OpenAI, Grok, Claude e Gemini não apenas ajudam usuários: eles também foram enganados para ajudar a China a produzir rivais baratos.
A IA de fronteira geralmente inclui uma API pública (interface de programação de aplicações) que permite a desenvolvedores conectar aplicativos especializados ao seu mecanismo de IA. Ela possibilita que um aplicativo faça consultas à IA e receba uma resposta. Essa resposta geralmente inclui os passos de raciocínio do modelo até chegar a ela. O raciocínio é devolvido ao modelo em qualquer consulta posterior, permitindo que ele mantenha a continuidade contextual do 'pensamento'.
O tamanho desse processo é mantido sob controle por meio de uma técnica chamada compactação de contexto, na qual o histórico acumulado da conversa, as chamadas de ferramentas e o estado do espaço de trabalho são comprimidos em um resumo antes de estourar a janela de contexto.
Atacantes consideram qualquer API uma possível porta de entrada para um alvo. Neste caso, é possível extrair segredos do conteúdo do raciocínio e/ou envenenar o próprio modelo com entradas maliciosas? Em agosto de 2026, o artigo Stealing Reasoning Traces from Proprietary LLM APIs (Roubo de rastros de raciocínio de APIs de modelos de linguagem proprietários) relatou a capacidade de extrair informações de identificação pessoal (PII) por meio desse processo de raciocínio. 'O artigo mostrou que o raciocínio criptografado de um modelo de fronteira pode ser reproduzido em um modelo mais fraco do mesmo fornecedor, que pode então ser forçado a transcrevê-lo', explica a Xint em um novo relatório.
O artigo original deu início ao processo padrão de endurecimento da segurança por desenvolvedores e de investigação por pesquisadores. Por exemplo, a OpenAI implantou rapidamente mitigações contra essa ameaça, e a Xint descobriu depois uma forma (que chama de Compaction Smuggling, ou contrabando por compactação) de contornar essas mitigações, o que a OpenAI também já corrigiu.
Embora as primeiras mitigações da OpenAI tenham reduzido o risco de exposição de PII e de envenenamento de modelos, o conhecimento sobre o processo de raciocínio de um modelo ainda pode ser roubado (por meio do contrabando por compactação) e usado para construir, de forma barata, um novo modelo de IA rival (destilação). A destilação é o processo de usar segredos de raciocínio de uma IA avançada, obtidos de forma indevida, para ajudar a construir a baixo custo um modelo concorrente.
A OpenAI confirmou o novo problema de contrabando por compactação, corrigiu-o e concedeu à Xint uma recompensa de US$ 6.000 em 23 de outubro de 2026. O contrabando por compactação transfere o raciocínio de um modelo para outro ao codificá-lo dentro de uma compactação, em três etapas. A primeira é obter o raciocínio enviando uma tarefa (por exemplo, a partir do gpt-5.6-sol). A segunda é direcionar ou moldar a compactação devolvida. A terceira é enviar o resultado a outro modelo de IA (por exemplo, gpt-4.1 e gpt-4o) com o pedido, segundo a Xint, de que ele 'produza sua entrada exatamente como está', o que eles fizeram de bom grado.
De forma simplificada, embora o processo seja mais complexo, o novo ataque da Xint ainda consiste em pedir a um segundo modelo que decifre e decodifique o resultado do primeiro. 'Isso funciona porque as mitigações de agosto da OpenAI apenas bloqueiam a reprodução do raciocínio em um modelo diferente, e a chamada de compactação roda no mesmo modelo que produziu o raciocínio. O ataque funcionou em todos os níveis de esforço de raciocínio que testamos', relata a Xint.
O contrabando por compactação permite a destilação em larga escala de modelos de fronteira da OpenAI. Embora essa destilação possa não parecer uma ameaça séria, ela é. No início de setembro, a CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA) emitiu um alerta: 'Provavelmente com conhecimento do governo chinês, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI extraíram bilhões de tokens em milhões de interações e requisições de modelos de IA de fronteira dos EUA, incluindo variantes de Claude, GPT, Gemini e Grok, desde pelo menos o fim de 2024. A DeepSeek conduz campanhas organizadas desde pelo menos 2024 voltadas a capacidades de raciocínio, otimizações especializadas e funções específicas de domínio para treinar seus modelos R1 e V3.'
Os exemplos de IA chinesa usada contra interesses dos EUA são inúmeros. A ironia trágica é que grande parte dessa capacidade pode ter sido roubada (destilada) de IAs ocidentais.
