Informes antrópicos 90–99% reducción en los ataques por destilación en modelos Claude
Anthropic informó en 2026-10-12, que nuevas medidas defensivas han reducido el volumen de datos extraídos de sus modelos Claude mediante ataques de destilación en aproximadamente un 90 a un 99 por ciento, según métricas internas de la plataforma. Los ataques de destilación son campañas encubiertas en las que partes no autorizadas consultan a escala un modelo IA frontera para replicar sus capacidades en otro modelo sin el consentimiento del desarrollador original.
La empresa describió estos ataques como esfuerzos "a escala industrial" realizados a través de redes de cuentas fraudulentas, permitiendo a laboratorios extranjeros imitar capacidades avanzadas de IA por una fracción del tiempo y coste de desarrollo. Anthropic afirmó en un informe 2026-09 que el método ha sido utilizado extensamente por laboratorios de IA extranjeros para mantenerse al ritmo de las empresas estadounidenses.
Preocupaciones de Seguridad Nacional y Protección
Anthropic expuso dos preocupaciones principales. En primer lugar, los modelos destilados pueden acercarse a niveles de capacidades de frontera, pero se lanzan sin salvaguardas proporcionalmente robustas, lo que genera riesgos en ámbitos como la biología y la ciberseguridad. La empresa citó el modelo GLM-5.3 de Zhipu como ejemplo. Según Anthropic, Zhipu destila las capacidades cibernéticas de los principales modelos estadounidenses durante GLM-5.3 desarrollo, inicialmente dirigiéndose a Claude Fable 5 antes de cambiar a un modelo Claude más antiguo y al modelo de otro laboratorio tras encontrarse con salvaguardas. El Centro de EE. UU. para el Avance de la Innovación y los Estándares para superinteligencia (CAISSI) evaluó GLM-5.3 como el modelo de pesos abiertos más capaz de cibernética lanzado hasta la fecha, según un anuncio de 2026-09. La propia investigación de Anthropic encontró que las salvaguardas de GLM-5.3 pueden ser eludidas y que el modelo está dispuesto a desarrollar exploits de seguridad de extremo a extremo.
En segundo lugar, Anthropic afirmó que los modelos destilados ilegalmente representan un riesgo para la seguridad nacional porque las empresas que realizan la destilación integran las capacidades resultantes en sistemas militares, de inteligencia y de vigilancia extranjeros. La empresa informó en 2026-09 un caso en el que las solicitudes a los modelos Kimi de Moonshot fueron enviadas en secreto a Claude como parte de los esfuerzos de destilación. uno solicitud provenía de un usuario que Anthropic cree que estaba afiliado al Ejército Popular de Liberación de China, que buscaba analizar la vigilancia por CCTV de un individuo específico.
Defensas técnicas y compensaciones
Las defensas de Anthropic se centran en hacer que los transcripciones de razonamiento de Claude —el proceso de pensamiento paso a paso que el modelo escribe antes de responder— sean más difíciles de acceder para los destiladores. La empresa afirmó que las transcripciones de razonamiento son más valiosas para la destilación que las salidas finales por sí solas, porque ayudan a un modelo más pequeño a entender cómo Claude llega a sus respuestas.
Las medidas iniciales incluyeron resumir el razonamiento de Claude antes de mostrarlo a los usuarios. Las evaluaciones internas mostraron que un modelo Claude preentrenado entrenado con transcripciones completas de Claude Opus 4.8 logró 80.4% en el benchmark de codificación verificado de SWE-bench, en comparación con 71.8% cuando se entrenaba solo con transcripciones resumidas. Sin embargo, los atacantes se adaptaron empleando técnicas de "extracción activa", que iban desde instrucciones simples para generar razonamiento previo palabra por palabra hasta campañas sofisticadas que probaban miles de variaciones de prompts. Anthropic describió en septiembre de uno laboratorio que probó 12,000 solicitudes, cada una buscando engañar a Claude de manera diferente.
Las defensas actuales de la empresa interrumpen ataques de tres maneras. Primero, Anthropic introdujo el pensamiento preservado con Claude Fable 5.1 y Claude Opus 5.5, impidiendo que nuevas cuentas de API creadas en o después de 2026-08-31, editen el contexto previo de Claude. La medida también bloquea que las transcripciones de razonamiento sean leídas por modelos anteriores con salvaguardas más débiles y, con Claude Sonnet 5.5, restringe el acceso al razonamiento a la organización que produjo la transcripción.
En segundo lugar, Anthropic desplegó un sistema de clasificadores de dos etapas basado en su investigación sobre clasificadores constitucionales. La empresa afirmó que el clasificador ha sido reclutado interna y externamente mediante métodos manuales y automatizados, logrando una robustez comparable a las salvaguardas que impiden que Claude ayude a construir armas biológicas, con una tasa de falsos positivos inferior a 0.1%. El sistema funciona con Claude Sonnet 5.5, Claude Opus 5 y 5.5, y Claude Fable 5 y 5.1, y está previsto para futuros modelos de frontera.
Tercero, Anthropic detecta cuentas usadas para destilación y aplica límites de uso o prohibiciones más estrictas. Desde 2026-09-24, la empresa ha reanudado el cobro por solicitudes bloqueadas por salvaguardas antes de que Claude responda en áreas con tasas de falsos positivos inferiores a 0.1%, incluida la destilación.
Impacto medido y limitaciones
Anthropic afirmó que, tras introducir el clasificador de dos etapas, el número de tokens de razonamiento extraídos por los destiladores en su plataforma cayó de forma constante en un factor de 10 a 100 en comparación con los niveles previos a la implementación. En algunos días, informó la compañía, el volumen de tokens de razonamiento extraídos era demasiado pequeño para medir. La empresa ha utilizado estas defensas para prohibir decenas de miles de cuentas asociadas a la destilación, a menudo en menos de dos horas desde el inicio de una campaña de destilación, según la divulgación del 12 de octubre.
Anthropic reconoció que las medidas implican compensaciones. La empresa afirmó en 2026-02 que estaba trabajando para dificultar la destilación sin afectar a los usuarios legítimos, pero no ha cumplido completamente ese objetivo. El pensamiento preservado ha obligado a algunos desarrolladores a actualizar sus integraciones, los clasificadores pueden identificar erróneamente o bloquear solicitudes benignas en menos de 0.1% casos, y la empresa ahora cobra a los usuarios por esas solicitudes bloqueadas. Anthropic también rechazó ingresos significativos y trillones de tokens en tráfico de pago procedente de destiladores, e invirtió un tiempo considerable de investigación y equipo de producto en el problema.
La empresa afirmó que aún no sabe cuánto durarán las ganancias, espera que la destilación siga siendo un desafío iterativo y que aún no se ha enfrentado a un intento altamente sofisticado y persistente de eludir las nuevas defensas.
Llamada a la acción a nivel de toda la industria
Anthropic afirmó que prevenir la destilación ilícita requiere trabajo y apoyo de todos los desarrolladores de modelos de frontera, señalando que sus esfuerzos se verían socavados si los atacantes pudieran acceder fácilmente a modelos igualmente capaces que carecen de salvaguardas antidestilación robustas. La empresa también instó a plataformas de nube de terceros y proveedores de inferencia a detectar y interrumpir abusos rápidamente y a desvincular cuentas fraudulentas, señalando que los destiladores distribuyen el tráfico entre la API de Anthropic, plataformas de terceros y otros proveedores. Anthropic reconoció que los incentivos de la industria a menudo favorecen la inacción porque las defensas son costosas y los destiladores son clientes que pagan, y afirmó que publicó sus métodos para demostrar una alternativa viable.
Fuente: www.anthropic.com.