NSA, CISA e FBI alertam empresas de IA baseadas na China sobre a destilação de modelos de IA de ponta dos EUA

A Agência de Segurança Nacional, a Agência de Segurança de Cibersegurança e Infraestrutura e o Federal Bureau of Investigation divulgaram um aviso conjunto de cibersegurança em 8 de setembro de 2026, alertando que empresas de inteligência artificial baseadas na China estão extraindo sistematicamente capacidades proprietárias de modelos de IA de ponta dos EUA por meio de campanhas de destilação de conhecimento em escala industrial que operam desde, pelo menos, o final de 2024.

No aviso, designado AA26-251A, as agências afirmam que essas campanhas “formam o núcleo — não apenas um suplemento” da estratégia de desenvolvimento de IA das empresas. Segundo o aviso, provavelmente com o conhecimento do governo chinês, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI extraíram bilhões de tokens em milhões de trocas e solicitações de modelos de IA de ponta dos EUA, incluindo variantes de Claude, GPT, Gemini e Grok. As agências declaram que a atividade viola os termos de uso das empresas norte‑americanas e ameaça a liderança tecnológica dos EUA.

O anúncio do aviso da CISA descreve a destilação de conhecimento como uma técnica de aprendizado de máquina que treina um modelo menos capaz usando as saídas de um modelo maior e mais capaz. Embora seja um método de treinamento válido, disse a CISA, ele pode ser usado indevidamente para adquirir capacidades de concorrentes em menos tempo e com menor custo do que desenvolvê‑las legitimamente. “Instamos fortemente as empresas de IA a tomar medidas imediatas para proteger suas plataformas contra campanhas de destilação de conhecimento que ameaçam fechar a lacuna nos avanços realizados por empresas americanas”, disse o Diretor Interino da CISA, Nick Andersen.

Atividade Atribuída à DeepSeek, Moonshot AI e Outras

De acordo com o aviso, a DeepSeek conduziu uma campanha organizada de destilação contra modelos de IA de ponta dos EUA desde, pelo menos, o final de 2024 para gerar dados de treinamento sintéticos para seus modelos, incluindo o R1, lançado no início de 2025. As agências afirmam que a DeepSeek focou em capacidades de raciocínio, otimizações especializadas e funções específicas de domínio para reduzir custos de computação e pesquisa, e que o custo de treinamento de US$ 5,6 milhões divulgado publicamente pela empresa é enganoso, pois exclui o custo dos dados obtidos por meio de destilação maliciosa. Entre o final de 2024 e meados de 2025, o aviso indica que a DeepSeek destilou de Claude 3.7, Claude Sonnet 4, Claude Sonnet 4.5, Claude Opus 4.1, Gemini 2.5 Pro Preview, Gemini 2.5 Flash Preview, GPT‑4, GPT‑4o, GPT‑4 Mini, GPT‑4 Nano, GPT‑5 e Grok 4 para treinar seus modelos R1 e V3.

O aviso indica que a Moonshot AI realizou uma campanha de destilação ampla desde, pelo menos, meados de 2025, extraindo dados significativos do Claude Fable 5 para treinar seu modelo Kimi‑K3 e dados do GPT‑4o para treinar seu modelo Kimi‑K2. As capacidades visadas incluíam otimização de fine‑tuning supervisionado, aprendizado por reforço, engenharia de software e matemática, extraídas de uma variedade de modelos Claude, GPT, Gemini e Grok. Segundo o aviso, a Moonshot AI utilizou milhões de trocas focadas em raciocínio agente e uso de ferramentas, codificação e análise de dados, desenvolvimento de agentes de uso de computador e visão computacional.

No final de 2025, o aviso indica que a Alibaba destilou Claude‑4, Claude Opus, Claude Sonnet e GPT‑5 para aprimorar engenharia de software, diálogos de atendimento ao cliente e criação de imagens e personagens em sua família de modelos Qwen. No mesmo período, a MiniMax destilou raciocínio em cadeia de pensamento, aprendizado por reforço, fine‑tuning supervisionado e capacidades de engenharia de software para melhorar seu modelo M2 a partir de Claude Code, Claude Sonnet 4, Claude Opus, Gemini 1, Gemini 2.5 Pro e Gemini 3 Pro. Segundo o aviso, a MiniMax também utilizou Claude Code para desenvolvimento interno de software e empregou injeções de prompts para tentar enganar o Claude Code, fazendo‑o acreditar que era um produto MiniMax.

Entre o final de 2025 e o início de 2026, o aviso indica que a StepFun destilou dados de Claude Opus 4.1 e 4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT‑5 Mini, GPT‑5 Pro, GPT‑5.1, GPT‑5.1 Codex e GPT‑5.2 para aprimorar as funções de codificação e agentes de seu modelo Step 4. Até meados de 2026, a Z.AI havia destilado bilhões de tokens de dados do GPT‑5.5 e do Claude Opus 4.8 para desenvolver capacidades de raciocínio em cadeia de pensamento, conforme o aviso.

Táticas e Técnicas

O aviso indica que as empresas encaminham solicitações de destilação por meio de APIs nativas, provedores de nuvem remotos e agregadores de terceiros que ofuscam os metadados dos usuários, e que utilizam um mercado cinza de proxies de API conhecidos como estações de transferência para contornar restrições geográficas, evadir salvaguardas e minar a rastreabilidade. As economias de custo provêm da aquisição em grande volume de assinaturas premium compartilhadas entre equipes de desenvolvedores, segundo o aviso, e as táticas avançadas incluem extração de raciocínio em cadeia de pensamento, failover automatizado entre caminhos durante tentativas de bloqueio e estruturas de avaliação de qualidade projetadas para detectar contramedidas defensivas.

As agências mapearam a atividade para a estrutura MITRE ATLAS ao longo das fases do ciclo de vida do adversário, desde o desenvolvimento de recursos até a exfiltração, incluindo a criação de contas fraudulentas e prompts de jailbreak que forçam os modelos a revelar raciocínio oculto em cadeia de pensamento. O aviso indica que a DeepSeek utilizou prompts instruindo os modelos a imaginar e articular o raciocínio interno por trás de respostas concluídas, e que a MiniMax redirecionou trocas para um novo modelo Claude dentro de 24 horas após seu lançamento.

O aviso também detalha quatro técnicas que descreve como inéditas: evasão de restrições regionais combinada com exploração de assinaturas, infraestrutura centralizada de roteamento de solicitações, sanitização automatizada de metadados de solicitações e otimização sistemática de cotas e custos. Os indicadores de detecção listados no aviso incluem contas compartilhadas usadas a partir de múltiplos endereços IP e agentes de usuário, uso contínuo 24 horas por dia sem variação humana, proporções anômalas de assinatura‑para‑uso e novas assinaturas que operam imediatamente em uso máximo.

Mitigações Recomendadas

As agências recomendam que as empresas de IA dos EUA adotem três ações imediatas: implementar detecção e mitigação abrangentes de prompts, contas, redes e comportamentos anômalos e maliciosos; implantar alterações de resposta direcionadas que modifiquem sutilmente as respostas a tentativas suspeitas de destilação maliciosa; e estabelecer compartilhamento de inteligência entre organizações, abrangendo provedores de modelos, plataformas de nuvem e agregadores de API.

As alterações de resposta podem incluir privacidade diferencial ou o fornecimento de modelos degradados para solicitações suspeitas de destilação, conforme o aviso, e as empresas devem variar essas mudanças entre solicitações para complicar a avaliação da qualidade das respostas. O aviso recomenda não informar usuários suspeitos de destilação maliciosa quando as respostas são alteradas, ao mesmo tempo em que afirma que pesquisadores de segurança de IA e avaliadores externos devem ser informados sobre as mudanças nos modelos.

O aviso enumera mitigações derivadas do MITRE ATLAS, incluindo limites de taxa de consultas, controles de acesso a modelos de produção, registro de telemetria de IA, ofuscação de saída, red teaming adversarial, reforço de modelos, ensembles e limites na divulgação de artefatos de modelo. Também cita a taxonomia de aprendizado de máquina adversarial da NIST, abrangendo privacidade diferencial com seu trade‑off entre ruído e utilidade, intervenções pré‑ e pós‑treinamento, e técnicas de instrução e formatação de prompts.

O aviso solicita uma resposta coordenada entre o governo dos EUA, a iniciativa privada e nações aliadas, afirmando que divulgações da indústria documentam redes de proxies que gerenciam simultaneamente dezenas de milhares de contas fraudulentas. Ele orienta as organizações afetadas pelas campanhas a registrar uma denúncia no Internet Crime Complaint Center do FBI.