Destilação de IA: a acusação da OpenAI contra a Moonshot

Imagine um aluno que não quer só a resposta da prova. Ele quer o rascunho do professor, com cada conta, cada tentativa e cada correção. É disso que a OpenAI acusa pessoas ligadas à empresa chinesa Moonshot AI: de tentar, milhares de vezes, arrancar dos modelos GPT, os programas que fazem o ChatGPT funcionar, o raciocínio que eles escondem.

O nome técnico da prática é destilação de IA, e ela está no centro da disputa entre Estados Unidos e China. O curioso é que a mesma técnica é usada todos os dias, de forma legítima, pelas próprias empresas americanas.

Este artigo explica o que a OpenAI disse, o que é destilação, como funciona o truque descrito e o que está provado de fato. Você também vai ver o outro lado: a resposta da China e dos pesquisadores que duvidam da história.

Resumo rápido: a resposta em 30 segundos. Em 30 de setembro de 2026, a OpenAI disse ter barrado uma campanha para extrair o raciocínio oculto dos seus modelos, com núcleo ligado à Moonshot AI, dona do Kimi, rival chinês do ChatGPT. Foram 16 mil pedidos em dois dias: tentativas, não extrações confirmadas. Destilar é treinar um modelo com as respostas de outro: técnica comum, que vira problema quando feita às escondidas. A Moonshot não comentou; a China nega.

Índice

• O que a OpenAI disse em 30 de setembro?
• O que é destilação de IA?
• O que é o raciocínio protegido e como tentaram extraí-lo?
• Quem é a Moonshot AI e o que é o Kimi K3?
• Como as acusações chegaram até aqui?
• O que dizem a China e os especialistas?
• O que isso muda para você
• Perguntas frequentes

O que a OpenAI disse em 30 de setembro?

A OpenAI afirmou ter identificado e interrompido uma campanha coordenada para extrair o "raciocínio protegido" dos seus modelos. Segundo a empresa, a atividade começou em 1º de julho de 2026, teve picos em 24 e 25 de julho e foi bloqueada até o dia 28. Um núcleo dela foi atribuído a pessoas associadas à Moonshot AI.

Tudo está no comunicado oficial da OpenAI, publicado na área de segurança do site. A empresa chama o caso de "destilação adversária": o uso sistemático e não autorizado das respostas ou do raciocínio de um modelo para treinar, reproduzir ou melhorar outro.

Os números da campanha

Nos dois dias de pico, a OpenAI registrou 16 mil pedidos com o mesmo padrão de extração, vindos de mais de 4 mil usuários. Ao investigar, encontrou atividade parecida em um grupo maior, de mais de 15 mil usuários.

Repare na distância entre o bloqueio e o anúncio: dois meses. A OpenAI diz que usou esse tempo para medir o alcance do problema, aplicar correções e avisar outras empresas do setor e o governo antes de tornar o caso público.

O que a OpenAI não afirma

Três ressalvas estão no próprio comunicado, e elas mudam o tamanho da notícia.

A primeira: os números descrevem tentativas, "não necessariamente bem-sucedidas". A empresa não diz quanto raciocínio saiu de fato.

A segunda: a OpenAI admite não saber se todos os que faziam os pedidos pertenciam a um mesmo grupo. Ela atribui à Moonshot só um "núcleo" da atividade, e fala em "indivíduos associados" à empresa.

A terceira: ninguém quebrou a criptografia (o embaralhamento que deixa um texto ilegível para quem não tem a chave), invadiu um banco de dados ou leu conversas guardadas de outros usuários. O que houve foi manipulação das conversas com o modelo, em desacordo com os termos de uso.

Em uma frase: a OpenAI diz ter barrado, em julho, milhares de tentativas de arrancar o raciocínio oculto do GPT, e aponta gente ligada à Moonshot como o centro delas, sem afirmar que as tentativas deram certo.

Falta saber o que é a tal destilação.

O que é destilação de IA?

Destilação de IA é o processo de treinar um modelo menor ou mais novo usando as respostas de um modelo mais capaz. Em vez de aprender tudo do zero, o "aluno" aprende imitando o "professor". O resultado é um modelo mais barato de rodar, que guarda boa parte da habilidade do original.

Pense num cozinheiro aprendiz. Ele pode passar anos testando receitas por conta própria, ou pode ficar ao lado de um chef experiente, vendo o que ele faz em cada prato. O segundo caminho é muito mais rápido. Destilar um modelo é colocar a IA aprendiz ao lado do chef, milhões de vezes.

A ideia nasceu em 2015, num artigo científico de três pesquisadores do Google, entre eles Geoffrey Hinton, que depois ganharia o Nobel de Física. Eles mostraram que um modelo pequeno aprende melhor quando recebe não só a resposta certa do modelo grande, mas também as dúvidas dele.

Um exemplo ajuda. Diante de uma foto, o modelo grande não diz só "cachorro". Ele diz que há muita chance de ser cachorro, alguma de ser gato e quase nenhuma de ser carro. Essa gradação ensina ao aluno que cachorro e gato são parecidos, e que os dois são bem diferentes de um carro.

Desde então a técnica virou rotina. A própria OpenAI oferece destilação como serviço para seus clientes criarem versões menores e mais baratas dos modelos. Como resumiu a Wired em uma reportagem sobre a origem da técnica, trata-se de uma das ferramentas mais usadas para tornar a IA mais eficiente.

Por que isso importa para você? Porque boa parte dos modelos rápidos e baratos que você usa no celular existe graças à destilação. A versão "mini" de um assistente costuma ser aluna da versão grande.

Quando a destilação vira "adversária"?

O problema, segundo as empresas americanas, não é a técnica. É quem destila o quê, e como. Destilar o próprio modelo é legítimo. Destilar o modelo de um concorrente, escondido, com contas falsas e contra os termos de uso, é o que elas chamam de ataque.

Há um detalhe técnico. A destilação clássica exige ver o professor por dentro, com aquelas porcentagens de cachorro, gato e carro. Um concorrente não tem esse acesso. O que sobra é o caminho de fora: fazer milhares ou milhões de perguntas e guardar as respostas para treinar o aluno.

A Anthropic, dona do Claude e concorrente da OpenAI, descreveu esse padrão em fevereiro de 2026: um pedido isolado parece inocente. Quando variações dele chegam dezenas de milhares de vezes, de centenas de contas coordenadas, todas mirando a mesma habilidade, o desenho fica claro.

Só que o prêmio mais valioso não está na resposta final do modelo. Está no rascunho.

O que é o raciocínio protegido e como tentaram extraí-lo?

O raciocínio protegido é o rascunho que o modelo escreve antes de responder: os passos, os testes e as correções que levam à resposta. As empresas escondem esse rascunho do usuário. Segundo a OpenAI, os autores dos pedidos copiavam o rascunho cifrado, isto é, embaralhado em código, e pediam a um modelo, em outra conversa, que o decifrasse e transcrevesse.

Os modelos mais novos são chamados de modelos de raciocínio, porque "pensam" por escrito antes de responder. Em inglês, esse rascunho é a chain of thought (cadeia de pensamento).

Volte à prova de matemática. A resposta final é "x = 4". O rascunho mostra como se chega lá. Quem só vê a resposta aprende pouco. Quem vê o rascunho aprende o método, e método é o que um modelo aluno mais quer copiar. É por isso que o rascunho fica escondido.

Escondido não quer dizer ausente. O estudo de pesquisadores independentes citado pela OpenAI explica o mecanismo: em vez de guardar o rascunho nos próprios servidores, os provedores o devolvem ao cliente como um bloco de texto cifrado, que volta a cada novo pedido.

A falha descrita no estudo está em um detalhe. Esses blocos eram intercambiáveis entre conversas, usuários e modelos de uma mesma empresa. O ataque, passo a passo, ficava assim:

1. O operador faz uma pergunta difícil ao modelo mais avançado e recebe a resposta, junto com o bloco cifrado do raciocínio.
2. Ele copia esse bloco, que para ele é um amontoado ilegível de caracteres.
3. Ele abre outra conversa, com um modelo menor e menos protegido da mesma empresa, e cola o bloco ali.
4. Ele pede a esse modelo menor que transcreva o conteúdo. O modelo decifra o bloco e escreve o raciocínio em texto comum.
5. Repetindo isso milhares de vezes, forma-se um banco de raciocínios para treinar outro modelo.

É como um cofre com duas portas e a mesma chave. A porta da frente tem um segurança rigoroso, que é o modelo grande, treinado para recusar. A dos fundos tem um porteiro distraído, que é o modelo menor. O cofre nunca foi arrombado: alguém convenceu o porteiro a abri-lo.

A OpenAI diz ter fechado esse caminho. O rascunho cifrado de um usuário ou de um modelo deixou de abrir em outro, e a empresa passou a reter respostas que possam expor o raciocínio.

A pesquisa que achou a mesma falha

O estudo, publicado em 10 de agosto de 2026, demonstrou o ataque em modelos da Anthropic, da OpenAI e do Google. Não era um defeito exclusivo do GPT, e a OpenAI reconhece isso no comunicado.

Os pesquisadores também mostraram um risco para pessoas comuns. Programadores costumam publicar o histórico das suas conversas com a IA sem saber o que há dentro dos blocos cifrados. Ao decifrar 315.320 blocos colhidos em repositórios públicos, os sites onde se compartilha código, a equipe recuperou 367 dados pessoais e 182 credenciais, que são senhas e chaves de acesso.

A parte mais citada é um teste com o Kimi K3. Ao receber um pequeno trecho do raciocínio do Claude Opus 4.8 como ponto de partida, o modelo chinês mudou o estilo da resposta e, em alguns casos, produziu um texto quase idêntico ao do Claude. A suspeita é esta: um modelo que reage tão forte ao jeito de pensar de outro pode ter sido treinado com ele.

Os próprios autores avisam que isso é pouco. O apêndice diz, com todas as letras, que a análise não permite afirmar que houve destilação. Ela usou só 90 problemas e foi feita depois que as empresas corrigiram a falha.

Em uma frase: o raciocínio protegido é o rascunho do modelo, e o truque foi levar esse rascunho cifrado a um modelo menor da mesma empresa, que aceitava traduzi-lo.

Quem é a Moonshot AI e o que é o Kimi K3?

A Moonshot AI é uma empresa chinesa de inteligência artificial, registrada em Pequim, que desenvolve a família de modelos Kimi. O mais recente, o Kimi K3, foi lançado em julho de 2026 com 2,8 trilhões de parâmetros. A empresa o apresenta como o primeiro modelo de pesos abertos a chegar a esse tamanho.

Parâmetros são os ajustes internos que o modelo aprende no treino, como os botões de uma mesa de som gigante. Quanto mais botões, mais nuance o modelo consegue guardar. Segundo a Moonshot, nenhum outro modelo aberto tinha chegado a 2,8 trilhões.

Já "pesos abertos" quer dizer que a empresa publica o arquivo com esses ajustes. Qualquer pessoa com computadores potentes o bastante pode baixar o modelo e rodá-lo por conta própria. O blog técnico do Kimi K3 prometia os pesos completos até 27 de julho de 2026, e a página do modelo informa hoje que eles estão disponíveis para download.

É essa combinação que preocupa Washington. O GPT e o Claude ficam trancados nos servidores das suas donas, que podem cortar o acesso de quem abusa. Um modelo de pesos abertos, depois de publicado, não tem volta: ele se espalha e ninguém mais controla quem usa.

Até a última checagem deste artigo, em 2 de outubro de 2026, a Moonshot não havia respondido publicamente à acusação da OpenAI.

Como as acusações chegaram até aqui?

A acusação da OpenAI é a mais recente de uma série que começou em fevereiro de 2026, quando a Anthropic apontou três laboratórios chineses. Em julho, a Casa Branca e o Tesouro americano entraram no assunto. Em setembro vieram um alerta conjunto de três agências de segurança e um novo relatório da Anthropic.

Dois termos aparecem na tabela. "Troca" é um par de pergunta e resposta entre uma conta e o modelo. Token é o pedaço de palavra que os modelos leem e escrevem, a unidade em que se mede o uso de uma IA.

O post de Michael Kratsios, diretor do escritório de ciência e tecnologia da Casa Branca, foi o momento em que o caso virou assunto de governo. Ele também afirmou que a Moonshot obteve servidores com chips avançados da Nvidia e os acessou na Tailândia. Segundo o TechCrunch, que cobriu a reação do Tesouro, a venda desses chips a empresas chinesas é proibida pelos Estados Unidos. No mesmo texto, Kratsios reconheceu que a destilação legítima tem "papel vital" na inovação aberta.

Horas depois, o secretário do Tesouro escreveu que código aberto não é licença para se apropriar da propriedade intelectual americana.

O documento mais detalhado é o alerta conjunto da NSA, da CISA e do FBI. Ele cita DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI, e diz que a destilação é "o núcleo, e não um complemento" da estratégia dessas empresas. Sobre a Moonshot, afirma que ela extraiu dados do Claude Fable 5 para treinar o K3 e do GPT-4o para treinar o K2.

Dois dias depois, o relatório de setembro da Anthropic trouxe um caso curioso. Segundo a empresa, a Moonshot repassou ao Claude pedidos dos próprios clientes, que achavam estar falando com o Kimi. Em dez dias foram quase 300 mil pedidos, por uma rede de 5.380 contas fraudulentas.

Os números em escala

Aqui cabe uma comparação que ajuda a medir o caso da OpenAI. Os 16 mil pedidos do pico são pouco perto do que a Anthropic relatou.

O caso da Alibaba é mais de 9 mil vezes maior em volume. A comparação tem limites, porque as medidas são diferentes: de um lado, pedidos com um padrão específico em dois dias; do outro, todas as trocas de uma campanha de três meses. Ainda assim, ela mostra a ordem de grandeza. O que torna o caso da OpenAI relevante não é o tamanho, e sim o método, que mirava direto o rascunho cifrado.

O que dizem a China e os especialistas?

A China nega. E pesquisadores ouvidos pela imprensa americana duvidam que a destilação, sozinha, explique a qualidade do Kimi K3. Para eles, as equipes chinesas têm competência para construir modelos avançados por conta própria, e o ganho de copiar respostas alheias diminui à medida que os modelos ficam mais sofisticados.

Em 9 de setembro, um dia depois do alerta das agências americanas, a porta-voz Mao Ning tratou do tema na entrevista coletiva do Ministério das Relações Exteriores da China. Disse que o avanço chinês em IA vem de autossuficiência científica e tecnológica e de cooperação aberta.

Do lado técnico, a dúvida é de prazo e de método. Braden Hancock, pesquisador do Laude Institute, disse ao TechCrunch, em reportagem sobre o Kimi K3, que não se chega a um modelo tão forte, tão rápido, só com destilação. Para ele, os americanos subestimam a capacidade das equipes chinesas.

Na mesma reportagem, o pesquisador Nathan Lambert, do Allen Institute for AI, argumenta que a destilação pesa cada vez menos. Se bastasse copiar respostas, diz ele, qualquer laboratório alcançaria os modelos chineses fazendo o mesmo com eles, e isso não acontece.

A Wired, ao cobrir o estudo sobre a falha, ouviu Kyle Miller, de um centro de estudos de segurança e tecnologia em Washington. A avaliação dele: ninguém nos Estados Unidos sabe quanto a destilação ajuda os laboratórios chineses, e tirá-la de cena não mudaria muito a disputa.

Há ainda a ironia que muita gente apontou. As empresas que hoje reclamam de cópia treinaram seus modelos com textos escritos por outras pessoas e publicados na internet. Esse argumento não inocenta ninguém, mas explica por que a acusação é recebida com ceticismo fora do governo americano.

Nenhuma reportagem publicada até agora resolve a questão central. Separando o que cada lado mostrou, o quadro fica assim:

Em uma frase: que houve tentativas de extração, as empresas afirmam ter registrado; que essas tentativas explicam a força dos modelos chineses, ninguém demonstrou em público.

O que isso muda para você

Para quem só conversa com o ChatGPT, quase nada muda no curto prazo, e a OpenAI afirma que conversas de usuários não foram acessadas. Os efeitos aparecem aos poucos: cadastro mais rigoroso, mais vigilância sobre uso fora do padrão e um debate sobre restringir modelos chineses de pesos abertos.

O alerta das agências americanas recomenda três medidas às empresas, e duas tocam o usuário. Uma é reforçar a verificação de identidade das contas. A outra é alterar de forma sutil as respostas dadas a quem for suspeito de destilar, ou passar a atendê-lo com um modelo inferior, sem aviso.

Como observou a Ars Technica ao analisar o alerta, o risco é atingir quem não tem nada com isso. Um usuário legítimo confundido com um operador pode receber respostas piores sem saber por quê.

Já a discussão sobre proibir modelos chineses de pesos abertos nos Estados Unidos segue aberta. Ela interessa ao Brasil porque esses modelos são a alternativa barata para quem não pode pagar pelos americanos. Na seção de inteligência artificial do Kalkazu acompanhamos essa disputa, que também aparece no nosso artigo sobre a briga pela regulação da IA nos Estados Unidos.

Perguntas frequentes

Só a OpenAI foi alvo desse tipo de extração?

Não. O estudo independente demonstrou a mesma falha em modelos da Anthropic e do Google, e a OpenAI diz no comunicado que o problema não é exclusivo dela. A Anthropic relata campanhas de destilação contra o Claude desde fevereiro de 2026, em volume muito maior.

Destilar um modelo de IA é ilegal?

Depende de como é feito. Destilar o próprio modelo, ou um modelo com permissão, é prática normal. O que a OpenAI e a Anthropic denunciam é a destilação feita às escondidas, com contas falsas e contra os termos de uso. Até agora, as acusações estão em comunicados e alertas, não em uma decisão de tribunal.

O Kimi é uma cópia do ChatGPT?

Não há prova pública disso. A OpenAI acusa pessoas ligadas à Moonshot de tentar extrair raciocínio dos seus modelos, e admite que os números são de tentativas. Pesquisadores independentes acharam semelhanças entre o Kimi K3 e modelos americanos, mas escreveram que a análise não comprova destilação.

Meus dados do ChatGPT vazaram nesse caso?

Segundo a OpenAI, não. A empresa afirma que os operadores não quebraram a criptografia, não invadiram bancos de dados e não tiveram acesso direto a conversas guardadas de usuários. O alvo era o raciocínio do modelo nas conversas que os próprios operadores abriam.

Por que a OpenAI acusa a Moonshot só agora?

A atividade foi de julho de 2026, e o anúncio saiu em 30 de setembro. A empresa diz que, antes de divulgar, investigou o alcance, aplicou correções e compartilhou as informações com outras empresas e com o governo. É a primeira vez que a OpenAI cita a Moonshot pelo nome em um caso assim.

Por que a OpenAI fala em risco de segurança, e não só em cópia?

Porque, segundo a empresa, o raciocínio extraído pode treinar outro modelo sem as travas aplicadas ao original. As respostas que o usuário vê passam por filtros; o rascunho, não. Um modelo treinado com esse material ganharia capacidade sem o mesmo investimento em proteção.

A história da Moonshot ainda está no começo: falta a resposta da empresa e falta alguém mostrar, com dados abertos, quanto a destilação de fato rende. Até lá, o mais seguro é ler cada novo comunicado separando o que foi medido do que foi só alegado.