O que os pesquisadores descobriram é que esses blocos criptografados não estão vinculados a uma sessão, usuário ou mesmo a um modelo específico. Todos compartilham uma única chave de criptografia global entre todas as sessões e usuários . Isso significa que um bloco capturado em uma conversa pode ser reproduzido em outro contexto. A ideia central: alimente um bloco de um modelo de fronteira altamente protegido em um modelo ‘irmão’ mais fraco e menos alinhado do mesmo provedor (como o Claude Haiku), e o modelo mais fraco – que tem menos mecanismos de recusa – decodificará e exibirá o conteúdo do bloco literalmente .

Para executar o ataque, são necessárias apenas duas chamadas de API: uma para capturar o bloco criptografado e outra para alimentá-lo no modelo mais fraco .

Evidências circunstanciais de destilação: os padrões ‘anormais’ da Kimi K3

O ataque não apenas expôs o raciocínio dos modelos de fronteira – ele também forneceu novas evidências no debate em andamento sobre se a empresa chinesa Moonshot AI treinou seu modelo Kimi K3 destilando (essencialmente copiando) o raciocínio dos modelos americanos.

Depois de extrair os rastros de raciocínio do Claude Opus 4.8 e do GPT-5.6 Sol, os pesquisadores os compararam com as saídas de modelos de peso aberto, incluindo a Kimi K3. Eles descobriram que as saídas da Kimi K3 exibiam o que descreveram como ‘fenômenos anormais de probabilidade’ que coincidiam fortemente com os padrões encontrados nos rastros de Claude e GPT .

A evidência é circunstancial, não definitiva. Pesquisadores independentes afirmam que as descobertas ‘fornecem algumas evidências – embora não conclusivas – de que certos modelos chineses podem ter sido treinados destilando informações de raciocínio de modelos dos EUA’ . Outro achado sugestivo: quando solicitada a se autoidentificar, a Kimi K3 inicialmente se identificou como ‘Claude’, da Anthropic, o que aumentou as acusações .

A Kimi K3 é um modelo de peso aberto com 2,8 trilhões de parâmetros, lançado pela Moonshot AI em 16 de julho de 2026. Ela supera o Claude Opus 4.8 em alguns benchmarks, mas não é uma líder incontestável. No Índice de Inteligência Artificial Analysis, independente, a K3 pontua 57, contra 60 do Claude Fable 5 e 59 do GPT-5.6 Sol. A própria Moonshot foi incomumente franca ao dizer que a K3 ainda fica atrás do GPT-5.6 Sol e do Claude Fable 5 no geral .

O debate sobre o cronograma

A acusação de destilação não é nova – tanto a Anthropic quanto a OpenAI já acusaram empresas chinesas de destilar sistematicamente seus modelos. Uma revisão de artigos acadêmicos e patentes chinesas revelou pesquisadores militares chineses usando saídas de modelos da OpenAI e Anthropic para treinar sistemas de IA domésticos para capacidades de defesa .

O lançamento da Kimi K3 gerou controvérsia imediata. Horas após seu lançamento em 16 de julho, a Anthropic acusou a Moonshot de construir a K3 destilando o Claude, e a alegação chegou à Casa Branca, aumentando a perspectiva de sanções .

No entanto, críticos da alegação de destilação apontam para um problema de cronograma. O Claude Opus 4.8 foi lançado pouco antes do lançamento da Kimi K3. Pesquisadores independentes dizem que o cronograma torna a cópia direta ‘implausível’, porque simplesmente não houve tempo suficiente para treinar um modelo de 2,8 trilhões de parâmetros usando destilação de um modelo que havia sido lançado recentemente . A Moonshot argumenta que a K3 foi construída a partir de pesquisa independente .

Vulnerabilidade de segurança: vazamento de dados confidenciais à vista

A mesma falha arquitetural expôs uma vulnerabilidade de segurança prática. Como os modelos de fronteira às vezes incorporam credenciais e dados pessoais em seu processo de raciocínio, os blocos criptografados que os desenvolvedores compartilhavam publicamente – em logs de sessão de agentes, por exemplo – continham informações confidenciais que qualquer pessoa que conhecesse o truque poderia ler.

Ao escanear cerca de 7.000 logs de sessão de agente compartilhados publicamente antes de agosto de 2026, os pesquisadores encontraram 62 chaves de API ativas, 33 senhas e outros dados confidenciais de usuários – 704 artefatos de privacidade no total – escondidos dentro dos blocos de raciocínio criptografados . Qualquer desenvolvedor que publicou logs de agente brutos pode ter exposto, sem saber, chaves de API, senhas e informações de identificação pessoal dentro de blocos que eles acreditavam que ninguém poderia ler . Isso incluiu logs armazenados em repositórios públicos do GitHub .

Os pesquisadores identificaram quatro caminhos de abuso distintos possibilitados pela vulnerabilidade: reconstrução do raciocínio oculto, recuperação de seguros incorporados em rastros de agente, injeção de instruções por meio de um canal não inspecionável e repetição entre sessões de blocos não expirados .

Resposta dos provedores: correções nos servidores após a divulgação

As três empresas implementaram mitigações no lado do servidor depois que a equipe de pesquisa seguiu os procedimentos de divulgação responsável .

Os pesquisadores divulgaram suas descobertas para OpenAI, Anthropic, Google, Microsoft e Hugging Face. Depois que os provedores implementaram as alterações, as verificações de reprodutibilidade confirmaram que a principal técnica de extração não funciona mais contra as versões atuais da API . A documentação agora aconselha a remoção dos blocos de raciocínio antes de compartilhar logs ou trocar de modelo no meio da conversa .

Notavelmente, o pesquisador de criptografia Matthew Green havia relatado separadamente a vulnerabilidade de repetição entre sessões para a OpenAI e a Anthropic por meio de seus programas de recompensa por bugs em maio de 2026, mas recebeu respostas desdenhosas antes da publicação do artigo acadêmico .

As correções estão ativas desde agosto de 2026, mas os logs de sessão históricos com blocos de raciocínio decodificados que já foram extraídos da web pública permanecem acessíveis .

Por que isso importa

O ataque ‘Pensamentos Roubados’ revela uma tensão fundamental no design das APIs de IA modernas. Os provedores querem transferir o estado de raciocínio para o cliente por questões de escalabilidade e latência, mas a vinculação criptográfica necessária para manter esse estado seguro entre sessões, usuários e modelos exige um design cuidadoso. A abordagem de chave de criptografia global única usada por Anthropic, OpenAI e Google foi um atalho que criou uma vulnerabilidade de segurança e privacidade que afetou todos os usuários e desenvolvedores que interagiram com essas APIs.

O ataque também cai no meio de um conflito crescente entre EUA e China sobre destilação de IA. Embora as evidências sobre a Kimi K3 sejam circunstanciais, elas fornecem a evidência técnica mais forte até agora de que a destilação pode estar ocorrendo em escala, e dá a formuladores de políticas e pesquisadores uma nova ferramenta para investigar a proveniência dos modelos de IA.

O que os pesquisadores descobriram é que esses blocos criptografados não estão vinculados a uma sessão, usuário ou mesmo a um modelo específico. Todos compartilham uma única chave de criptografia global entre todas as sessões e usuários . Isso significa que um bloco capturado em uma conversa pode ser reproduzido em outro contexto. A ideia central: alimente um bloco de um modelo de fronteira altamente protegido em um modelo ‘irmão’ mais fraco e menos alinhado do mesmo provedor (como o Claude Haiku), e o modelo mais fraco – que tem menos mecanismos de recusa – decodificará e exibirá o conteúdo do bloco literalmente .

Para executar o ataque, são necessárias apenas duas chamadas de API: uma para capturar o bloco criptografado e outra para alimentá-lo no modelo mais fraco .

Evidências circunstanciais de destilação: os padrões ‘anormais’ da Kimi K3

O ataque não apenas expôs o raciocínio dos modelos de fronteira – ele também forneceu novas evidências no debate em andamento sobre se a empresa chinesa Moonshot AI treinou seu modelo Kimi K3 destilando (essencialmente copiando) o raciocínio dos modelos americanos.

Depois de extrair os rastros de raciocínio do Claude Opus 4.8 e do GPT-5.6 Sol, os pesquisadores os compararam com as saídas de modelos de peso aberto, incluindo a Kimi K3. Eles descobriram que as saídas da Kimi K3 exibiam o que descreveram como ‘fenômenos anormais de probabilidade’ que coincidiam fortemente com os padrões encontrados nos rastros de Claude e GPT .

A evidência é circunstancial, não definitiva. Pesquisadores independentes afirmam que as descobertas ‘fornecem algumas evidências – embora não conclusivas – de que certos modelos chineses podem ter sido treinados destilando informações de raciocínio de modelos dos EUA’ . Outro achado sugestivo: quando solicitada a se autoidentificar, a Kimi K3 inicialmente se identificou como ‘Claude’, da Anthropic, o que aumentou as acusações .

A Kimi K3 é um modelo de peso aberto com 2,8 trilhões de parâmetros, lançado pela Moonshot AI em 16 de julho de 2026. Ela supera o Claude Opus 4.8 em alguns benchmarks, mas não é uma líder incontestável. No Índice de Inteligência Artificial Analysis, independente, a K3 pontua 57, contra 60 do Claude Fable 5 e 59 do GPT-5.6 Sol. A própria Moonshot foi incomumente franca ao dizer que a K3 ainda fica atrás do GPT-5.6 Sol e do Claude Fable 5 no geral .

O debate sobre o cronograma

A acusação de destilação não é nova – tanto a Anthropic quanto a OpenAI já acusaram empresas chinesas de destilar sistematicamente seus modelos. Uma revisão de artigos acadêmicos e patentes chinesas revelou pesquisadores militares chineses usando saídas de modelos da OpenAI e Anthropic para treinar sistemas de IA domésticos para capacidades de defesa .

O lançamento da Kimi K3 gerou controvérsia imediata. Horas após seu lançamento em 16 de julho, a Anthropic acusou a Moonshot de construir a K3 destilando o Claude, e a alegação chegou à Casa Branca, aumentando a perspectiva de sanções .

No entanto, críticos da alegação de destilação apontam para um problema de cronograma. O Claude Opus 4.8 foi lançado pouco antes do lançamento da Kimi K3. Pesquisadores independentes dizem que o cronograma torna a cópia direta ‘implausível’, porque simplesmente não houve tempo suficiente para treinar um modelo de 2,8 trilhões de parâmetros usando destilação de um modelo que havia sido lançado recentemente . A Moonshot argumenta que a K3 foi construída a partir de pesquisa independente .

Vulnerabilidade de segurança: vazamento de dados confidenciais à vista

A mesma falha arquitetural expôs uma vulnerabilidade de segurança prática. Como os modelos de fronteira às vezes incorporam credenciais e dados pessoais em seu processo de raciocínio, os blocos criptografados que os desenvolvedores compartilhavam publicamente – em logs de sessão de agentes, por exemplo – continham informações confidenciais que qualquer pessoa que conhecesse o truque poderia ler.

Ao escanear cerca de 7.000 logs de sessão de agente compartilhados publicamente antes de agosto de 2026, os pesquisadores encontraram 62 chaves de API ativas, 33 senhas e outros dados confidenciais de usuários – 704 artefatos de privacidade no total – escondidos dentro dos blocos de raciocínio criptografados . Qualquer desenvolvedor que publicou logs de agente brutos pode ter exposto, sem saber, chaves de API, senhas e informações de identificação pessoal dentro de blocos que eles acreditavam que ninguém poderia ler . Isso incluiu logs armazenados em repositórios públicos do GitHub .

Os pesquisadores identificaram quatro caminhos de abuso distintos possibilitados pela vulnerabilidade: reconstrução do raciocínio oculto, recuperação de seguros incorporados em rastros de agente, injeção de instruções por meio de um canal não inspecionável e repetição entre sessões de blocos não expirados .

Resposta dos provedores: correções nos servidores após a divulgação

As três empresas implementaram mitigações no lado do servidor depois que a equipe de pesquisa seguiu os procedimentos de divulgação responsável .

Os pesquisadores divulgaram suas descobertas para OpenAI, Anthropic, Google, Microsoft e Hugging Face. Depois que os provedores implementaram as alterações, as verificações de reprodutibilidade confirmaram que a principal técnica de extração não funciona mais contra as versões atuais da API . A documentação agora aconselha a remoção dos blocos de raciocínio antes de compartilhar logs ou trocar de modelo no meio da conversa .

Notavelmente, o pesquisador de criptografia Matthew Green havia relatado separadamente a vulnerabilidade de repetição entre sessões para a OpenAI e a Anthropic por meio de seus programas de recompensa por bugs em maio de 2026, mas recebeu respostas desdenhosas antes da publicação do artigo acadêmico .

As correções estão ativas desde agosto de 2026, mas os logs de sessão históricos com blocos de raciocínio decodificados que já foram extraídos da web pública permanecem acessíveis .

Por que isso importa

O ataque ‘Pensamentos Roubados’ revela uma tensão fundamental no design das APIs de IA modernas. Os provedores querem transferir o estado de raciocínio para o cliente por questões de escalabilidade e latência, mas a vinculação criptográfica necessária para manter esse estado seguro entre sessões, usuários e modelos exige um design cuidadoso. A abordagem de chave de criptografia global única usada por Anthropic, OpenAI e Google foi um atalho que criou uma vulnerabilidade de segurança e privacidade que afetou todos os usuários e desenvolvedores que interagiram com essas APIs.

O ataque também cai no meio de um conflito crescente entre EUA e China sobre destilação de IA. Embora as evidências sobre a Kimi K3 sejam circunstanciais, elas fornecem a evidência técnica mais forte até agora de que a destilação pode estar ocorrendo em escala, e dá a formuladores de políticas e pesquisadores uma nova ferramenta para investigar a proveniência dos modelos de IA.