A NSA (Agência de Segurança Nacional), a CISA (Agência de Segurança Cibernética e Infraestrutura) e o FBI (Departamento Federal de Investigação) afirmam que empresas de IA sediadas na China estão usando o processo de destilação contra modelos de IA de fronteira dos EUA. "Provavelmente com o conhecimento do governo chinês, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI extraíram bilhões de tokens em milhões de trocas e solicitações de modelos de IA de fronteira dos EUA, incluindo variantes de Claude, GPT, Gemini e Grok, desde pelo menos o final de 2024", dizem eles.
O resultado não apenas melhora os modelos de IA da China, como também ameaça a liderança tecnológica atual dos EUA. Entre o final de 2024 e meados de 2025, a DeepSeek destilou dados de treinamento e capacidades de Claude, Gemini, GPT-4, GPT-5 e Grok 4 para treinar seus modelos R1 e V3.
Os conhecimentos destilados incluíram, entre outros, tarefas baseadas em regras de API (Interface de Programação de Aplicações), funções agênticas, otimização de perguntas e respostas, otimização de ajuste fino supervisionado e otimização de escrita criativa e ocupacional.
A Moonshot realizou uma destilação em grande escala semelhante, incluindo a extração de dados significativos do Claude Fable 5 para aprimorar seu modelo Kimi-K3, e dados do GPT-4o para aprimorar seu modelo Kimi-K2.
Essa destilação foi repetida em todos os sistemas chineses de IA nomeados e está documentada em detalhes no relatório das agências. As táticas, técnicas e procedimentos (TTPs) usados pelas organizações chinesas em sua destilação são mapeados para o framework MITRE ATLAS, fornecendo o título da TTP, seu identificador e uma descrição.
Esse mapeamento fornece uma explicação detalhada do processo de destilação, desde o desenvolvimento de recursos até o acesso, execução, descoberta, preparação de ataque de IA, coleta, exfiltração e impacto. O impacto (sobre os desenvolvedores de modelos de fronteira dos EUA), por exemplo, é descrito como dano financeiro, enfraquecimento de vantagens competitivas e representa "uma ameaça econômica estratégica à competição tecnológica justa e à liderança tecnológica dos EUA".
No entanto, as agências autoras também observam que as empresas chinesas aproveitam técnicas adicionais não presentes no MITRE ATLAS, distinguindo assim o processo de uma exploração oportunista. Trata-se de uma ação planejada e bem-resourceada em nível nacional.
As TTPs inéditas são descritas como evasão de restrições regionais e exploração de assinaturas; infraestrutura centralizada de roteamento de solicitações; saneamento automatizado de metadados de solicitações; e otimização sistemática de cotas e custos.
As mitigações oferecidas pelas agências devem ser coordenadas em todo o ecossistema mais amplo de IA dos EUA, incluindo provedores de nuvem, agregadores de API e provedores de infraestrutura. As recomendações vão desde ações puramente defensivas (como detecção e monitoramento comportamental, incluindo exemplos do comportamento que poderia ser detectado) até respostas mais agressivas de contra-ataque. Para estas últimas, as agências sugerem que "empregar mudanças direcionadas em resposta a solicitações de destilação maliciosa de alta confiança pode impor custos significativos às campanhas de destilação de conhecimento".
Compartilhar informações sobre campanhas de destilação é, obviamente, recomendado. "A atividade correlacionada de múltiplas fontes permite uma atribuição mais confiante de campanhas maliciosas de destilação de conhecimento, justificando a degradação de respostas com risco baixo ou nulo para usuários legítimos."
O princípio de privacidade diferencial também é recomendado. Ele poderia ser implementado "adicionando ruído calibrado às saídas do modelo e impedindo que agentes maliciosos extraiam informações de associação de dados de treinamento e outras informações sensíveis do modelo, como limites de decisão ou sinais que poderiam ajudar a reconstruir dados privados".
O objetivo do relatório é alertar todas as partes interessadas em IA de que empresas chinesas de IA estão, de forma sistemática e em escala industrial, efetivamente roubando a liderança tecnológica dos EUA. A ameaça não é diretamente ao uso empresarial de IA (embora o conhecimento adversarial sobre como uma defesa de IA poderia responder possa potencialmente permitir um ataque mais sofisticado e evasivo). A ameaça é mais diretamente à liderança tecnológica dos EUA e, consequentemente, à economia dos EUA, podendo potencialmente levar a uma questão de segurança nacional.
