O Problema da Conta Hydra: Por Que a Defesa Contra Destilação Começa com a Resolução de Identidade (PT-BR)

Em 23 de fevereiro de 2026, a Anthropic publicou números medidos sobre algo que a indústria de IA havia discutido principalmente em abstrato até então. Em campanhas de destilação identificadas, a empresa relatou que os laboratórios “geraram mais de 16 milhões de intercâmbios com Claude através de aproximadamente 24.000 contas fraudulentas”. Um detalhe nesse relatório reformula todo o problema: “uma única rede proxy gerenciou mais de 20.000 contas fraudulentas simultaneamente”.

Vinte mil contas. Um único ator.

Essa é a forma da ameaça. A destilação adversária – usar as saídas de um modelo de fronteira para treinar uma cópia mais barata dele – não é executada por uma conta suspeita fazendo uma única solicitação suspeita. É executada por uma organização que distribui uma única campanha de extração por milhares de contas, instrumentos de pagamento, dispositivos e caminhos de rede, de modo que cada conta individual pareça comum. Analisadas uma a uma, nenhuma delas aciona alarmes. Analisadas como um grafo, são uma única máquina.

É por isso que a defesa não pode residir apenas no modelo ou apenas no tráfego. Ela também precisa responder a uma pergunta que essas camadas não conseguem: quem está realmente por trás dessas contas?

Principais conclusões

• A Anthropic relatou mais de 16 milhões de intercâmbios gerados através de aproximadamente 24.000 contas fraudulentas em campanhas de destilação identificadas, com uma única rede proxy operando mais de 20.000 contas simultaneamente.
• A destilação é um problema de acesso coordenado, não um problema de solicitação única. A revisão por conta individual é estruturalmente cega a ele.
• O documento de fevereiro de 2026 do Frontier Model Forum define a destilação adversária e seus métodos. Por design, ele se limita à ameaça, e não aos controles, portanto, não faz recomendações sobre verificação de contas, identidade, limitação de taxa ou controle de acesso.
• As mitigações listadas pela própria Anthropic incluem “verificação reforçada para contas educacionais e de startups”, juntamente com classificadores de detecção e análise de comportamento.
• Uma camada de acesso verificado faz três coisas que os controles de modelo não conseguem: reduz o anonimato, vincula contas que compartilham uma pessoa, dispositivo ou rede e faz com que uma conta regenerada seja bloqueada imediatamente.
• A verificação de identidade por si só não impede a extração de modelos. É uma das três camadas e não substitui as outras duas.

O que realmente aconteceu

O relatório da Anthropic merece ser lido na íntegra, mas três descobertas são mais importantes para quem projeta controles de acesso.

O volume estava concentrado em poucos atores. A Anthropic atribuiu “mais de 13 milhões” de intercâmbios à MiniMax, “mais de 3,4 milhões” à Moonshot AI e “mais de 150.000” à DeepSeek. Não são coletas oportunistas. São programas industriais sustentados.

As contas eram coordenadas, e a coordenação era visível nos metadados. A Anthropic descreveu “padrões idênticos, métodos de pagamento compartilhados e tempo coordenado” que “sugeriam ‘balanceamento de carga’” entre as contas. A atribuição veio de “metadados de solicitação e indicadores de infraestrutura” – em um caso, metadados de solicitação que “correspondiam aos perfis públicos de funcionários seniores da Moonshot”.

Os prompts se repetiam em escala absurda. A Anthropic observou variações de prompts chegando “dezenas de milhares de vezes em centenas de contas coordenadas”.

Leia esses três pontos juntos e um padrão emerge. Quase todos os sinais que expuseram essas campanhas eram sinais relacionais – algo compartilhado entre contas. Métodos de pagamento compartilhados. Tempo compartilhado. Infraestrutura compartilhada. Modelos de prompt compartilhados. Nenhum deles é visível se sua unidade de análise for uma única conta.

Por que a revisão por conta falha

A maioria das ferramentas de abuso é construída em torno de um veredito por conta. Uma conta se inscreve, é pontuada, recebe uma faixa de risco e uma decisão. Esse modelo funciona bem para o abuso para o qual foi projetado – um fraudador usando um cartão roubado, um spammer bombardeando um canal.

Ele falha contra a destilação por uma razão estrutural específica: o atacante controla o quanto da campanha cada conta individual carrega.

Se o seu limite de revisão é “uma conta fazendo 50.000 solicitações incomuns”, o atacante usa 20.000 contas fazendo 800 solicitações cada. Se o seu limite cai, eles adicionam contas. A economia os favorece porque as contas são o insumo mais barato do sistema. Uma chamada de API de modelo de fronteira tem um custo marginal real; um endereço de e-mail não.

Então, o problema de otimização do atacante é simples: manter o comportamento por conta abaixo de qualquer limite por conta e escalar horizontalmente. E funciona, porque a defesa está medindo o objeto errado. Está medindo contas quando o adversário é um ator.

Esta é a propriedade da hidra. Corte uma conta e duas mais aparecem, porque o que gera as contas nunca foi tocado. Uma rede proxy executando mais de 20.000 contas simultaneamente, como relatado pela Anthropic, é a expressão pura disso – nessa escala, remover contas uma de cada vez não é uma defesa, é uma tarefa de manutenção.

Para vencer uma hidra, você precisa parar de cortar cabeças e começar a encontrar o corpo.

As três camadas de uma defesa contra destilação

Uma defesa séria tem três camadas, e elas são de responsabilidades diferentes.

Camada	Responsável por	Função
Controles do modelo	O provedor do modelo	Limitar rastreamentos de raciocínio sensíveis, moldar saídas, proteger o comportamento do modelo
Detecção de tráfego	O provedor do modelo, ou uma pilha de pesquisa/fornecedor	Detectar padrões de extração repetitivos, semanticamente concentrados ou coordenados
Acesso verificado	Infraestrutura de identidade	Resolver quem está por trás de uma conta, vincular identificadores compartilhados, aplicar políticas em tudo conectado a um abusador confirmado

As duas primeiras camadas são bem compreendidas e ativamente pesquisadas. No lado do tráfego, o trabalho acadêmico recente é genuinamente encorajador: Liu, Guo e Dong (arXiv 2606.05725, junho de 2026) enquadram o monitoramento de extração como teste de distribuição de janela de tráfego calibrado benigno, usando a máxima discrepância média no espaço semântico calibrada apenas em tráfego benigno. Em quatorze pares de consulta atacante-normal de quatro cenários de extração, eles relatam uma taxa de detecção de 100% para casos de atacante puro com uma taxa de falso positivo de 0,3% em consultas benignas.

Esse é um resultado forte, e vale a pena deixar claro o que significa: a detecção de tráfego funciona, e não é a camada sobre a qual a Didit está falando. A análise semântica das distribuições de prompts é trabalho do provedor do modelo, e deve permanecer lá.

A terceira camada é a que tem menos orientação de design publicada – inclusive no próprio resumo canônico da indústria sobre a ameaça.

O que o resumo canônico abrange

O Frontier Model Forum publicou seu resumo sobre destilação adversária no mesmo dia do relatório da Anthropic. É um bom documento. Ele define a destilação adversária como o acesso clandestino às saídas de um modelo – tipicamente em violação aos termos de serviço – para treinar um modelo secundário que replica as capacidades do modelo-mestre enquanto ignora seu treinamento de segurança. Ele cataloga os métodos: exfiltração de cadeia de pensamento, crítica de cadeia de pensamento, autocorreção de cadeia de pensamento, geração de prompts para aprendizado por reforço e geração de dados sintéticos. Ele nomeia as capacidades-alvo: raciocínio matemático e científico, codificação agente, processamento multimodal, raciocínio geral.

Ele também reconhece a tensão real nesse espaço – “abordar essas preocupações de segurança sem impedir pesquisas legítimas”.

O que ele não contém é qualquer recomendação sobre verificação de contas, resolução de identidade, limitação de taxa ou controle de acesso.

Essa é uma escolha de escopo, e sensata: o resumo se propõe a definir a ameaça e seus métodos, não a prescrever controles. O design da camada de acesso é simplesmente um documento diferente.

É um documento que a indústria ainda não escreveu – embora o laboratório que mediu a ameaça tenha listado “verificação reforçada para contas educacionais e de startups” entre as mitigações em que investe, ao lado de classificadores de detecção e análise de comportamento. A camada de acesso está realizando um trabalho real na prática e tem muito pouca orientação de design publicada por trás dela. É sobre isso que o restante desta postagem trata.

O que a camada de acesso verificado realmente faz

Seja preciso sobre a afirmação aqui, porque exagerar é como toda essa categoria perde credibilidade.

A verificação de identidade não detecta a destilação. Ela não consegue ver a semântica dos prompts, não sabe qual capacidade está sendo visada e nunca dirá que um fluxo de solicitações se parece com exfiltração de cadeia de pensamento. Esse é o trabalho da camada de tráfego.

O que a identidade faz é mudar a estrutura de custos do atacante de quatro maneiras específicas.

Reduz o anonimato. Uma conta vinculada a uma pessoa verificada ou a uma empresa registrada é uma conta com um proprietário atribuível. Isso não impede o abuso, mas muda o custo e o risco do abuso.

Vincula contas que compartilham algo físico. Duas contas registradas pela mesma face, o mesmo dispositivo ou a mesma rede estão relacionadas, independentemente de seu comportamento parecer relacionado. Este é o sinal que a revisão por conta individual não consegue produzir, e é exatamente a classe de sinal – método de pagamento compartilhado, tempo compartilhado, infraestrutura compartilhada – que revelou as campanhas descritas pela Anthropic.

Torna a regeneração cara. A propriedade da hidra depende de contas novas serem baratas e desconectadas das antigas. Quando um caso de abuso confirmado se propaga para cada identificador que tocou – rosto, documento, telefone, e-mail, IP e dispositivo – a próxima conta criada na mesma infraestrutura falha na porta, em vez de ser pega 800 solicitações depois.

Mantém o atrito longe de desenvolvedores legítimos. Esta é a restrição que torna tudo viável. A verificação aplicada a todos é um imposto sobre o crescimento. A verificação aplicada adaptativamente – por nível de acesso, cota, volume de crédito, geografia ou um alerta comportamental da camada de tráfego – coloca o atrito no risco e deixa o caminho do desenvolvedor confiável rápido.

Quatro coisas. Nenhuma delas é “previne a extração”. Todas as quatro são reais.

Onde a Didit se encaixa

A Didit é uma infraestrutura para identidade e fraude, e os primitivos que compõem uma camada de acesso verificado são aqueles que já oferecemos e publicamos os preços:

• Verificação de identidade — documento de identidade, prova de vida passiva, correspondência facial e análise de IP, empacotados por US$ 0,33 por verificação, com 500 verificações KYC gratuitas por mês.
• Busca Facial 1:N — busca biométrica entre os usuários verificados que sua própria aplicação cadastrou, gratuita com a verificação. Este é o primitivo que vincula duas contas a uma pessoa.
• Análise de IP e Dispositivo — US$ 0,03, e incluído no pacote de US$ 0,33. Emite DUPLICATED_IP_ADDRESS, DUPLICATED_DEVICE_FINGERPRINT, DEVICE_RECOVERED_HIGH_CONFIDENCE, AUTOMATION_FRAMEWORK_DETECTED e códigos relacionados.
• API de Listas — listas de bloqueio em 12 tipos de entrada, onde o bloqueio de uma sessão confirmada extrai automaticamente os identificadores capturados por essa sessão – rosto, documento, telefone, e-mail, IP e dispositivo.
• Autenticação Biométrica — US$ 0,10 para reverificação sem senha, para vincular uma ação privilegiada ao humano que foi cadastrado, em vez de a um token de portador.
• Verificação de Empresas — a partir de US$ 2,00 por empresa: consulta de registro, beneficiários finais e diretores, com triagem de entidades a US$ 0,20 e qualquer verificação de identidade vinculada para um beneficiário final cobrada pelas taxas padrão de Verificação de Usuário. Para acesso de nível organizacional e de pesquisa.

Você os compõe na política que sua plataforma precisar. A composição é sua arquitetura; os primitivos são as partes. Cada um é entregue através da API unificada /v3/ com um preço publicado e sem mínimo – alguns como seu próprio endpoint, como POST /v3/face-search/, e outros através de um fluxo de trabalho de sessão, como autenticação biométrica, que não possui um endpoint autônomo próprio.

Casos de uso

Provedores de modelos de fronteira. Vincule o acesso de alta cota, alto crédito e nível de pesquisa a uma pessoa ou empresa verificada, enquanto deixa os níveis gratuitos e de baixo volume sem atrito.

Plataformas de API de IA e provedores de inferência. Revendedores e agregadores herdam o abuso sem herdar a pilha de detecção. Uma camada de acesso é frequentemente o único controle que eles realisticamente possuem.

Produtos de codificação de IA e agentes. O abuso de testes e o farming de créditos usam a mesma mecânica de multiplicação de contas que a destilação. Os mesmos primitivos de vinculação abordam ambos.

Plataformas e marketplaces de IA em nuvem. A verificação em nível de organização responde “esta é uma empresa real com beneficiários finais reais” antes que uma cota empresarial seja concedida.

Perguntas frequentes

A verificação de identidade impede a destilação de modelos?

Não. A extração é impedida – na medida do possível – por controles de saída em nível de modelo e por detecção de tráfego semântico. A identidade reduz o anonimato, vincula contas em uma campanha e faz com que contas regeneradas falhem precocemente. É uma das três camadas.

A verificação não afastará desenvolvedores legítimos?

Somente se você a aplicar a todos. O design que funciona é adaptativo: verifique por risco, nível, cota, volume de crédito, geografia ou um alerta comportamental. A maioria dos desenvolvedores nunca deve ver uma etapa de verificação. O KYC reutilizável da Didit é gratuito, então um desenvolvedor já verificado em outro lugar na rede pode passar por uma verificação sem refazê-la.

A Didit pode me dizer se um fluxo de solicitações parece destilação?

Não. A Didit não vê seus prompts e não analisa a semântica das solicitações. Esse sinal vem da sua própria camada de tráfego. O que a Didit fornece é a resolução de identidade para anexar esse alerta a um ator e os primitivos de aplicação para agir em todas as contas conectadas a ele.

Quanto isso custa na escala de uma plataforma de IA?

A verificação é precificada por verificação bem-sucedida, sem mínimos: US$ 0,33 para o pacote completo de identidade, US$ 0,03 para análise de IP e dispositivo por si só, gratuito para Busca Facial 1:N, US$ 0,10 para reautenticação biométrica e a partir de US$ 2,00 para verificação de empresas. Como a política é adaptativa, você paga pela fração de acesso que realmente justifica uma verificação. As primeiras 500 verificações KYC por mês são gratuitas.

Já temos um fornecedor de fraude. Por que isso é diferente?

A maioria das ferramentas de fraude retorna um veredito por conta. O problema da destilação é um problema por ator, e os primitivos que vinculam contas a um ator – busca biométrica 1:N entre seus próprios usuários, correlação de dispositivo e IP, e propagação de lista de bloqueio em cada identificador de um único caso confirmado – são as coisas específicas que a pontuação por conta não faz.

Pronto para começar?

Comece com o primitivo que produz o sinal de vinculação que você está perdendo hoje.

• Leia a documentação — Busca Facial 1:N, avisos de Análise de IP e Dispositivo, e a API de Listas.
• Veja o produto — Verificação de Usuário e Verificação de Empresas.
• Verifique os preços — cada módulo tem preços públicos, pago por sucesso, sem mínimos.
• Comece grátis — crie uma conta em business.didit.me e execute suas primeiras 500 verificações KYC por mês sem custo.