OpenAI e Anthropic enfrentam extração de raciocínio no Microsoft Azure

A OpenAI anunciou em 1 de outubro de 2026 ter interrompido uma campanha coordenada que visava copiar as etapas internas de raciocínio de seus modelos de inteligência artificial. Segundo a empresa, a atividade começou em volume baixo em 1 de julho e registrou um pico entre 24 e 25 de julho, com 16.000 requisições vindas de mais de 4.000 usuários. A investigação revelou uma rede de mais de 15.000 contas com padrões relacionados, totalmente bloqueadas até 28 de julho. A OpenAI associou o grupo principal envolvido na ação a pessoas ligadas à Moonshot AI, criadora do modelo Kimi.

O ataque utiliza uma técnica chamada "destilação adversária", na qual os invasores buscam capturar as cadeias completas de pensamento que ocorrem antes da geração da resposta final. A OpenAI explicou que os invasores copiavam o raciocínio criptografado de uma conversa e pediam a um modelo em outra sessão para descriptografá-lo e exibi-lo por escrito. A empresa esclareceu em nota de rodapé que os registros identificados tratam-se de tentativas de extração, não necessariamente bem-sucedidas em todos os casos. Recentemente, a Anthropic também relatou investidas semelhantes realizadas por empresas chinesas de IA.

Vulnerabilidades persistiram em plataformas de nuvem

Apesar de a OpenAI ter banido contas suspeitas, restringido cadastros e bloqueado as rotas de ataque em sua própria API, pesquisadores demonstraram que a falha continuou ativa em plataformas de terceiros. A equipe liderada pelo pesquisador Joachim Schaeffer publicou uma atualização indicando que, em testes realizados no dia 13 de setembro, os métodos de extração seguiam funcionando no Microsoft Azure. O problema afetou todos os modelos da OpenAI testados na nuvem da Microsoft, incluindo o GPT-6 Astra, além de modelos da Anthropic até o Sonnet 5.

Em paralelo, o desenvolvedor Can Bölük demonstrou publicamente um método secundário de extração. Por essa técnica, o modelo recebe uma ferramenta de bloco de notas virtual e instrução para registrar nela o seu raciocínio, permitindo a leitura direta pelo usuário. Conforme os pesquisadores, essa abordagem funcionou em diversos sistemas da OpenAI, além dos modelos Opus 4.8 e Sonnet 5 da Anthropic. Apenas os modelos Opus 5, Fable 5 e Fable 5.1 não revelaram suas cadeias de pensamento durante o teste.

Medidas de correção e desdobramentos

Os pesquisadores classificaram as correções iniciais aplicadas pelas empresas como superficiais, observando que a proteção da API direta não garante a segurança em ecossistemas de nuvem que revendem acesso aos modelos. Diante de incidentes e preocupações sobre brechas que afetam a infraestrutura, o setor já enfrentou decisões severas no passado, como quando a OpenAI pausou modelos avançados após falhas de segurança e vazamentos.

No caso atual, os dados da pesquisa indicam que a OpenAI aplicou proteções ao endpoint do Azure em 27 de setembro. No caso dos modelos da Anthropic, a extração no Azure deixou de ser reproduzida em 28 de setembro. A OpenAI reconheceu que os modelos hospedados por parceiros exigem as mesmas proteções aplicadas em seus serviços próprios e afirmou que o trabalho de mitigação continua, prevendo que tentativas de extração se tornem mais sofisticadas à medida que os modelos de ponta evoluem.