Em fevereiro de 2026, a Anthropic divulgou ter identificado cerca de 24 mil contas fraudulentas responsáveis por 16 milhões de interações com seus modelos — volume com cara de coleta industrial de respostas. Na mesma janela, a OpenAI afirmou ao comitê seleto da Câmara dos EUA sobre a China que pessoas ligadas à DeepSeek burlaram controles de acesso por meio de roteadores de terceiros para extrair saídas em massa. Em 23 de abril, o Escritório de Política Científica e Tecnológica da Casa Branca publicou o memorando NSTM-4, assinado por Michael Kratsios, e deu nome ao problema: destilação adversarial, campanhas deliberadas e em escala industrial conduzidas principalmente por entidades sediadas na China.
A técnica não é nova nem ilegal. O que mudou foi o enquadramento: consultar modelos proprietários de forma sistemática e usar as respostas para treinar sistemas concorrentes saiu da disputa comercial entre laboratórios e entrou na pasta de segurança nacional.
Até aqui, a competição entre EUA e China por IA se organizou em torno de semicondutores, poder computacional e capacidade de escalar sistemas cada vez maiores. O centro de gravidade se deslocou. A disputa agora é pelo acesso às capacidades que já estão dentro dos modelos — e pelo receio de que rivais reconstruam, por uma fração do custo, versões funcionais do que exigiu anos de pesquisa e bilhões em computação.
Uma separação necessária antes de seguir: destilação não é pirataria. É método padrão de desenvolvimento, formalizado em 2015 no artigo de Geoffrey Hinton, Oriol Vinyals e Jeff Dean sobre transferência de conhecimento em redes neurais, e o próprio NSTM-4 reconhece o uso legítimo como parte vital do ecossistema. A linha que Washington traçou não está na técnica. Está na escala, na sistematicidade e na finalidade competitiva.
Como funciona a destilação de modelos de IA na prática?
A destilação treina um modelo menor para imitar as respostas de um modelo maior, usando essas respostas como conjunto de treino em vez de fazer o aluno aprender tudo do zero. O modelo grande atua como professor; o menor, como aluno. O aprendizado acontece pela exposição repetida a tarefas e às respostas geradas pelo professor.
Na rotina de desenvolvimento, o aluno recebe um volume grande de perguntas ou tarefas, o professor gera as respostas e essas respostas alimentam o treino. Com o tempo, o aluno passa a produzir saídas semelhantes em tarefas específicas — sem nunca ter tocado nos pesos do modelo original. O resultado não é uma cópia idêntica: é um modelo enxuto que reteve capacidades selecionadas com muito menos recurso.
A vantagem central é eficiência. Treinar e rodar um modelo grande consome poder computacional considerável; um modelo destilado executa tarefas selecionadas com uma fração disso, o que barateia e simplifica a implantação. A literatura sobre destilação de conhecimento examina justamente esse uso em dispositivos com recursos limitados, incluindo sistemas móveis e embarcados, onde modelos grandes simplesmente não rodam.
Por que a destilação de modelos de IA importa para a defesa?
Porque o militar opera na borda. Modelos menores e mais eficientes viabilizam capacidades em sistemas com limite de computação, energia e conectividade — exatamente o cenário de quem está em campo. A destilação reduz o custo de rodar um modelo mantendo capacidades selecionadas do sistema maior.
O Departamento de Defesa dos EUA já identificou a IA como ferramenta para melhorar a tomada de decisão no campo de batalha: consciência do espaço de combate, planejamento de forças, cadeias de decisão de ataque. E vem enfatizando a implantação dessas capacidades o mais perto possível da borda tática, onde enlace e processamento são escassos. Para esse ambiente, modelo enxuto não é preferência estética — é requisito.
O peso da IA na defesa cresce à medida que ela sai da análise e entra na operação. Em julho de 2026, um agente de IA controlou de forma autônoma um F-16 modificado na Base Aérea de Eglin, dentro do programa VENOM, tocado em conjunto por DARPA e Força Aérea americana. O Pentágono desenvolve aplicações para gestão de batalha, apoio à decisão e inteligência. A pergunta deixou de ser quem tem acesso a IA. Passou a ser quem tem modelos capazes de processar inteligência, sustentar decisões e operar dentro de sistemas autônomos.
Como a China usou a destilação de modelos de IA na defesa?
Uma revisão da Reuters em mais de 80 artigos acadêmicos e patentes chinesas encontrou pesquisadores ligados ao Exército Popular de Libertação e a outras instituições militares usando saídas de modelos de IA americanos. Um artigo de 2024 da Universidade Nacional de Tecnologia de Defesa, do EPL, descreveu o uso de destilação para reduzir um modelo de processamento de imagem destinado a veículos aéreos não tripulados.
O sistema foi desenhado para analisar vídeo ao vivo e apoiar decisões de navegação e de disparo em tempo real, inclusive com as comunicações interrompidas. A Reuters também localizou um estudo da Academia de Ciências Militares chinesa que usou destilação para rodar um modelo de reconhecimento de alvos em hardware tático, durante operações marítimas simuladas com drones, navios e submarinos não tripulados.
Nenhum dos casos reportados tenta reproduzir um modelo de fronteira inteiro. O foco é transferir capacidades selecionadas para sistemas menores. A destilação funcionou aqui como atalho para levar uma função útil a hardware limitado — não como tentativa de clonar o sistema original.
Que capacidades podem ser extraídas por meio da destilação?
Não é preciso transferir tudo. O Center for a New American Security (CNAS) identifica várias formas pelas quais as saídas de um modelo mais capaz melhoram outro sistema: geração de dados sintéticos de treino, extração de traços de raciocínio, limpeza de bases de treino e fornecimento de sinais de recompensa para aprendizado por reforço.
Isso permite mirar capacidades específicas em vez de perseguir uma réplica completa. As saídas podem gerar grandes volumes de dados especializados ou melhorar a capacidade de raciocínio e de avaliação de outro modelo. Para aplicações de defesa, a distinção é decisiva: um desenvolvedor militar raramente precisa de um clone de modelo de fronteira.
Ele precisa de um sistema menor, desenhado para uma tarefa — processamento de imagem, reconhecimento de alvos — e capacidades selecionadas bastam. É exatamente o que os achados da Reuters sobre UAVs e operações marítimas ilustram.
A destilação concentra o que importa para a missão e descarta o resto. Daí a atração da técnica. E daí a preocupação de quem gastou pesado em computação, dados e pesquisa para gerar capacidades que agora podem ser transferidas sem repetir o processo.
Por que a destilação de modelos de IA é um ponto de tensão entre EUA e China?
Porque ela ataca justamente a trava que Washington montou. O International Institute for Strategic Studies (IISS) observa que a diferença de desempenho entre modelos de fronteira americanos e chineses encolheu, enquanto a diferença em computação disponível segue enorme: a China detém uma estimativa de 14% da computação de IA global, contra 74% dos EUA, segundo cifras citadas pelo instituto.
Essa assimetria é o que torna a destilação estrategicamente relevante. Treinar um modelo de fronteira exige ordens de magnitude mais computação do que consultar um modelo pronto e coletar as respostas. Para quem está limitado em computação, usar essas saídas é uma rota para adquirir capacidades selecionadas sem pagar o custo integral de desenvolvê-las.
O CNAS trata a destilação adversarial exatamente assim: como uma das formas pelas quais desenvolvedores chineses podem contornar o déficit de computação criado, em parte, pelas restrições americanas a semicondutores avançados e a equipamentos de fabricação. A preocupação de Washington nunca foi que alguém clone um modelo americano inteiro. É que capacidades caríssimas de produzir sejam transferidas sem que o processo precise ser refeito.
A competição não é só por chips. É por quem transforma capacidade avançada em sistema útil — e por quem consegue proteger o que já construiu. A destilação nivela parte do campo, porque deixa quem tem menos computação aproveitar o que quem tem mais produziu. Em contexto de defesa, isso muda a conta de recursos e de prazo.
O que Washington está fazendo para proteger sua vantagem em IA?
A resposta deixou de se limitar ao hardware. Em 23 de abril de 2026, o NSTM-4 orientou as agências federais a tratar a destilação ilegítima como preocupação de segurança nacional, com compartilhamento de inteligência com empresas de IA, desenvolvimento conjunto de boas práticas defensivas e mecanismos de responsabilização de atores estrangeiros. Um dia antes, o Comitê de Relações Exteriores da Câmara havia aprovado por unanimidade o Deterring American AI Model Theft Act (H.R. 8283), que prevê avaliações de ataques de extração, uma lista pública de responsáveis e sanções.
Em 5 de junho de 2026, a NSPM-11 foi adiante e determinou que o aparato de segurança nacional construa parcerias com empresas privadas para proteger tecnologias avançadas de IA, inclusive contra ataques de destilação maliciosa. As medidas previstas incluem compartilhamento de inteligência de ameaças, exercícios conjuntos de red team, apoio a pesquisa de segurança e reforço da proteção física e cibernética dos data centers.
No hardware, a política ficou menos linear do que a retórica sugere. Em janeiro de 2026, o Bureau of Industry and Security mudou a análise de licenças para chips do nível do Nvidia H200 e do AMD MI325X de “presunção de negativa” para “caso a caso”, com tarifa de 25%, teto de volume, testes independentes nos EUA e exigências de conhecimento do cliente. Ou seja: Washington aperta o cerco à extração de capacidades enquanto afrouxa, sob condições, o acesso ao silício. Coerência não é o forte do arranjo.
Sobra o essencial. Se a vantagem em IA pode vazar por consulta de API, proteger, transferir e implantar capacidade passa a valer tanto quanto a computação usada para criá-la. Para o setor militar, destilação deixa de ser tema de eficiência e vira questão de quem consegue transformar capacidade avançada em sistema utilizável no campo de batalha.
