A disputa entre Estados Unidos e China pela liderança mundial em inteligência artificial ganhou um novo capítulo.
Agências de segurança americanas publicaram um alerta afirmando que seis empresas chinesas de inteligência artificial estariam utilizando modelos desenvolvidos nos Estados Unidos para acelerar a criação de seus próprios sistemas.
A prática descrita pelas autoridades envolve principalmente uma técnica conhecida como:
model distillation — destilação de modelos.
Segundo o alerta, as atividades vêm sendo observadas desde:
pelo menos 2024.
Mas chamar simplesmente o processo de “copiar modelos americanos” pode gerar uma interpretação errada.
Os chineses não precisariam necessariamente roubar:
código-fonte;
pesos internos;
servidores;
arquivos confidenciais.
O método descrito pode funcionar através da interação com:
o próprio modelo de IA.
Três órgãos americanos participaram do alerta
O documento foi divulgado conjuntamente por três estruturas de segurança dos Estados Unidos:
FBI;
National Counterintelligence and Security Center — NCSC;
National Security Agency — NSA.
O objetivo é alertar empresas americanas de inteligência artificial sobre tentativas estrangeiras de:
replicar capacidades;
contornar restrições;
explorar APIs;
coletar respostas em escala.
O alerta coloca a China no centro dessa preocupação.
Seis empresas chinesas aparecem no documento
As autoridades americanas mencionaram seis companhias de inteligência artificial:
DeepSeek;
Moonshot AI;
MiniMax;
Zhipu AI;
01.AI;
Baichuan AI.
Segundo o governo americano, essas organizações teriam recorrido a técnicas de destilação envolvendo modelos avançados desenvolvidos por empresas dos Estados Unidos.
É importante destacar:
trata-se de uma acusação das autoridades americanas.
O documento não deve ser interpretado automaticamente como uma decisão judicial comprovando que todas as empresas cometeram espionagem, invasão ou roubo de propriedade intelectual.
O que significa “destilar” uma inteligência artificial?
Destilação é uma técnica conhecida há anos na pesquisa de machine learning.
Imagine dois modelos.
Um enorme e extremamente capaz.
Outro menor.
O modelo maior funciona como:
professor.
O menor:
aluno.
O professor recebe perguntas e produz respostas.
Essas respostas são utilizadas para ensinar o modelo menor.
Depois de uma enorme quantidade de exemplos, o aluno pode aprender:
padrões;
estratégias;
estilo de resposta;
capacidade de raciocínio;
comportamentos
sem necessariamente possuir a mesma arquitetura ou quantidade de parâmetros do professor.
Isso pode reduzir drasticamente o custo de desenvolvimento
Treinar um modelo de fronteira do zero exige:
milhares de aceleradores;
enorme quantidade de energia;
dados;
engenheiros;
infraestrutura;
meses de treinamento;
bilhões de dólares em determinados projetos.
Se uma empresa conseguir utilizar um modelo já extremamente avançado como professor, parte desse conhecimento comportamental pode ser transferida para outro sistema.
Isso não produz necessariamente uma:
cópia perfeita.
Mas pode acelerar bastante o desenvolvimento.
Destilação não é automaticamente ilegal
Essa distinção é essencial.
Model distillation é uma técnica legítima.
Laboratórios utilizam destilação nos próprios modelos.
Pesquisadores também utilizam diferentes técnicas de transferência de conhecimento.
O problema aparece quando alguém utiliza um serviço proprietário:
contra seus termos de uso ou sem autorização
para construir um produto concorrente.
É justamente esse tipo de comportamento que empresas americanas e autoridades dizem estar tentando identificar.
Então por que os EUA chamam isso de ameaça?
Porque modelos de fronteira representam investimentos gigantescos.
Empresas americanas gastam bilhões de dólares em:
chips;
data centers;
pesquisa;
energia;
dados;
engenharia.
Se um concorrente conseguir consultar esses sistemas milhões de vezes e utilizar as respostas como conjunto de treinamento, pode capturar parte do valor produzido por esse investimento.
A preocupação americana é que isso funcione como:
atalho tecnológico.
Não é necessário invadir a empresa
Essa é talvez a parte mais interessante.
Em um ataque cibernético tradicional, o invasor tenta entrar em:
servidor;
banco de dados;
rede corporativa.
Na destilação via API, o modelo pode estar:
funcionando exatamente como deveria.
O atacante envia perguntas.
O sistema responde.
O problema está:
na escala;
na automação;
na finalidade.
Uma API legítima pode virar fonte de treinamento
Modelos comerciais oferecem APIs para desenvolvedores.
Uma aplicação envia:
prompt.
Recebe:
resposta.
Normalmente isso é completamente legítimo.
Mas imagine milhares de contas fazendo:
milhões de perguntas cuidadosamente estruturadas.
As respostas são armazenadas.
Depois utilizadas para treinar:
outro modelo.
Nesse momento, o serviço de inferência pode estar sendo transformado em uma espécie de:
dataset vivo.
O comportamento pode parecer normal individualmente
Uma conta fazendo:
100 perguntas
não chama atenção.
Mil contas fazendo:
100 perguntas cada
podem gerar:
100 mil amostras.
Dez mil contas automatizadas podem produzir milhões.
É por isso que o alerta americano menciona técnicas de:
criação de múltiplas contas;
uso de intermediários;
distribuição de tráfego;
automação.
O objetivo seria evitar mecanismos capazes de identificar:
extração em escala.
DeepSeek tornou essa discussão mundial
A discussão sobre destilação ganhou enorme visibilidade com a ascensão da:
DeepSeek.
A empresa chinesa surpreendeu o mercado ao apresentar modelos com capacidades competitivas e custos significativamente menores do que muitos sistemas americanos.
Isso gerou uma pergunta imediata:
como uma empresa chinesa conseguiu avançar tão rapidamente apesar das restrições americanas sobre chips?
Uma das hipóteses levantadas por empresas e autoridades foi justamente:
destilação.
OpenAI já havia levantado suspeitas
A OpenAI afirmou anteriormente ter observado indícios de que entidades ligadas à China tentavam utilizar seus modelos para:
destilar conhecimento.
A empresa não publicou evidências suficientes para permitir que o público reconstrua completamente todas as alegações.
Mas o tema deixou de ser apenas uma disputa empresarial.
Agora aparece formalmente em:
alertas de segurança nacional dos Estados Unidos.
Anthropic também já manifestou preocupação
Outros grandes laboratórios americanos vêm discutindo o risco de concorrentes estrangeiros utilizarem seus sistemas para acelerar modelos próprios.
Isso cria um problema estratégico.
Quanto melhor fica um modelo americano:
mais valiosas ficam suas respostas.
Portanto, o próprio produto pode ajudar concorrentes a melhorar.
É uma espécie de espionagem sem roubar arquivos?
Essa comparação precisa ser utilizada com cuidado.
Autoridades americanas tratam a questão dentro de um contexto de:
contrainteligência;
competição tecnológica;
proteção de propriedade intelectual.
Mas tecnicamente não é correto assumir que toda destilação envolve:
espionagem cibernética.
Se não houve invasão ou acesso não autorizado a sistemas internos, estamos diante de uma dinâmica diferente do roubo clássico de segredo industrial.
A disputa envolve:
termos de serviço;
propriedade intelectual;
extração de capacidade;
segurança econômica;
segurança nacional.
Os Estados Unidos consideram IA tecnologia estratégica
Esse contexto explica a reação.
Washington já restringiu exportações para a China de:
GPUs avançadas;
equipamentos de fabricação de semicondutores;
tecnologias relacionadas.
O objetivo é dificultar que empresas chinesas tenham acesso à infraestrutura necessária para treinar modelos extremamente grandes.
Mas existe um problema.
Mesmo com menos chips:
algoritmos melhores podem compensar parte da diferença.
E destilação pode ajudar justamente nisso.
Um modelo menor pode aprender com um muito maior
Imagine um modelo americano que custou:
bilhões
para ser treinado.
Ele responde milhões de perguntas.
Uma empresa coleta essas respostas.
Depois treina um modelo menor.
Esse segundo modelo talvez nunca alcance:
100%
da capacidade do original.
Mas se alcançar:
80%;
90%;
95%
por uma fração do custo, isso pode ser comercialmente extraordinário.
Essa é uma das razões para o nervosismo americano
A liderança em IA depende de vários elementos:
chips;
energia;
capital;
dados;
talentos;
algoritmos.
Os Estados Unidos possuem enorme vantagem em vários deles.
A China possui:
grande mercado;
engenheiros;
infraestrutura;
apoio estatal;
ecossistema tecnológico.
Destilação pode funcionar como multiplicador.
O alerta também fala em contas falsas e identidades intermediárias
Segundo as autoridades americanas, operações desse tipo podem utilizar:
sockpuppet accounts.
São contas criadas para ocultar quem realmente está por trás da atividade.
Em vez de:
“Empresa chinesa X”
abrir uma conta e executar milhões de consultas, o tráfego pode vir de:
centenas;
milhares
de identidades aparentemente independentes.
Também podem existir empresas intermediárias
Outra estratégia é utilizar:
revendedores;
desenvolvedores;
serviços terceiros;
plataformas intermediárias.
Isso dificulta determinar:
quem é o usuário final do modelo.
Para um provedor americano, pode parecer que está atendendo milhares de pequenos clientes.
Na realidade, todos podem alimentar:
o mesmo projeto de treinamento.
VPNs e proxies ajudam a esconder a origem
Distribuir o tráfego entre:
endereços IP;
países;
provedores
pode reduzir a eficiência de bloqueios baseados apenas em geolocalização.
É uma técnica conhecida em:
fraude;
scraping;
bots;
credential stuffing.
Agora ela aparece também no contexto de:
extração de capacidades de IA.
Empresas americanas estão sendo orientadas a procurar padrões
O alerta recomenda que laboratórios monitorem:
volume incomum de consultas;
criação coordenada de contas;
prompts repetitivos;
consultas estruturadas;
padrões de automação;
tráfego distribuído;
contas relacionadas;
formas de pagamento suspeitas.
A ideia é detectar não apenas:
quem está usando a API,
mas:
como está usando.
O desafio é não bloquear clientes legítimos
Essa tarefa é difícil.
Um cliente legítimo também pode enviar:
milhões de prompts.
Uma startup pode construir um produto popular.
Uma universidade pode realizar pesquisa.
Uma empresa pode fazer avaliação automatizada.
Portanto, grande volume:
não prova destilação.
Os provedores precisam combinar múltiplos sinais.
Segurança de modelos começa a parecer segurança de APIs financeiras
Durante anos, empresas de cartão desenvolveram sistemas para identificar:
fraude comportamental.
Uma compra de R$ 20 pode ser legítima.
Outra compra de R$ 20 pode ser fraudulenta.
O valor é igual.
O contexto:
não.
IA está caminhando para algo semelhante.
Uma pergunta pode ser normal.
Um milhão de perguntas coordenadas para mapear sistematicamente capacidades podem representar:
outro comportamento.
A nova corrida pode ser pela proteção das respostas
Durante muito tempo, empresas protegeram principalmente:
pesos;
código-fonte;
datasets;
infraestrutura.
Agora precisam proteger também:
outputs.
Porque respostas de modelos podem conter informação suficiente para ensinar:
outros modelos.
Isso cria uma categoria nova de:
exfiltração comportamental.
Não é possível simplesmente parar de responder
Esse é o paradoxo.
Um modelo comercial existe para:
responder perguntas.
Se uma empresa limitar demais:
prejudica clientes.
Se permitir tudo:
facilita extração.
O desafio é encontrar equilíbrio entre:
utilidade;
segurança;
escala.
Modelos de raciocínio tornam o problema ainda mais interessante
Quanto mais sofisticadas são as respostas:
mais informação pode existir nelas.
Um modelo capaz de:
resolver problemas;
programar;
analisar;
planejar;
usar ferramentas
produz exemplos extremamente valiosos para treinamento.
Isso transforma inferência em:
matéria-prima.
A disputa pode acelerar sistemas de detecção de destilação
Laboratórios provavelmente investirão cada vez mais em:
fingerprinting;
watermarking;
análise estatística;
monitoramento comportamental;
rate limiting;
detecção de clusters;
identidade de clientes.
O objetivo será identificar quando outro modelo apresenta:
assinaturas comportamentais semelhantes demais.
Mas provar cópia de um modelo é difícil
Dois modelos podem produzir respostas parecidas porque:
foram treinados em dados semelhantes;
utilizam técnicas semelhantes;
resolveram o problema corretamente.
Sem acesso ao processo de treinamento, demonstrar que um modelo foi destilado de outro pode ser:
tecnicamente complexo.
Isso pode gerar disputas judiciais importantes nos próximos anos.
A China também desenvolve pesquisa própria
Outro cuidado necessário é evitar uma narrativa simplista de que:
“modelos chineses são apenas cópias dos americanos.”
A China possui:
universidades;
laboratórios;
empresas;
pesquisadores
que desenvolvem trabalho original em inteligência artificial.
Empresas como DeepSeek também publicaram técnicas próprias e contribuíram para pesquisas abertas.
A acusação americana é específica:
determinadas companhias teriam utilizado modelos americanos dentro de processos de destilação não autorizada.
Isso não significa que:
todo avanço chinês em IA seja copiado.
Estamos diante de uma guerra tecnológica muito maior
IA passou a ocupar posição semelhante àquela que:
semicondutores;
energia;
telecomunicações;
tecnologia nuclear
possuíram em outras disputas geopolíticas.
Quem controla os melhores modelos pode obter vantagens em:
economia;
ciência;
defesa;
inteligência;
cibersegurança;
automação.
Por isso, Washington trata modelos de fronteira como:
ativos estratégicos.
A preocupação vai além do mercado
Se fosse apenas competição comercial, a discussão ficaria entre:
OpenAI;
Anthropic;
Google;
DeepSeek;
Moonshot;
MiniMax.
Mas quando:
NSA;
FBI;
NCSC
entram no debate, a mensagem é diferente.
Os Estados Unidos estão enquadrando a proteção de modelos avançados como:
questão de segurança nacional.
Isso pode trazer novas restrições
O alerta não significa automaticamente que as seis empresas serão:
banidas;
sancionadas;
processadas.
Mas pode contribuir para políticas futuras envolvendo:
acesso a APIs;
controles de exportação;
identificação de usuários;
serviços de nuvem;
chips;
modelos avançados.
Washington já utiliza diversas dessas ferramentas na disputa tecnológica com Pequim.
A batalha pelos chips pode virar batalha pelas APIs
Durante anos, a estratégia americana concentrou-se em impedir que a China tivesse acesso aos:
melhores aceleradores.
Mas existe uma nova realidade.
Mesmo que uma empresa não tenha acesso ao chip usado para treinar o melhor modelo americano:
ela pode tentar acessar:
o próprio modelo pela internet.
Isso cria um desafio completamente diferente.
Você pode impedir a exportação física de uma GPU.
É muito mais difícil impedir que:
conhecimento atravesse uma API.
É por isso que destilação virou tema de contrainteligência
A fronteira entre:
produto comercial;
pesquisa;
propriedade intelectual;
segurança nacional
está ficando cada vez menos clara.
Uma simples requisição HTTP pode parecer banal.
Mas milhões de requisições coordenadas podem representar uma tentativa de:
transferir capacidade tecnológica entre modelos.
O futuro da segurança de IA pode envolver “Zero Trust” também para prompts
O princípio Zero Trust diz:
nunca confie automaticamente; verifique continuamente.
Em APIs de IA, isso pode significar analisar:
quem pergunta;
quantas vezes;
de onde;
com qual padrão;
com qual finalidade aparente.
Não porque todo usuário seja criminoso.
Mas porque o próprio serviço pode ser utilizado para:
reconstruir parte de seu valor tecnológico.
O caso mostra uma mudança fundamental na espionagem industrial
Durante décadas, proteger propriedade intelectual significava proteger:
arquivos;
servidores;
laboratórios;
funcionários.
Com inteligência artificial, existe um novo problema:
o produto fala.
E cada resposta revela um pouco daquilo que ele aprendeu.
Se outro sistema conseguir coletar respostas suficientes, pode aprender:
com o modelo.
Essa é exatamente a lógica da destilação.
A pergunta agora é: quanto de um modelo pode ser aprendido apenas conversando com ele?
Essa questão será central nos próximos anos.
Se uma empresa consegue reproduzir grande parte das capacidades de um sistema proprietário apenas através de:
consultas;
respostas;
treinamento posterior,
então proteger IA exigirá uma abordagem completamente diferente daquela utilizada para proteger software tradicional.
Um programa convencional não ensina automaticamente outro programa a imitá-lo.
Um modelo de IA:
pode ensinar.
É por isso que o alerta americano merece atenção
As autoridades não estão afirmando simplesmente que:
“a China roubou seis IAs americanas.”
A questão é mais sofisticada.
O alerta aponta que empresas chinesas estariam explorando modelos americanos para acelerar o treinamento de seus próprios sistemas por meio de:
destilação;
contas intermediárias;
consultas automatizadas;
mecanismos para ocultar origem.
Se confirmado em escala, isso mostra que a corrida mundial pela inteligência artificial entrou em uma nova fase.
A primeira batalha foi por:
dados.
Depois:
chips.
Agora surge outra:
as respostas dos próprios modelos.
E talvez essa seja uma das disputas mais difíceis de controlar.
Porque chips podem ficar presos em uma fronteira.
Servidores podem ficar dentro de um data center.
Código pode permanecer em um repositório privado.
Mas conhecimento produzido por uma inteligência artificial pode atravessar o planeta em: milissegundos.
