Empresas chinesas usando modelos de IA americanos para acelerar o desenvolvimento de suas próprias inteligências artificiais estão no centro de um novo alerta conjunto da CISA, NSA e FBI.
Segundo as agências dos Estados Unidos, companhias como DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI realizaram campanhas sistemáticas para extrair capacidades de modelos como GPT, Claude, Gemini e Grok.
O processo é conhecido tecnicamente como destilação de modelos de IA. A técnica é legítima e bastante conhecida na área de inteligência artificial, mas as autoridades americanas afirmam que, nesses casos, ela foi utilizada em escala industrial, com milhões de interações e bilhões de tokens coletados para gerar dados destinados ao treinamento de modelos chineses.
O alerta foi publicado em 8 de setembro de 2026 e afirma que as operações acontecem desde pelo menos o final de 2024. Além do enorme volume de consultas, as empresas teriam utilizado múltiplas contas, APIs, serviços de nuvem, agregadores e intermediários para contornar restrições e dificultar a identificação das campanhas.
Antes que a história vire simplesmente “China copiou o ChatGPT”, porém, existe uma diferença técnica importante. As agências não afirmam que empresas chinesas obtiveram uma cópia completa dos modelos americanos.
A acusação envolve a extração sistemática de funcionalidades, comportamentos e capacidades através das respostas produzidas por esses sistemas.
Como uma empresa pode usar uma IA para treinar outra IA
A chamada destilação de conhecimento permite que um modelo mais avançado funcione como uma espécie de professor para outro.
Em vez de desenvolver todo o comportamento desejado apenas a partir de dados convencionais, pesquisadores podem gerar respostas com um modelo mais poderoso e transformar esses resultados em dados sintéticos utilizados posteriormente no treinamento de outro sistema.
Imagine pedir para uma IA avançada resolver milhares de problemas de programação, matemática, escrita e raciocínio. As respostas são armazenadas, classificadas e organizadas. Depois, esse conjunto pode ajudar outro modelo a aprender padrões semelhantes.
Essa é uma simplificação do processo, mas ajuda a entender por que as respostas de uma inteligência artificial possuem valor muito além da conversa que aparece na tela.
E destilação, por si só, não significa ataque.
Ela é uma técnica legítima de aprendizado de máquina. O que CISA, NSA e FBI classificam como atividade maliciosa é o uso sistemático dessa técnica para extrair funcionalidades proprietárias em grande escala, violando termos de uso e empregando mecanismos destinados a contornar restrições e dificultar a identificação da origem das consultas.
DeepSeek aparece como um dos principais alvos do alerta
A DeepSeek recebe atenção especial no documento. Segundo as autoridades americanas, a empresa realiza campanhas organizadas contra modelos de fronteira dos Estados Unidos desde pelo menos o final de 2024. Os dados obtidos teriam sido utilizados no treinamento e aperfeiçoamento dos modelos R1 e V3.
As campanhas teriam buscado capacidades bastante específicas, incluindo raciocínio, tarefas orientadas por regras de APIs, funções de agentes de IA, perguntas e respostas, escrita criativa e otimizações relacionadas ao treinamento supervisionado.
O documento também questiona uma das cifras que ajudaram a transformar a DeepSeek em fenômeno mundial.
O relatório técnico do DeepSeek V3 apresentou um custo de aproximadamente US$ 5,6 milhões relacionado ao treinamento do modelo. As agências argumentam que esse valor não representa o custo econômico completo de seu desenvolvimento caso sejam considerados os dados que, segundo elas, foram obtidos através das campanhas de destilação.
Isso não significa que as autoridades tenham simplesmente recalculado o custo computacional do treinamento e chegado a outro número.
A alegação é mais específica: o valor divulgado não incluiria o custo equivalente das capacidades e dos dados sintéticos obtidos a partir de modelos de outras empresas.
GPT, Claude, Gemini e Grok aparecem entre os modelos utilizados
O documento apresenta uma extensa relação de sistemas que teriam sido consultados pelas empresas chinesas.
Não existe apenas um fornecedor envolvido. Modelos da OpenAI, Anthropic, Google e xAI aparecem na análise, com diferentes empresas chinesas buscando capacidades específicas.
| Empresa citada | Famílias de modelos mencionadas | Capacidades destacadas |
|---|---|---|
| DeepSeek | GPT, Claude, Gemini e Grok | Raciocínio, agentes, APIs, escrita e otimização de treinamento |
| Moonshot AI | GPT, Claude, Gemini e Grok | Engenharia de software, matemática, SFT e aprendizado por reforço |
| Alibaba | GPT e Claude | Engenharia de software, atendimento, agentes e treinamento |
| MiniMax | GPT, Claude e Gemini | Raciocínio, agentes, revisão de código e engenharia de software |
| StepFun | GPT e Claude | Desenvolvimento de código e funções de agentes |
| Z.AI | GPT e Claude | Raciocínio |
Essa variedade ajuda a explicar a estratégia descrita pelas autoridades. Segundo o alerta, as empresas não estariam simplesmente tentando reproduzir um único concorrente. A estratégia seria buscar as melhores capacidades de diferentes modelos e utilizar os resultados no desenvolvimento dos próprios sistemas.
Um modelo pode ser particularmente interessante para programação. Outro, para raciocínio. Outro pode entregar resultados melhores em determinados fluxos envolvendo agentes.
É quase um buffet de inteligência artificial. A diferença é que, segundo as autoridades americanas, algumas empresas chegaram com uma quantidade industrial de pratos.
Bilhões de tokens coletados através de milhões de interações
A escala é justamente um dos pontos centrais da acusação. CISA, NSA e FBI afirmam que as empresas citadas extraíram bilhões de tokens através de milhões de trocas e requisições desde pelo menos o final de 2024.
Isso muda completamente a natureza da operação.
Uma pessoa utilizando Claude ou ChatGPT para comparar respostas não está necessariamente realizando uma campanha de extração. Uma empresa automatizando milhões de consultas sobre determinados domínios para montar conjuntos estruturados de treinamento apresenta outro padrão.
Segundo as autoridades, as campanhas podiam durar dias ou meses e concentrar milhares ou milhões de consultas em determinados assuntos.
O objetivo não seria simplesmente coletar conhecimento factual. As operações buscariam comportamentos e capacidades úteis para melhorar modelos concorrentes.
Empresas teriam criado infraestrutura para contornar os bloqueios
Executar milhões de consultas cria um problema bastante previsível: alguém eventualmente percebe.
Por isso, o alerta descreve uma infraestrutura distribuída utilizada para evitar que toda a atividade aparecesse concentrada em um único ponto.
As requisições teriam passado por APIs oficiais, provedores de nuvem, agregadores externos, serviços intermediários e grandes conjuntos de contas.
Um dos elementos mais interessantes são as chamadas transfer stations.
Segundo as autoridades, existe um mercado paralelo de proxies de API que revende acesso a modelos avançados. Esses intermediários podem permitir que clientes contornem restrições geográficas, reduzam custos e dificultem a identificação da verdadeira origem das requisições.
As empresas também teriam comprado assinaturas premium em grande quantidade e compartilhado essas contas entre equipes de desenvolvedores.
Assim, milhões de interações podem ser distribuídas por diversos caminhos em vez de aparecerem como uma enorme operação centralizada.
Se uma API bloqueia, o sistema procura outra
O documento descreve ainda sistemas centralizados para controlar esse tráfego.Essas plataformas poderiam selecionar diferentes caminhos para chegar aos modelos, monitorar disponibilidade, controlar cotas e trocar de fornecedor quando necessário.
Caso determinado acesso fosse bloqueado, outro poderia assumir. Isso cria um desafio considerável para os provedores.
Uma empresa pode detectar um conjunto suspeito de contas e interromper o acesso. Se a mesma operação estiver distribuída por APIs nativas, nuvens, agregadores e serviços intermediários, bloquear apenas uma parte não necessariamente encerra a coleta.
Segundo as autoridades, justamente por isso as campanhas precisam ser analisadas de maneira coordenada entre diferentes empresas.
Até o raciocínio das IAs entrou na mira
A coleta não teria se limitado às respostas finais. O alerta afirma que empresas também empregaram técnicas de prompt injection e jailbreak para tentar fazer modelos revelar processos internos de raciocínio que normalmente não são apresentados aos usuários.
Segundo as autoridades, a DeepSeek utilizou prompts destinados a fazer modelos imaginar e descrever passo a passo o raciocínio por trás de determinadas respostas.
O objetivo seria particularmente valioso para treinamento.
Em vez de ensinar um modelo apenas que determinada resposta está correta, conjuntos desse tipo podem ajudar no desenvolvimento de comportamentos relacionados à resolução de problemas complexos, programação, lógica e tarefas executadas por agentes.
É também aqui que entra uma das áreas mais disputadas atualmente na inteligência artificial: agentes de IA.
Modelos capazes de planejar tarefas, utilizar ferramentas, escrever e executar código ou interagir com outros sistemas possuem valor muito maior do que um chatbot limitado a produzir texto.
Extrair capacidades relacionadas a esses comportamentos, portanto, pode representar um atalho bastante interessante para quem está tentando desenvolver sistemas concorrentes.
Moonshot teria feito milhões de consultas focadas em agentes e programação
A Moonshot AI, responsável pela família Kimi, também aparece com destaque no alerta. Segundo as agências, a empresa conduz uma campanha ampla desde pelo menos meados de 2025.
As autoridades afirmam que dados do GPT 4o foram utilizados no treinamento do Kimi K2 e que informações obtidas do Claude também foram empregadas no desenvolvimento de modelos posteriores.
As consultas teriam como alvo capacidades relacionadas a engenharia de software, matemática, aprendizado por reforço e treinamento supervisionado.
O documento afirma ainda que milhões de interações foram direcionadas a raciocínio de agentes, utilização de ferramentas, programação, análise de dados, visão computacional e desenvolvimento de agentes capazes de interagir com computadores.
Isso mostra que o interesse não estava apenas no que os modelos sabiam responder, mas também naquilo que conseguiam fazer.
MiniMax teria reagido a um novo Claude em menos de 24 horas
Outro detalhe revela o nível de automação descrito pelas autoridades. Segundo o alerta, a MiniMax redirecionou interações para um novo modelo Claude em menos de 24 horas depois de seu lançamento.
Para as agências, isso indica monitoramento contínuo dos provedores e infraestrutura previamente preparada para começar rapidamente a coletar dados de novos modelos.
A MiniMax também teria utilizado Claude Code internamente em tarefas de desenvolvimento, geração e análise de código.
O documento faz ainda uma acusação particularmente curiosa: a empresa teria utilizado prompt injection para tentar fazer Claude Code acreditar que estava operando como um produto da própria MiniMax.
A guerra dos chatbots aparentemente já chegou à fase em que uma IA tenta convencer outra de que trabalha para a concorrência.
Como detectar uma operação criada para treinar outra IA
O desafio é que uma campanha desse tipo não necessariamente se parece com um ataque cibernético convencional.
Não é obrigatório explorar uma vulnerabilidade, instalar malware ou invadir um servidor. O próprio serviço legítimo pode ser utilizado como mecanismo de coleta.
Por isso, as autoridades recomendam procurar padrões comportamentais.
| Sinal | Por que chama atenção |
|---|---|
| Conta recém criada chegando imediatamente ao consumo máximo | Pode indicar implantação automatizada |
| Uso contínuo durante 24 horas | Ausência de períodos normais de inatividade pode indicar automação |
| Consultas semelhantes em várias contas | Pode revelar uma operação coordenada |
| Trocas rápidas entre APIs e provedores | Pode indicar tentativa de contornar limites |
| Milhares de prompts sobre um domínio específico | Pode representar geração estruturada de dados de treinamento |
| Contas compartilhadas entre diferentes IPs e dispositivos | Pode indicar pools destinados a distribuir a coleta |
| Uso constantemente otimizado para cotas e cache | Pode indicar infraestrutura criada especificamente para reduzir custos |
Nenhum desses comportamentos comprova sozinho que existe uma campanha de extração. Uma empresa legítima também pode consumir enormes volumes de uma API.
O que muda é a combinação de volume, repetição, infraestrutura, padrões das consultas e comportamento das contas.
CISA sugere entregar respostas piores para quem estiver extraindo dados
Talvez a recomendação mais curiosa do alerta esteja na forma de reagir.
Em vez de simplesmente bloquear uma conta suspeita, as agências sugerem que provedores considerem alterar discretamente as respostas entregues quando houver alta confiança de que determinada operação está realizando destilação maliciosa.
Entre as possibilidades estão reduzir a profundidade das respostas, variar a forma de raciocínio, utilizar modelos menos sofisticados ou aplicar técnicas como privacidade diferencial.
Existe uma lógica interessante por trás disso.
Se a conta for bloqueada imediatamente, quem controla a operação sabe que foi detectado e pode mudar de infraestrutura.
Se continuar recebendo respostas, mas a qualidade dos dados coletados diminuir, descobrir exatamente quando a defesa começou a funcionar fica mais complicado.
O próprio documento recomenda não informar usuários confirmados nessas campanhas sobre a troca para um modelo inferior.
Pesquisadores legítimos e avaliadores independentes, por outro lado, deveriam ser informados sobre alterações desse tipo.
Por que simplesmente bloquear contas pode não funcionar
A arquitetura distribuída apresentada pelas autoridades também explica uma das três principais recomendações do alerta: compartilhar informações entre empresas.
Um provedor pode enxergar algumas contas suspeitas. Outro possui determinados endereços IP. Um serviço de nuvem identifica padrões de tráfego. Um agregador conhece outra parte da infraestrutura.
Separadamente, os sinais podem parecer pequenos.
Correlacionados, podem revelar que milhares de contas aparentemente independentes pertencem à mesma operação.
As agências defendem o compartilhamento de indicadores de infraestrutura e comportamento entre empresas de IA, provedores de nuvem, agregadores e outros participantes do ecossistema.
O documento também relaciona várias dessas atividades ao MITRE ATLAS, framework voltado especificamente para ameaças contra sistemas de inteligência artificial.
O que CISA, NSA e FBI recomendam às empresas de IA
As recomendações imediatas são concentradas em três áreas. A primeira é ampliar a detecção comportamental, observando contas, prompts, redes e padrões de consumo. Relações incomuns entre quantidade de assinaturas e volume de utilização também devem ser monitoradas.
Já a segunda é desenvolver respostas específicas para campanhas identificadas, incluindo a possibilidade de reduzir discretamente o valor dos dados entregues ao responsável pela coleta.
E a terceira é compartilhar inteligência entre organizações.
O alerta também recomenda controles como limites de consultas, autenticação mais forte para APIs, telemetria detalhada, testes ofensivos contra os próprios modelos e redução das informações disponibilizadas publicamente sobre arquitetura, prompts internos e outros componentes sensíveis.
A ideia é aumentar o custo necessário para transformar um modelo comercial em uma máquina industrial de geração de dados para um concorrente.
O alerta não significa que modelos chineses sejam simples cópias
Essa distinção merece atenção. O documento acusa empresas chinesas de extrair capacidades de modelos americanos em escala industrial. Isso não equivale a afirmar que DeepSeek R1, Kimi, Qwen ou outros sistemas sejam simplesmente cópias integrais de GPT ou Claude.
O desenvolvimento de um grande modelo continua dependendo de infraestrutura, arquitetura, dados, treinamento, ajustes, avaliação, pesquisa e grandes quantidades de capacidade computacional.
A acusação das autoridades é que a coleta de respostas de modelos concorrentes teria reduzido parte do tempo e dos investimentos necessários para desenvolver determinadas capacidades.
Também estamos falando de uma avaliação publicada por órgãos do governo dos Estados Unidos em meio a uma disputa tecnológica cada vez maior entre Estados Unidos e China.
A origem da acusação não invalida os detalhes técnicos apresentados, mas precisa estar clara para o leitor.
A nova corrida da IA também acontece dentro das APIs
Durante boa parte da corrida pela inteligência artificial, a discussão esteve concentrada em GPUs, data centers, energia, pesquisadores e bilhões de dólares necessários para treinar modelos cada vez maiores.
O alerta da CISA adiciona outro recurso estratégico à lista: as respostas dos próprios modelos concorrentes.
Uma única conversa com GPT ou Claude possui pouco valor para reproduzir suas capacidades. Milhões de consultas cuidadosamente planejadas, classificadas e transformadas em conjuntos de treinamento representam algo completamente diferente.
É justamente essa escala que CISA, NSA e FBI afirmam ter identificado.
Se as acusações estiverem corretas, proteger os modelos mais avançados não dependerá apenas de manter pesos, códigos e dados de treinamento longe dos concorrentes.
Será necessário também descobrir quando um usuário está realmente usando uma inteligência artificial e quando milhões de “usuários” estão, na prática, ensinando outra IA a fazer a mesma coisa.
A corrida pela inteligência artificial continua envolvendo chips, energia, talentos e dinheiro. Agora, aparentemente, fazer as perguntas certas também vale bilhões.
