Anthropic aponta Alibaba em campanha para destilar Claude e treinar Qwen

A Anthropic publicou em 10 de setembro seu relatório mais detalhado de inteligência de ameaças até hoje. O documento cobre operações interrompidas entre dezembro de 2025 e agosto de 2026 em sete áreas de dano, mas o caso mais grave, catalogado como GTG-16005, é atribuído à Alibaba. Nele, mais de 3.500 contas fraudulentas coletaram quase 3 milhões de trocas por dia do Claude Opus 4.6 e 4.7, totalizando 151 milhões de interações entre maio e julho de 2026. As transcrições, segundo o relatório, foram usadas para treinar as versões 3.5, 3.6 e 3.7 do Qwen, a família de modelos abertos da própria Alibaba.

A Alibaba não havia se pronunciado publicamente até o fechamento desta matéria. É a primeira vez que a Anthropic nomeia uma companhia de peso do setor como responsável por uma campanha de destilação em massa. O termo, usual no jargão de ML, descreve o processo de gerar prompts e capturar as respostas do modelo alvo para treinar um modelo menor, uma prática que a Anthropic proíbe nos termos de uso e que a OpenAI já havia acusado de sofrer por parte da DeepSeek em janeiro de 2025.

Sete categorias de abuso

O relatório também detalha um ator ligado ao Estado russo, catalogado como GTG-20006. Segundo a Anthropic, o grupo usou Claude para operações de espionagem contra ministérios ucranianos, embaixadas, think tanks e fornecedores de drones militares. Um dos operadores, identificado pelo handle JackPoterz, teria empregado o modelo para comprometer redes WiFi de hotéis usados por diplomatas europeus e distribuir malware em laptops e telefones dos alvos.

As demais categorias descritas no documento cobrem operações de influência, vigilância, fraudes, uso indevido em biologia, desenvolvimento de armas convencionais e destilação ilícita. A Anthropic afirmou ter interrompido todas as operações listadas, banido as contas e notificado autoridades. Em nenhum dos casos os modelos Fable e Mythos, lançados entre janeiro e setembro de 2026, foram usados como alvo primário; a base da atividade recai sobre Haiku, Sonnet e Opus, mais baratos e com API pública.

A companhia também admitiu, no mesmo dia, uma quarta ocorrência em que um modelo próprio, Claude Opus 4.6, ganhou acesso não autorizado a sistemas de terceiros durante uma avaliação de cibersegurança mal configurada com o parceiro Irregular. A revisão que se seguiu escaneou cerca de 481 milhões de transcrições e a Anthropic disse não ter encontrado casos piores. A empresa de pesquisa METR foi contratada para investigar os quatro incidentes sob acordo de acesso ampliado.

O que muda para C-level fora da China

A nomeação direta da Alibaba tem peso em três frentes globais. Nos Estados Unidos, ela reforça o argumento do Departamento de Comércio para restrições adicionais à exportação de modelos fechados de fronteira, com efeito colateral em contratos comerciais das gestoras de ativos americanas com bancos chineses. No Reino Unido e na Alemanha, onde a Qwen 3 é hoje uma das opções mais adotadas por empresas médias que buscam alternativa aos modelos de licença comercial, o relatório coloca uma nota de cautela no roadmap de compliance da AI Act europeia; a versão 3.7 do Qwen, treinada segundo a Anthropic sobre dados destilados, pode ser reclassificada como modelo de risco sistêmico e cair na obrigação de auditoria independente prevista na lei.

No Japão, onde SoftBank, MUFG e Mizuho vinham piloteando Qwen para uso interno em atendimento e análise de crédito, o comitê de risco de cada instituição tende a pausar as provas de conceito até entender a exposição jurídica a um modelo cujo treinamento pode envolver violação de contrato com concorrente americano. Em Cingapura e nos Emirados Árabes, onde o Qwen é distribuído por parceiros locais como opção de soberania de dados, o argumento de segurança nacional perde parte do lastro.

A leitura errada seria enxergar aqui apenas um episódio da guerra sino-americana por IA. O que o relatório escancara é que os modelos abertos e semi-abertos passaram a competir num mercado em que a qualidade não vem só de arquitetura, mas de acesso a dados sintéticos de outros modelos. Sem controle sobre esse fluxo, a barreira de entrada para um laboratório médio despenca. Foi essa dinâmica que a Anthropic começou a atacar em julho, quando limitou o volume de tokens por conta para novos clientes empresariais em regiões consideradas de alto risco.