento

Para dar espaço à contrarrazão: a comunidade chinesa de IA argumenta que a destilação é técnica comum e que a acusação, sem apresentação de evidências específicas (prompts, contas, provas de origem), é mais posicionamento comercial que denúncia técnica. Também argumenta que uma boa parte dos ganhos de modelos como o K3 vem de inovações arquiteturais próprias — como o Kimi Delta Attention e o Attention Residuals — que não teriam surgido por destilação. Sem transparência total dos dois lados, o público fica com uma disputa que só a auditoria independente resolveria — e essa auditoria não existe.

O que fazer com essa informação

Para quem escolhe IA no Brasil, três leituras práticas:

1. Não é motivo para deixar de usar modelos chineses. A performance do Kimi K3 e do DeepSeek V4 é real, e o preço é vantajoso. A questão é ética/legal, não técnica.
2. Se você desenvolve produto, pense no seu próprio Claude: se você publica um modelo ou API, seus termos de uso cobrem esse tipo de coleta? Vale revisar.
3. Se você lida com dados sensíveis, pergunte à cadeia de fornecedores de onde vieram os dados que treinaram o modelo que você usa. Nem sempre haverá resposta clara, mas a pergunta em si já mostra maturidade.

Resumo em uma linha