A OpenAI anunciou em 30 de setembro de 2026 que detectou e interrompeu uma campanha coordenada de distillation adversarial voltada à extração de reasoning protegido de seus modelos. O ataque, iniciado no começo de julho, envolveu manipulação sistemática de interações com modelos para reproduzir reasoning interno — informações normalmente ocultas da resposta final, que podem ser usadas para treinar ou aprimorar modelos concorrentes sem os mesmos controles de segurança.
O que foi identificado
A operação não envolveu invasão de sistemas, quebra de criptografia ou acesso a bancos de dados. Em vez disso, os operadores exploraram maneiras de induzir os modelos a expor reasoning protegido, inclusive copiando reasoning criptografado de uma conversa e solicitando que o modelo, em outra conversa, “descriptografasse” e transcrevesse esse conteúdo oculto. Pesquisadores externos também notificaram a OpenAI sobre vulnerabilidades de compactação e replay entre conversas, que foram confirmadas e mitigadas.
Entre os dias 24 e 25 de julho, houve picos de atividade, com 16.000 requisições de extração vindas de mais de 4.000 usuários. A investigação ampliou o escopo para um cluster de mais de 15.000 usuários, cuja atividade foi totalmente interrompida até 28 de julho. A OpenAI atribui o núcleo dessas operações a indivíduos ligados à Moonshot AI, desenvolvedora do modelo Kimi, embora não seja possível afirmar que todos os envolvidos pertencem ao mesmo grupo.
Riscos e contexto
A distillation adversarial representa riscos de segurança e de transferência acelerada de capacidades avançadas entre modelos, especialmente sem os salvaguardas presentes nos originais. O problema se agrava à medida que modelos passam a operar em domínios sensíveis ou de duplo uso. A OpenAI destaca que o ataque não é exclusivo de seus sistemas: técnicas similares podem afetar outros modelos avançados, tornando a ameaça relevante para todo o setor. Por isso, informações sobre o caso foram compartilhadas com parceiros via Frontier Model Forum e canais governamentais.
Resposta e mitigação
A reação envolveu bloqueio de contas fraudulentas, reforço de controles de cadastro e infraestrutura, e monitoramento ampliado de redes relacionadas. Houve também o fechamento de caminhos técnicos que permitiam o replay e recuperação de reasoning criptografado, além de restrições a outputs que pudessem expor esse tipo de informação. Quando atividades migraram para serviços de terceiros, a OpenAI atuou junto aos provedores para identificar e bloquear os responsáveis. O ciclo de resposta segue em andamento, com foco em controles técnicos, detecção de campanhas coordenadas e ampliação do compartilhamento de inteligência com setor e governo.
Perspectivas
A expectativa é de que ataques de distillation adversarial se tornem mais sofisticados com a evolução dos modelos. A defesa exige camadas múltiplas de proteção e adaptação contínua, tanto em serviços próprios quanto em integrações. A OpenAI segue aprimorando recusas automáticas do modelo, classificadores de detecção e controles propagados a parceiros de nuvem.
O episódio reforça a dinâmica de segurança em IA: vulnerabilidades não são exclusivas de um fornecedor e demandam colaboração entre players para mitigar riscos sistêmicos.