Las primeras pruebas sugieren que unas defensas más sólidas contra los ataques de destilación de IA han reducido entre un 90 % y un 99 % los datos extraídos de Claude. Las medidas apuntan a intentos encubiertos de copiar las capacidades del modelo, y le han costado ingresos a su desarrollador y tráfico de pago equivalente a billones de tokens.
Conclusiones clave
La extracción de tokens de razonamiento de Claude cayó entre diez y cien veces tras el despliegue del clasificador.
El sistema de detección informa de menos de un 0,1 % de falsos positivos.
Los intentos repetidos de extracción activan límites más estrictos y la suspensión de cuentas.
La empresa insta a las plataformas en la nube y a los desarrolladores de modelos a colaborar para frenar los abusos.
Anthropic afirmó en una publicación de su blog del 12 de octubre de 2026 que sus defensas combinan restricciones a las transcripciones de razonamiento, detección de extracciones y medidas contra las cuentas implicadas. Sus salvaguardas han suspendido decenas de miles de cuentas vinculadas con la destilación, a menudo en las dos horas posteriores al inicio de una campaña.
Cómo medir las defensas contra los ataques de destilación de IA
Los ataques de destilación son campañas encubiertas y no autorizadas que extraen las capacidades de un modelo para reproducirlas en otro. La empresa afirma que los atacantes generan millones de respuestas, a menudo mediante cuentas fraudulentas, para imitar modelos avanzados con una fracción del tiempo y el costo de desarrollarlos.
Las defensas se centran en las transcripciones de razonamiento: el pensamiento que Claude genera antes de responder. Según la empresa, estas enseñan más a un modelo pequeño que las respuestas finales por sí solas. Tras implementar el clasificador, el volumen de tokens de razonamiento extraídos en su plataforma se mantuvo entre 10 y 100 veces por debajo del nivel anterior.
Pruebas anteriores mostraron por qué era importante proteger esas transcripciones. Un modelo Claude preentrenado con transcripciones completas de Claude Opus 4.8 obtuvo un 80,4 % en SWE-bench Verified; el entrenamiento con transcripciones resumidas dio un 71,8 %.
Luego, los atacantes pasaron de recopilar respuestas corrientes a extraer activamente el razonamiento oculto. Un laboratorio probó 12.000 solicitudes diferentes. Redes de proxy controlaban cientos de miles de cuentas fraudulentas, usaban identidades falsas y datos de pago robados, y revendían el acceso en lugares donde Claude no estaba disponible. Una red descrita en el informe de febrero de la empresa llegó a gestionar más de 20.000 cuentas a la vez.
Cómo funcionan las salvaguardas contra la destilación
Las defensas de la empresa contra los ataques de destilación de IA ahora restringen por dónde puede circular el razonamiento, bloquean las solicitudes de extracción y penalizan los intentos persistentes. Estas medidas contrarrestan técnicas que trasladaban razonamiento protegido entre conversaciones, modelos y cuentas.
El razonamiento preservado, introducido con Claude Fable 5.1 y Claude Opus 5.5, impide que las cuentas de API creadas el 31 de agosto de 2026 o después editen el contexto previo de Claude. Los modelos más antiguos con protecciones más débiles tampoco pueden leer el razonamiento de esos modelos. Claude Sonnet 5.5 limita el acceso a las transcripciones a la organización que las generó.
Un clasificador de dos etapas, probado mediante ejercicios internos y externos de red teaming, detecta solicitudes de extracción con una tasa de falsos positivos inferior al 0,1 %. El sistema funciona con Claude Sonnet 5.5, Claude Opus 5 y 5.5, y Claude Fable 5 y 5.1. La empresa afirma que detecta todas las técnicas de destilación descritas en su informe de septiembre.
Las actualizaciones han bloqueado tácticas que consistían en traducir razonamientos anteriores o reproducirlos dentro de etiquetas. La extracción persistente conlleva límites de uso más estrictos y la suspensión de cuentas. Desde el 24 de septiembre de 2026, la empresa también cobra por las solicitudes que bloquea antes de que Claude responda en ciertas categorías, incluida la destilación, donde los falsos positivos se mantienen por debajo del 0,1 %.
Los problemas de seguridad van más allá de Claude
La empresa sostiene que la destilación ilícita genera riesgos para la seguridad nacional cuando las capacidades copiadas se incorporan a sistemas militares, de inteligencia y vigilancia extranjeros. También afirma que los modelos desarrollados de esta manera pueden carecer de salvaguardas acordes con sus capacidades.
La empresa cita el desarrollo de GLM-5.3 por parte de Zhipu. Según la publicación del blog, Zhipu intentó extraer capacidades cibernéticas de Claude Fable 5 y luego recurrió a un modelo anterior de Claude y al modelo de otro laboratorio, después de que las salvaguardas obstaculizaran sus intentos.
Según Anthropic, el Centro de Estados Unidos para el Avance de la Innovación y los Estándares de Superinteligencia (CAISSI), al que NIST se refiere como CAISI, determinó que GLM-5.3 es el modelo de pesos abiertos con mayores capacidades cibernéticas publicado hasta ahora. La propia investigación de la empresa encontró salvaguardas que podían eludirse fácilmente y disposición para desarrollar exploits de seguridad completos.
La publicación del blog también describe solicitudes dirigidas a los modelos Kimi de Moonshot que se redirigían en secreto a Claude durante intentos de destilación, incluida una solicitud para analizar imágenes de videovigilancia de una persona.
La empresa pide cooperación entre los desarrolladores de modelos de frontera, las plataformas en la nube y los proveedores de inferencia, a través de los cuales los responsables de la destilación distribuyen el tráfico. Afirma que las plataformas pueden frenar la extracción detectando abusos y eliminando cuentas fraudulentas. Algunas salvaguardas también han obligado a usuarios legítimos a actualizar sus integraciones.
Artículo elaborado con ayuda de inteligencia artificial y revisado por el equipo editorial.