TL;DR: O relatório de ameaças da Anthropic de setembro de 2026 afirma que laboratórios chineses coletaram cerca de 200 milhões de interações do Claude para treinar modelos rivais, dois deles encaminhando silenciosamente as solicitações de seus próprios usuários para o Claude. Um revendedor falso de “Claude barato” redirecionou compradores para um modelo diferente e roubou suas credenciais. Todas as chaves de API roubadas no relatório vieram do ambiente de um cliente, e não da Anthropic. E uma célula de armamento usou o Claude Code como sua equipe de engenharia completa. As lições para equipes de API são a disciplina de segurança comum, aprimorada para um mundo onde chaves de IA, prompts e agentes são a nova superfície de ataque.
As linhas mais chocantes do novo relatório da Anthropic são sobre mísseis e roubo de modelos. As úteis são sobre suas chaves de API.
Em 10 de setembro, a Anthropic publicou “Detectando e combatendo o uso indevido de IA: setembro de 2026”, cobrindo atividades de ameaça de dezembro de 2025 a agosto de 2026 em sete áreas de dano. TechCrunch e CNBC destacaram os números de destilação. Além das manchetes, é um guia prático sobre como as credenciais de IA são roubadas, revendidas, intermediadas e abusadas em escala.
Escrevemos o mesmo tipo de análise após o incidente da OpenAI e Hugging Face em julho. Este importa para mais equipes, porque as vítimas eram clientes comuns de API. Aqui estão sete lições, cada uma ligada a algo que você pode fazer esta semana. O Apidog aparece onde ajuda e fica fora do caminho onde não é necessário.
O que o relatório diz
Quatro descobertas são importantes para as equipes de API. Todas elas são atribuições da Anthropic; nenhum dos laboratórios mencionados havia respondido no momento da escrita.
Destilação em escala industrial. A Anthropic atribui a maior campanha à Alibaba: extração de cadeia de pensamento do Claude Opus 4.6 e 4.7, atingindo cerca de 3 milhões de interações por dia de mais de 3.500 contas fraudulentas, 151 milhões de interações entre maio e julho, usadas para treinar o Qwen 3.5 a 3.7. A Moonshot AI e a DeepSeek supostamente foram além e encaminharam as solicitações de seus próprios clientes para o Claude sem avisá-los, com a DeepSeek registrando 12,1 milhões de interações em 14 dias.
Um revendedor falso. Um grupo que falava russo e ucraniano, rastreado como GTG-50021, vendeu “acesso barato ao Claude” que, nas palavras da Anthropic, “não era nem barato nem realmente o Claude”. O tráfego foi para um modelo diferente enquanto as ferramentas do revendedor instalavam um coletor de credenciais e revendiam os logins roubados da Anthropic.
Chaves roubadas, todas as vezes. Em todos os casos cibernéticos, a Anthropic afirma: “Em todas as instâncias, as chaves de API envolvidas foram roubadas dos ambientes dos clientes da Anthropic.” Uma equipe baixou em massa 1,8 milhão de APKs Android para escanear por segredos codificados.
Agentes como equipe de engenharia. Uma célula no norte do Iêmen usou o Claude Code em vez de engenheiros humanos para escrever software de orientação e controle para um foguete guiado. O teste de lançamento parece ter falhado. Horas depois, eles estavam de volta ao Claude perguntando o porquê.
Lição 1: Suas chaves de IA são credenciais de produção agora
A orientação da Anthropic é direta: “As organizações devem tratar as chaves de IA e as integrações de agentes com o mesmo nível de seriedade com que tratam as credenciais de produção, porque os atacantes também as tratam com o mesmo nível de seriedade.”
A maioria das equipes não faz isso. As chaves de IA são coladas em notebooks, enviadas para repositórios de demonstração, incorporadas em builds móveis e compartilhadas no Slack. A equipe de escaneamento de APKs existe porque esse hábito é comum o suficiente para ser industrializado.
Comece com o inventário. Escaneie todos os lugares onde uma chave pode se esconder: cabeçalhos de solicitação, arquivos de ambiente, exemplos de respostas, scripts, documentos. Se você usa o plano Enterprise do Apidog, o Secret Scanner varre solicitações, variáveis de ambiente e de equipe, scripts, documentos Markdown e exemplos de resposta em busca de chaves, tokens e URLs de webhook, e aponta para a variável ou referência de cofre que deve substituí-los. Em seguida, defina o escopo do que resta, usando nosso guia de privilégio mínimo para chaves de agente.
Lição 2: Um revendedor com desconto é um coletor de credenciais com uma página de preços
O conselho do relatório sobre onde comprar acesso é uma única frase: “O acesso à IA deve ser adquirido apenas por meio de canais autorizados. Um suposto desconto que exige o roteamento de tráfego e credenciais por um intermediário desconhecido introduz um risco tremendo para os dados e sistemas do usuário.”
Todo prompt que você envia por um intermediário é legível por esse intermediário. Toda chave que você entrega a ele é deles. As vítimas do GTG-50021 pensaram que estavam economizando dinheiro. Elas estavam doando seus prompts a um estranho e suas credenciais a um mercado de revenda.
Existe uma versão legítima deste mercado. Roteadores como o OpenRouter publicam quem executa os modelos, o que é registrado e como funciona a cobrança; nosso panorama de alternativas ao OpenRouter cobre aqueles com uma empresa real por trás deles. Se você não consegue nomear a entidade legal que detém seu tráfego, não o envie.
Lição 3: Verifique qual modelo está respondendo você
Usuários em duas plataformas chinesas estavam conversando com o Claude sem saber, enquanto os clientes do GTG-50021 pensavam que tinham o Claude e não tinham. Nenhum dos grupos tinha como verificar. Você tem.
Trate a identidade do modelo como qualquer outro contrato de API e teste-a:
- Faça asserções no campo
modelda resposta. Salve uma solicitação para o endpoint oficial do fornecedor e a mesma solicitação para qualquer intermediário. No Apidog, adicione uma asserção em$.modele execute ambas em um cenário de teste. Um proxy pode falsificar esse campo, então é um piso, não uma prova. - Compare a contagem de tokens. Envie um prompt idêntico para ambos e compare
usage.input_tokens. Os tokenizadores diferem entre as famílias de modelos, então uma incompatibilidade significa que um modelo diferente está contando. - Verifique estruturas específicas do provedor. O Claude retorna blocos de pensamento assinados e um cabeçalho
request-id. Um backend que não seja o Claude não pode produzir uma assinatura que seja validada em uma interação subsequente. - Latência de base e estilo de recusa. Execute o cenário em um cronograma e alerte sobre desvios.
É o mesmo teste de contrato que você já faz para códigos de status, elevado um nível.
Lição 4: Um prompt é uma linha de log que sai do seu prédio
Quando a DeepSeek retransmitiu solicitações de usuários para o Claude, o tráfego retransmitido expôs “credenciais ativas para um banco de dados do governo russo e um sistema de gerenciamento de casos da polícia da RPC”, de acordo com o relatório. Alguém colou segredos de produção em uma janela de chat, e eles cruzaram a infraestrutura de pelo menos duas empresas.
Seus desenvolvedores também fazem isso. Rastros de pilha com strings de conexão. Comandos curl com o token bearer intacto. Arquivos de configuração inseridos no contexto de um agente para “ajudá-lo a entender.”
A solução é mecânica. Mantenha os segredos em variáveis de ambiente ou protegidas por cofre para que nunca fiquem no texto do prompt ou na solicitação salva. As variáveis de ambiente e secretas do Apidog mascaram valores em repouso e em exportações compartilhadas, e a integração com o HashiCorp Vault puxa os segredos no momento da solicitação em vez de armazená-los. Seja qual for a ferramenta que você usa, o padrão é o mesmo: um prompt deve ser seguro para ser publicado.
Lição 5: A saída de raciocínio é um ativo e uma superfície de ataque
A campanha da Moonshot usou o que a Anthropic chama de ataque de repetição entre sessões nas assinaturas de pensamento do Claude para extrair rastros de raciocínio. A da Alibaba usou um prompt de extração fixo em escala. As contramedidas da Anthropic, de acordo com o relatório, incluem classificadores de extração, raciocínio resumido em vez de bruto, pensamento preservado que resiste a adulterações e verificação de identidade com banimentos.
Se você constrói sobre APIs de ponta, espere que a superfície continue mudando. A cadeia de pensamento bruta ficará mais curta e mais resumida. As verificações de assinatura ficarão mais rigorosas, razão pela qual algumas equipes encontraram o erro “o bloco está vinculado a uma conversa diferente” que cobrimos no guia de pensamento preservado. Projete sua integração para que dependa de respostas finais e saídas estruturadas, e não da forma exata dos blocos de raciocínio.
Lição 6: Uma equipe de agentes precisa de um portão de revisão humana
A célula de foguetes é o caso mais sombrio do relatório, mas, tirando o alvo, descreve um fluxo de trabalho que milhares de equipes legítimas agora executam: várias sessões do Claude Code atuando como equipe de engenharia, enviando código que ninguém revisa, até que um teste falhe e os agentes sejam solicitados a depurar seu próprio trabalho.
Para um programa de armamentos, o revisor ausente é o cerne da questão. Para sua equipe, é o risco. Uma vez que vários agentes escrevem código e detêm credenciais, as questões se tornam operacionais: qual agente está trabalhando em quê, em qual repositório, o que foi concluído, o que falhou e o que está aguardando a revisão humana antes de ser lançado.
Esse é um problema de gerenciamento, não um problema de modelo, e é para isso que o Sharkly foi construído. Ele se posiciona acima dos agentes que você já usa, Claude Code, Codex, Gemini CLI e outros, atribuindo-lhes trabalho como colegas de equipe, executando cada tarefa em um worktree git isolado em suas próprias máquinas e mantendo o progresso, os bloqueadores e a revisão humana visíveis desde a solicitação até o lançamento. Nada é mesclado apenas porque um agente disse que estava pronto. Se seus agentes são uma equipe, dê-lhes um gerente.
Lição 7: Estabeleça uma base para o que parece um uso normal
A Anthropic não pegou 3.500 contas fraudulentas lendo prompts. Ela as pegou através de “assinaturas comportamentais”, atribuição baseada em metadados de redes proxy e agrupamento de contas.
Você pode aplicar a mesma ideia às suas próprias chaves. Cada chave deve ter um chamador, volume e horário de uso esperados. Uma chave que normalmente executa um trabalho noturno de CI e de repente faz 40.000 chamadas às 3 da manhã de uma nova região está comprometida ou sendo destilada. Defina limites de taxa por chave, alerte sobre desvios e gire-as sob suspeita, em vez de prova. Os logs de auditoria em suas ferramentas de API fecham o ciclo mostrando quem exportou o quê e quando.
O padrão subjacente aos sete
Cada caso no relatório tem um mecanismo comum subjacente: uma chave vazada, um intermediário não confiável, segredos em texto simples, saída não revisada, uso não monitorado. A camada de IA não inventou essas lacunas. Ela aumentou o preço de deixá-las abertas, porque os atacantes agora automatizam a busca e os compradores pagam pelo acesso roubado.
Quatro controles respondem à maioria disso. Mantenha as chaves fora do código-fonte e dos prompts. Compre de fornecedores que você pode nomear. Teste o contrato, incluindo qual modelo responde. Coloque um humano entre a saída do agente e a produção. Fizemos o mesmo argumento após a violação da Vercel, e este relatório prova isso em uma escala que ninguém pode ignorar.
Baixe o Apidog e comece pequeno: mova cada chave codificada em suas coleções para uma variável de ambiente mascarada e, em seguida, adicione uma asserção em $.model a cada solicitação que passa por um terceiro. Duas horas de trabalho, e dois dos caminhos de ataque do relatório deixam de se aplicar a você.
FAQ
O que é destilação de modelo e por que a Anthropic a chama de ilícita? A destilação treina um modelo menor ou mais barato com base nas saídas de um modelo maior. Em seus próprios modelos, é uma prática padrão. A queixa da Anthropic é que laboratórios rivais usaram milhares de contas fraudulentas para extrair o raciocínio do Claude, violando seus termos, e em dois casos, roteando o tráfego de seus próprios clientes através do Claude sem divulgação.
A Anthropic foi hackeada? Não, de acordo com o relatório. Ele afirma que, em todos os casos cibernéticos, as chaves de API foram roubadas dos ambientes dos clientes e “os próprios sistemas da Anthropic não foram comprometidos.”
Como sei se uma API de IA de terceiros está enviando minhas solicitações para o modelo que afirma? Teste-o. Compare o campo model, o uso de tokens em prompts idênticos, cabeçalhos específicos do provedor e blocos assinados, e a latência em relação ao endpoint oficial do fornecedor. Um cenário de teste agendado mantém a integridade ao longo do tempo.
É seguro usar as APIs Kimi, DeepSeek ou Qwen depois disso? O relatório faz alegações sobre as práticas de treinamento dos laboratórios e, para dois deles, sobre o encaminhamento não divulgado de solicitações. Isso não muda a forma como você deve tratar qualquer API de terceiros: mantenha os segredos fora dos prompts, saiba quem detém seu tráfego e verifique o contrato. Esse padrão se aplica a todo fornecedor, incluindo os dos EUA.
O Apidog pode impedir que minhas chaves sejam roubadas? Nenhuma ferramenta pode prometer isso. O Apidog reduz os locais de onde uma chave pode vazar: variáveis de ambiente mascaradas e protegidas por cofre, o Secret Scanner no plano Enterprise e logs de auditoria. O restante é processo.
Onde o Sharkly se encaixa se eu já uso o Claude Code? Ao lado dele. O Claude Code faz a execução. O Sharkly gerencia o trabalho ao redor: atribuição, worktrees isolados, progresso e a etapa de revisão humana antes que algo seja lançado. É neutro em relação ao provedor, então o fluxo de trabalho sobrevive quando o melhor agente muda.