Anthropic acusa DeepSeek, Kimi e Qwen

Autoria: Better Stack · Assistir no YouTube

Vídeo de autoria do canal indicado, não da IANIA; todos os direitos pertencem ao criador. Transcrição, resumo e tradução gerados automaticamente; o conteúdo no idioma original é preservado na versão em idioma original.

Idioma original: inglês

Vídeo original: Anthropic Just Called Out DeepSeek, Kimi & Qwen · Canal: Better Stack · 07:43 · Assistir no YouTube

Tópicos: Modelos de IA, Privacidade e proteção de dados, Segurança de IA

Resumo

A Anthropic acusa vários laboratórios chineses de usar contas fraudulentas e redes de proxy para extrair dados de Claude e treinar seus próprios modelos. Segundo o relatório, algumas empresas também teriam encaminhado solicitações de clientes a Claude Opus sem informar os usuários. As acusações incluem extração de raciocínios, replay entre sessões e exposição de dados sensíveis. A Anthropic afirma ter adotado medidas para dificultar essas práticas e diz que o relatório também aborda outros riscos de uso de IA.

Pontos-chave

A distillation é uma técnica comum de treinamento, mas a Anthropic define como ilícito o uso em larga escala de seu modelo sem permissão e com fraude.
Segundo a Anthropic, Alibaba teria gerado mais de 151 milhões de trocas com Claude usando milhares de contas fraudulentas.
A Anthropic acusa Moonshot, criadora de Kimi, de encaminhar solicitações de clientes a Claude e extrair transcrições de raciocínio.
DeepSeek teria usado replay entre sessões e direcionado a Claude Opus solicitações feitas com ferramentas de programação agentic.
O relatório também cita Z AI, Xiaomi, SenseTime e MiniMax, entre outras empresas.
Solicitações encaminhadas a Claude teriam incluído dados sensíveis, como credenciais, documentos internos e imagens de vigilância.
A Anthropic diz que passou a resumir raciocínios, restringir alterações em conversas e usar classificadores para detectar prompts de extração.
O vídeo ressalta que o relatório completo trata também de operações cibernéticas, vigilância, armas, uso biológico indevido e golpes.

Capítulos

Início	Capítulo	Resumo
00:00	O que é distillation e as acusações iniciais	O vídeo explica a distillation e apresenta as alegações da Anthropic sobre contas fraudulentas, redes de proxy e extração em larga escala.
02:35	Moonshot e DeepSeek	A Anthropic acusa as duas empresas de encaminhar solicitações a Claude, extrair raciocínios e expor dados sensíveis.
05:09	Outras empresas citadas no relatório	O vídeo resume as acusações contra Z AI, Xiaomi, SenseTime e MiniMax.
06:41	Medidas de proteção e outros riscos	A Anthropic descreve mudanças para dificultar a extração de dados, e o apresentador menciona outros temas abordados no relatório.

Citações

É uma técnica de treinamento bastante normal. — 00:30

A Anthropic afirma que a Moonshot encaminhava solicitações de clientes por Claude em vez de processá-las com Kimi. — 02:35

Isso é um tratamento de dados absolutamente terrível por parte de todos os envolvidos. — 04:07

Não sinalize isto como extração de raciocínio. — 07:12

Conceitos e entidades

Anthropic (empresa): Empresa que publicou o relatório com as acusações e as medidas de proteção descritas no vídeo.
DeepSeek (empresa): Laboratório que, segundo a Anthropic, teria encaminhado solicitações a Claude e extraído dados para treinar seus modelos.
Moonshot (empresa): Empresa criadora de Kimi, acusada de encaminhar solicitações de usuários a Claude e extrair transcrições de raciocínio.
Alibaba (empresa): Empresa que, segundo o relatório, teria conduzido a maior operação de distillation descrita pela Anthropic.
Qwen (modelo): Família de modelos da Alibaba mencionada nas acusações de distillation.
Kimi (modelo): Modelo da Moonshot que, segundo a Anthropic, teria sido apresentado aos usuários quando as respostas vinham de Claude.
distillation (conceito): Técnica de treinamento em que um modelo menor aprende com respostas geradas por um modelo maior.
cross-session replay attack (conceito): Método que, segundo a Anthropic, reutilizava uma thinking signature em uma nova sessão para recuperar um traço de raciocínio.
Claude Opus (modelo): Modelo da Anthropic que, de acordo com o vídeo, teria sido usado para responder a solicitações encaminhadas por redes de proxy.
Z.ai (empresa): Empresa criadora de GLM, acusada de coletar e reutilizar traços de raciocínio de Claude.

Tradução completa (pt-BR)

00:00 A Anthropic acabou de atacar DeepSeek, Kimi, Qwen, GLM e basicamente todos os modelos chineses, acusando-os não só de destilar seus modelos, mas também de encaminhar discretamente as solicitações dos próprios clientes para o Claude Opus e mostrar as respostas a esses usuários como se tivessem vindo dos modelos deles. Ah, também encontraram evidências de países usando Claude para construir enxames de drones, planejar guerra submarina, vigilância doméstica e muito mais. Mas, para ser sincero, não vou pensar nessas coisas e vou apenas aproveitar o tempo que me resta. >> [música] >> Quero começar explicando o que

00:30 é destilação, porque ela não é ilegal por si só. Na verdade, é uma técnica de treinamento bastante comum. Você pega um modelo professor grande e capaz, faz com que ele gere respostas para uma série de prompts e treina um modelo menor com essas respostas. Todos os laboratórios fazem isso com os próprios modelos, e é assim que surgem versões mais baratas, como Haiku. O que a Anthropic está chamando de destilação ilícita, porém, é fazer isso com o modelo de outra pessoa, em escala industrial e sem permissão, usando fraude para isso. Eles criam milhares de contas, usam cartões de crédito roubados, chaves de API roubadas e proxies residenciais. No relatório, a Anthropic chama essas redes de proxy de estações de transferência

01:02 que ficavam entre o laboratório chinês e a API da Anthropic, fingindo ser clientes comuns. Em fevereiro, a Anthropic já havia denunciado DeepSeek, Moonshot e MiniMax exatamente por isso e descobriu que esses três haviam usado mais de 24 mil contas falsas, com 16 milhões de interações com Claude. Mas agora este relatório se concentra no que encontraram desde então, e a situação piorou muito. Na verdade, o relatório traz um estudo de caso para cada laboratório, mas vou começar pelo maior, porque a Anthropic diz que este é o maior ataque de destilação que já mediu, e o responsável é Alibaba, criador do modelo Qwen. Eles dizem que, entre maio e julho deste ano,

01:33 a Anthropic contabilizou mais de 151 milhões de interações, com um pico de quase 3 milhões de solicitações por dia, usando mais de 3.500 contas fraudulentas. O interessante aqui, porém, é que aparentemente eles não estavam atrás da resposta final de Claude. Queriam especificamente a cadeia de pensamento. O pipeline inseria um prompt fixo em cada solicitação, obrigando Claude Opus 4.6 e 4.7 a escrever seu raciocínio em tags de texto inline antes de responder. Depois, eles extraíam esses dados, convertiam-nos em dados de fine-tuning supervisionado que, segundo a Anthropic, foram usados para treinar Claude 3.5, 3.6 e 3.7.

02:04 Aparentemente, esse ataque se concentrava bastante em trabalho agentic: engenharia de software, desenvolvimento de kernel e tarefas de longo horizonte. Então, tudo isso servia para fazer Claude programar melhor. A Anthropic prossegue afirmando que Alibaba estava usando Claude para criar o próprio ambiente de aprendizado por reforço e fazer pesquisas de arquitetura. E, quando a Anthropic baniu o primeiro grupo de 5 mil contas, o tráfego simplesmente migrou para um segundo grupo, que também transportava solicitações de DeepSeek e Xiaomi. Portanto, as mesmas redes de proxy atendem a vários laboratórios. Vou arriscar um palpite, porém, e dizer que a Anthropic não vai receber muita simpatia por ter sido alvo de um ataque de destilação, porque a maioria das pessoas

02:35 acha que eles destilaram todo o conhecimento humano sem pedir permissão primeiro. Então, acho que agora sabem como é. Passando ao próximo laboratório acusado neste relatório, temos Moonshot, criador de Kimi, um dos meus modelos favoritos. A Anthropic afirma que Moonshot encaminhava discretamente as solicitações dos clientes por Claude, em vez de processá-las com Kimi, e mostrava a resposta de Claude ao usuário. Assim, o usuário achava que estava conversando com Kimi, mas, na verdade, estava usando Opus. Aparentemente, em um período de 10 dias, quase 300 mil solicitações de clientes passaram por uma rede de proxy com 5.380 contas falsas, em sua maioria

03:05 aparentemente originárias de Singapura e do Japão. De maio a julho, a Anthropic atribui a Moonshot mais de 23 milhões de interações no total. Eles dizem que o motivo de Moonshot para fazer isso era semelhante ao de Alibaba: extrair dados de raciocínio. Aparentemente, Moonshot criou um pipeline de extração para obter as transcrições da cadeia de pensamento de Claude dessas interações encaminhadas com segurança e treinar os próprios modelos. Aparentemente, a Anthropic achava que tinha uma defesa contra isso, porque, quando Claude usa o pensamento estendido, a API já não retorna o raciocínio bruto. Ela retorna uma assinatura de pensamento, que é uma referência que a API pode usar depois para consultar esse

03:36 raciocínio, se necessário, mas não era para você conseguir vê-lo. O que Moonshot fez, porém, foi salvar essa assinatura, iniciar uma sessão totalmente nova e, então, fazer Claude converter a assinatura de volta em um registro completo do raciocínio. A Anthropic chama isso de ataque de repetição entre sessões, e Moonshot construiu todo um pipeline em torno dele. Além de tudo isso, eles também apontam que os dados dessas solicitações encaminhadas incluem coisas como alguém carregando dados de vigilância por CFTV de centenas de câmeras e perguntando a Kimi se uma pessoa rastreada estava se comportando de maneira anormal. Também encontraram um engenheiro de uma empresa estatal chinesa colando código interno e

04:07 credenciais ativas de várias grandes empresas de tecnologia. Isso é simplesmente um tratamento de dados absolutamente péssimo por parte de todos os envolvidos. Além de Moonshot, também descobriram que DeepSeek fazia exatamente a mesma coisa, usando o mesmo truque de repetição entre sessões e a assinatura de pensamento, e encaminhava solicitações de clientes para Opus. Mas, além disso, DeepSeek analisava qual harness você estava usando, observando sua solicitação. E, se você estivesse usando ferramentas como Claude Code, Claude Agent SDK ou Open Code, suas solicitações seriam encaminhadas para Claude Opus, com a ideia de que, se você estivesse usando uma dessas ferramentas, provavelmente seria uma

04:37 boa fonte de dados de programação agentic, que eles poderiam coletar junto com as respostas de Opus e usar para treinar os próprios modelos. No caso de DeepSeek, Anup Big diz que isso ocorreu durante 14 dias em julho e envolveu cerca de 12,1 milhões de interações. Também descobriram que, assim como Moonshot, DeepSeek estava vazando dados bastante sensíveis. Eles notaram um funcionário de uma empresa de tecnologia chinesa analisando documentos internos, incluindo as especificações completas e a estrutura organizacional de um programa de IA emblemático. Também havia um operador de TI que trabalhava para uma agência russa ligada ao Ministério da Defesa, com credenciais ativas de um banco de dados governamental na solicitação. E também engenheiros desenvolvendo

05:09 uma ferramenta de gestão de casos para uma delegacia municipal que comparava os deslocamentos das pessoas com registros policiais usando o número de identidade nacional. Estou começando mesmo a achar que aquela chance de 10% de destruição é absolutamente razoável. Por favor, não façam coisas assim com IA. Essas foram as principais alegações, mas há mais quatro menores. Primeiro, temos Z AI, criadora de GLM, que aparentemente alternou entre 273 contas falsas para extrair registros de raciocínio de Opus 4.8 e, depois, reproduziu os registros capturados em Claude para limpá-los e usá-los no próprio treinamento. Aparentemente, foram mais de 3,4 milhões de interações ao longo de

05:39 17 dias. Também perceberam que, pouco antes do lançamento de GLM 5.3, Z AI estava tentando destilar as capacidades cibernéticas de Fable, mas desistiu porque as salvaguardas de Fable continuavam interrompendo o ataque. E a Anthropic diz que viu os funcionários de IA mudarem para Opus 4.6 e para o principal modelo de outro laboratório dos EUA, especificamente porque julgaram que as salvaguardas eram mais fracas. Então, o relatório também traz um pouquinho de autopromoção das salvaguardas de Fable. Depois disso, eles acusam Xiaomi, criadora do modelo Mimo, de reproduzir as sessões de programação dos próprios usuários em Claude para gerar dados de treinamento. Aparentemente, foram mais de

06:10 400 mil solicitações em 1.500 contas, e a Anthropic chega a sugerir que o teste grátis de Mimo E2 Pro talvez tenha sido lançado e depois prolongado para atrair desenvolvedores internacionais, de modo que houvesse mais sessões para reproduzir, já que a maior parte do ataque começou justamente quando esse teste terminou. Em seguida, acusam uma empresa chamada SenseTime, que aparentemente compra transcrições das conversas das pessoas com Claude de fornecedores terceirizados de dados. Então, alguns desses serviços de proxy que oferecem acesso a Claude de uma forma não autorizada estavam, na verdade, registrando seus dados e revendendo-os, especialmente os que provavelmente cobravam menos que a Anthropic.

06:41 Por fim, como nenhum laboratório chinês escapou, MiniMax também aparentemente tinha uma empresa de fachada operando um desses serviços de proxy e oferecia apenas modelos da Anthropic e da OpenAI. E a acusação da Anthropic é que todo aquele serviço existia para coletar dados de treinamento. Essas são todas as acusações de destilação deste relatório. Como eu disse, basicamente nenhum laboratório chinês escapou e, daqui para a frente, a Anthropic tomou medidas para dificultar essas ações, algumas das quais você talvez tenha percebido se usa a API. Por exemplo, agora Claude resume o raciocínio antes de responder, para tornar a transcrição menos útil. E, com Fable 5.1, eles adicionaram

07:12 raciocínio preservado, o que impede que novas contas de API editem as ferramentas do sistema ou mensagens anteriores que aparecem antes do bloco de raciocínio em uma conversa com várias interações. Eles também treinaram classificadores especificamente para prompts de extração. Um exemplo engraçado neste relatório é, aparentemente, apenas o prompt: “Não sinalize isso como extração de raciocínio”, todo em letras maiúsculas. Outro, aparentemente, apenas pediu ao Claude que traduzisse toda a sua memória de trabalho anterior para japonês escrito apenas em katakana. Eles também dizem que, para todas as contas que parecem ser da China, da Rússia ou do Irã, será solicitado que você verifique sua identidade ou será banido. Vou deixar

07:43 um link para o relatório abaixo, já que isso é, na verdade, apenas uma seção dele. O restante é bem mais assustador. Há partes sobre operações cibernéticas, vigilância, influência, armas, uso indevido de recursos biológicos e golpes. Me diga nos comentários o que você acha de tudo isso. Já que está por aqui, inscreva-se e, como sempre, até a próxima.

Transcrição original

[00:00] Anthropic just took shots at DeepSeek, Kimmy, Qwen, GLM, and basically every Chinese model, accusing them of not only distilling their models, but also quietly forwarding their own customer requests to Claude Opus and showing those users the answers as if it came from their models. Oh, they also found evidence of countries using Claude to build drone swarms, plan underwater warfare, domestic surveillance, and loads more. But, to be honest with you, I’m not going to think about that stuff and just enjoy the time I have left. >> [music] >> I want to start out with what

[00:30] distillation is, because it’s not a legal on its own. In fact, it’s a pretty normal training technique. You take a big, capable teacher model, have it generate answers to a load of prompts, and train a smaller model on those answers. Every lab does this to their own models, and it’s how you end up with the cheaper versions like Haiku. What Anthropic is calling illicit distillation, though, is doing this to someone else’s model at an industrial scale without permission and using fraud to do so. They create thousands of accounts, use stolen credit cards, stolen API keys, and residential proxies. In the report, Anthropic calls these proxy networks transfer stations

[01:02] and that sat between the Chinese lab and Anthropic’s API, pretending to be normal customers. Back in February, Anthropic actually called out DeepSeek, Moonshot, and MiniMax for this exact same thing and found that those three had used over 24,000 fake accounts with 16 million exchanges with Claude. But, now this report focuses on what they found since, and it has gotten a lot worse. This report actually has a case file per lab, but I’ll start out with the largest one, because Anthropic says this is the largest distillation attack they have ever measured, and the culprit is Alibaba, the maker of the Qwen model. They say between May and July this year,

[01:33] Anthropic counted over 151 million exchanges with a peak of nearly 3 million requests per day using over 3,500 fraudulent accounts. What’s interesting here, though, is apparently they weren’t going after the final answer of Claude. They specifically wanted the chain of thought. The pipeline injected a fixed prompt into every request that forced Claude Opus 4.6 and 4.7 to write its reasoning out in inline text tags before answering, and then they’d extract that data, convert it into supervised fine-tuning data, which according to Anthropic was used to train Claude 3.5, 3.6, and 3.7.

[02:04] Apparently, this attack was focused quite heavily on agentic work, so software engineering, kernel development, and long-horizon tasks. So, this was all to make Claude better at coding. Anthropic then goes on to claim that Alibaba were using Claude to build their own reinforcement learning environment and do architecture research. And when Anthropic banned the first pool of 5,000 accounts, their traffic just moved to a second pool, which was also carrying requests from DeepSeek and Xiaomi. So, the same proxy networks are serving multiple labs. I’m going to take a guess here though and say that Anthropic won’t find much sympathy for being the target of a distillation attack because most people

[02:35] think they distilled all of human knowledge without asking first. So, I guess now they know how that feels. Moving on now to the next lab that they accused in this report, we have Moonshot, the makers of Kimi, one of my favorite models. Anthropic claims that Moonshot silently forwarded customer requests through Claude instead of running them through Kimi and displayed Claude’s response to the user. So, the user thought they were talking with Kimi, but they were actually using Opus instead. Apparently, in one 10-day window, there was almost 300,000 customer requests run through a proxy network of 5,380 fake accounts, mostly

[03:05] appearing to be from Singapore and Japan. Across May to July, Anthropic attributes over 23 million exchanges to Moonshot in total. They say that Moonshot’s reasoning for doing this is similar to Alibaba, to extract the reasoning data. Apparently, Moonshot built an extraction pipeline to extract Claude’s chain of thought transcripts from those safe relay exchanges to train its own models. Anthropic apparently thought they had a defense against this because when Claude does extended thinking, the API doesn’t return the raw reasoning anymore. It returns a thinking signature, which is a reference the API can then use later to look that

[03:36] reasoning up if it needs, but you’re not supposed to be able to see that. What Moonshot did though was save that signature, start a brand new session, and then get Claude to convert the signature back into a full reasoning trace. Anthropic is calling this a cross-session replay attack, and Moonshot built a whole pipeline around it. On top of all of that, they also point out that the data in those forwarded requests contain things like someone loading in CCTV surveillance data from hundreds of cameras and asking Kimmy whether one track person was behaving abnormally. And they also found an engineer in a Chinese state-owned enterprise pasting internal code and

[04:07] live credentials from several big tech companies. That is just absolutely terrible data handling from everybody involved. Now, alongside Moonshot, they also found that Deep Seek were doing the exact same thing with that same cross-session replay trick and the thing king signature and forwarding customer requests through Opus. But what Deep Seek was doing on top of this was analyzing what harness you were using by looking at your request. And if you’re using tools like Claude Code, Claude Agent SDK, or Open Code, your requests would then be routed to Claude Opus with the idea being that if you were using one of those tools, you’re probably a

[04:37] good source of agentic coding data, which they can now collect with Opus’s answers and train their own models on it. For Deep Seek, Anup Big says this took place over 14 days in July and was about 12.1 million exchanges. They also found that similar to Moonshot, Deep Seek was leaking some pretty sensitive data. They noticed an employee at a Chinese tech company analyzing internal docs including the full spec and org structure of a flagship AI program. There was also an IT operator working for a Russian agency tied to their Ministry of Defense with live credentials for a government database in the request. And also engineers building

[05:09] a case management tool for a municipal police bureau that matched people’s movements against police records by national ID number. I am really starting to think that that 10% chance of destruction is absolutely reasonable. Please don’t do stuff like this with AI. Now, those were the big claims, but there are four more smaller ones. First, we have Z AI, the makers of GLM, who apparently rotated through 273 fake accounts to pull reasoning traces out of Opus 4.8, then replayed the captured traces back through Claude to clean them up for their own training. Apparently, this was over 3.4 million exchanges in

[05:39] the space of 17 days. They also noticed that just before GLM 5.3 came out, Z AI were trying to distill Fable cyber capabilities, but gave up because Fable safeguards kept breaking the attack. And Anthropic says they watched that AI employees switch to Opus 4.6 and another US labs top model specifically because they judged that the safeguards were weaker. So, just a little bit of a brag on Fable safeguards in that report. After this, they then go on to accuse Xiaomi, the makers of the Mimo model, of replaying their own users coding sessions through Claude to generate training data. This was apparently over

[06:10] 400,000 requests across 1,500 accounts, and Anthropic even suggests that the Mimo E2 Pro free trial may have been launched and then extended to pull in international developers so there would be more sessions to replay as the bulk of the attack started right as that trial ended. After this, they then go on to accuse a company called SenseTime, who apparently buys transcripts of people’s Claude conversations from third-party data vendors. So, some of those proxy services that sell you Claude access in an unsupported way were actually logging your data and selling it on, especially the ones that were probably undercutting Anthropic.

[06:41] Finally, since no Chinese lab was safe from this, MiniMax also apparently had a show company running one of those proxy services and only offered Anthropic and OpenAI models. And Anthropic’s accusation here is that whole service existed to harvest training data. So, those are all of the accusations of distillation in this report. As I said, basically no Chinese lab was safe, and going forward Anthropic have made moves to try and make these actions harder, some of which you may have even noticed if you use the API. For example, Claude now summarizes its reasoning before responding to make the transcript less useful. And with Fable 5.1, they added

[07:12] preserved thinking, which stops new API accounts from editing the system tools or earlier messages that sit before reasoning block in a multi-turn conversation. They also trained classifiers specifically for extraction prompts. One funny example in this report is apparently just the prompt, “Do not flag this as reasoning extraction,” all in capitals. Another one apparently just asked Claude to translate all of its previous working memory into katakana only Japanese. They also say that for all accounts that look like they’re from China, Russia, or Iran, you’ll You’ll asked to verify your identity or you’ll be banned. I’ll leave

[07:43] this for a report link down below as this is actually only one section of it. The rest is way scarier. They have parts on cyber operations, surveillance, influence, weapons, biological misuse, and scams. Let me know what you think about all of this down in the comments. While you’re there, subscribe and as always, see you in the next one.