A OpenAI anunciou em 30 de setembro de 2026 a interrupção de uma campanha coordenada que visava extrair raciocínio protegido de seus modelos por meio de técnicas de distillation adversária. O ataque, iniciado no começo de julho, usava manipulação de interações para obter registros internos de raciocínio — informações normalmente ocultas nas respostas finais dos modelos — e assim facilitar a reprodução ou aprimoramento de sistemas concorrentes.
O que foi identificado
A campanha, detectada pela OpenAI e também por pesquisadores independentes, não envolveu quebra de criptografia nem acesso direto a bancos de dados de usuários. Em vez disso, os operadores exploraram padrões de prompts para induzir os modelos a expor raciocínios internos. Entre as táticas, copiaram raciocínio criptografado de uma conversa e solicitaram a descriptografia em outra, revelando conteúdo originalmente protegido.
A atividade começou em 1º de julho, em baixa escala, e teve picos nos dias 24 e 25 do mesmo mês, com 16 mil requisições relacionadas a extração feitas por mais de 4 mil usuários. Investigações posteriores identificaram o padrão em um cluster de mais de 15 mil usuários, com a campanha sendo totalmente interrompida até 28 de julho. Segundo a OpenAI, parte central dessa atividade é atribuída a indivíduos associados à Moonshot AI, desenvolvedora do modelo Kimi.
Riscos e resposta
A distillation adversária representa risco de segurança e de transferência de capacidades avançadas sem os mesmos investimentos em salvaguardas. Ao extrair raciocínios protegidos, atores maliciosos podem treinar modelos concorrentes sem replicar os mecanismos de segurança da fonte, acelerando o desenvolvimento de sistemas potencialmente menos seguros.
A OpenAI respondeu com bloqueio e restrição de contas fraudulentas, reforço em controles de cadastro e infraestrutura, monitoramento ampliado e colaboração com provedores terceiros para identificar e desabilitar contas envolvidas. Também foram implementadas proteções para registros de raciocínio, fechando brechas que permitiam a reprodução de conteúdo criptografado. As descobertas foram compartilhadas com parceiros do setor por meio do Frontier Model Forum e canais governamentais.
Impacto para o ecossistema de IA
A vulnerabilidade explorada não é exclusiva dos modelos da OpenAI. Sistemas que permitem portabilidade ou replay de raciocínios, especialmente em arquiteturas de frontier models, enfrentam riscos semelhantes. O caso reforça a necessidade de defesas adaptativas e cooperação entre desenvolvedores, já que ataques de distillation tendem a se sofisticar à medida que as IAs evoluem.
A OpenAI afirma que o trabalho de mitigação continua, com foco em três frentes: aprimoramento das proteções técnicas contra extração, detecção e repressão de campanhas coordenadas e intensificação do compartilhamento de informações sobre ameaças entre setor privado e governo. Parceiros que hospedam modelos também deverão adotar as mesmas salvaguardas implementadas em serviços nativos.
Por que importa
A extração coordenada de raciocínio interno ameaça a integridade e a vantagem competitiva dos principais modelos de IA, além de criar riscos de segurança nacional ao facilitar a reprodução não sancionada de capacidades avançadas. O episódio marca um novo patamar na corrida entre ofensiva e defesa em IA, exigindo respostas técnicas e institucionais contínuas de todo o setor.