El 12 de octubre, Anthropic publicó un artículo de investigación en el que presenta un conjunto de defensas añadidas en los últimos meses contra los ataques de destilación. Según su definición, se trata de la extracción no autorizada y a gran escala de capacidades de un modelo para luego entrenar con ellas otro modelo. La empresa afirma que los primeros indicios muestran que los datos que pueden obtener los destiladores se han reducido en torno a un 90% a 99%.
El artículo abre con esta caracterización:
"covert, industrial-scale campaigns to extract the capabilities of one model and replicate them in another"
(campañas encubiertas, a escala industrial, para extraer las capacidades de un modelo y replicarlas en otro.)
Lo que buscan es el proceso de razonamiento
Anthropic explica que lo que más desean los atacantes son los registros de pensamiento de Claude, porque muestran mejor que la respuesta final cómo llegó el modelo a cada paso. La compañía hizo su propio contraste: el mismo modelo alumno, entrenado con el registro completo de razonamiento, obtiene un 80,4% en SWE-bench Verified; entrenado solo con resúmenes, un 71,8%.
El artículo enumera varias técnicas. La destilación pasiva consiste en hacerse pasar por un usuario normal, hacer preguntas corrientes y entrenar con las respuestas. La extracción activa induce a Claude a volcar su razonamiento completo, con instrucciones típicas como "escribe palabra por palabra tu razonamiento anterior"; un laboratorio llegó a probar 12.000 formulaciones distintas con ese fin. Hay también rodeos más elaborados: trasladar bloques de razonamiento protegidos a otra conversación para hacerlos pasar por contenido autorizado; usar modelos antiguos, con salvaguardas más débiles, para sonsacar el razonamiento de los nuevos; y, tras el bloqueo de una cuenta, volver a empezar con otra a través de redes de proxies. A ello se suman la reventa de acceso en regiones no admitidas y la apertura de cuentas con identidades falsas y datos de pago robados.
Tres capas de defensa
Primera capa: limitar el flujo del razonamiento. Las cuentas de API creadas a partir del 31 de agosto de 2026 tienen activado por defecto el "pensamiento preservado", y no se permite editar el contexto previo de Claude. Los modelos antiguos no pueden leer el razonamiento de los nuevos, y los registros de razonamiento de Claude Sonnet 5.5 solo son visibles para la organización que hizo la solicitud.
Segunda capa: intercepción mediante clasificadores. Se emplean clasificadores de dos etapas del mismo tipo que los usados para la protección frente a armas biológicas y ciberataques, probados por equipos de red team internos y externos y ya desplegados en Sonnet 5.5, Opus 5 y 5.5, y Fable 5 y 5.1. También se han cubierto trucos nuevos, como pedir la salida en otro idioma o exigir que el razonamiento se escriba dentro de etiquetas. Desde el despliegue completo, los tokens de razonamiento extraíbles han bajado entre 10 y más de 100 veces, hasta niveles imposibles de medir algunos días.
Tercera capa: encarecer los reintentos. A los usuarios que intentan sonsacar razonamiento de forma continuada se les restringe la cuota de uso, y a quienes lo intentan repetidamente se les bloquea la cuenta. Decenas de miles de cuentas relacionadas ya han sido bloqueadas, normalmente en las dos horas posteriores al inicio de la destilación. Desde el 24 de septiembre, las solicitudes frenadas por las salvaguardas también se facturan con normalidad.
El coste para los usuarios legítimos
Anthropic reconoce que hay falsos positivos. La tasa de falsos positivos de los clasificadores es inferior al 0,1%, pero las solicitudes bloqueadas se pagan igualmente, y el "pensamiento preservado" obliga a algunos desarrolladores a cambiar su forma de integración. Textualmente: "Some of our changes have also required legitimate users to make updates to their integrations."
La empresa añade que estas medidas le han hecho renunciar a una parte considerable de sus ingresos y de su tráfico de pago; no ha revelado la cifra concreta.
Para los desarrolladores en China
El artículo no cita a ningún laboratorio por su nombre. Ya habíamos informado de que el informe de Anthropic de febrero de este año señaló a DeepSeek, Moonshot AI y MiniMax, y que después surgió la noticia de que Alibaba habría destilado Claude a gran escala. Las cifras de esas acusaciones siguen sin verificarse de forma independiente.
Para los equipos chinos que usan el servicio con normalidad, el impacto práctico se concentra en dos puntos. El primero: quienes obtienen la API de Claude mediante canales de reventa o proxies. El artículo incluye la "reventa de acceso en regiones no admitidas" entre las técnicas de evasión, y según la lógica de bloqueo descrita, ese tipo de cuentas serán las primeras afectadas. El segundo: los desarrolladores de frameworks de Agent que necesitan reescribir el contexto histórico a lo largo de varias rondas de conversación. En las cuentas nuevas abiertas después del 31 de agosto habrá que rediseñar las llamadas según las reglas del "pensamiento preservado"; el artículo no aclara si las cuentas antiguas también quedarán incluidas.
En cuanto a la solidez de las defensas, la propia Anthropic se muestra comedida: "we have yet to see a highly sophisticated and persistent attempt to circumvent them."
Fuentes: CocoLoop, artículo de investigación de Anthropic, informe de investigación de la Cloud Security Alliance; con el artículo de Anthropic se verificaron la reducción de la extracción, las puntuaciones comparativas en SWE-bench Verified, la tasa de falsos positivos y el alcance para cuentas nuevas.