Anthropic refuerza sus defensas ante la destilación de IA

Anthropic afirma que ha reducido entre un 90% y un 99% la cantidad de información que los atacantes pueden extraer de sus modelos para copiar sus capacidades. La compañía describe estas operaciones como campañas industriales basadas en cuentas fraudulentas y redes de acceso indirecto.

El objetivo de la llamada destilación es sencillo de entender: usar millones de respuestas de un modelo avanzado para entrenar otro más pequeño que imite su comportamiento. Así, una empresa puede acercarse a capacidades de frontera sin asumir todo el tiempo y el coste de desarrollar el modelo original.

Qué intentan robar los atacantes

Las respuestas finales no son el único objetivo. Lo más valioso para quienes realizan estas campañas son las transcripciones del razonamiento interno del modelo: el proceso que sigue antes de responder.

Ese material puede enseñar a otro sistema no solo qué contestar, sino cómo llegar a la respuesta. En una prueba de Anthropic con el benchmark de programación SWE-bench Verified, un modelo entrenado con transcripciones completas alcanzó un 80,4%. Cuando recibió únicamente versiones resumidas del razonamiento, bajó al 71,8%.

Anthropic empezó a resumir ese razonamiento para hacerlo menos útil a los imitadores. Pero los atacantes cambiaron de estrategia. Probaron instrucciones para conseguir que Claude mostrara su proceso palabra por palabra, tradujera razonamientos anteriores o los ocultara en etiquetas junto a la respuesta.

La empresa asegura que algunas redes llegaron a controlar cientos de miles de cuentas falsas. En un caso descrito anteriormente, una sola red gestionó más de 20.000 cuentas fraudulentas al mismo tiempo, usando identidades falsas y datos de pago robados.

Tres barreras contra la extracción

Anthropic dice que sus nuevas defensas actúan en tres frentes:

• Control del contexto: con Claude Fable 5.1 y Claude Opus 5.5, las cuentas nuevas creadas desde el 31 de agosto de 2026 no pueden modificar el contexto anterior del modelo. Esto dificulta mover razonamientos protegidos entre conversaciones, cuentas o modelos.
• Detección de intentos de extracción: la compañía utiliza un sistema de dos clasificadores, entrenado y probado mediante ejercicios de ataque internos y externos. Según Anthropic, su tasa de falsos positivos es inferior al 0,1%.
• Límites y bloqueos: las cuentas que repiten intentos de extraer razonamientos reciben límites más estrictos y pueden ser bloqueadas. Desde el 24 de septiembre, Anthropic también cobra ciertas solicitudes rechazadas antes de que el modelo responda, incluidas las relacionadas con destilación.

Estas medidas se aplican a sus modelos más capaces disponibles de forma general, entre ellos Claude Sonnet 5.5, Claude Opus 5, Claude Opus 5.5, Claude Fable 5 y Claude Fable 5.1.

Qué resultados dice haber obtenido

Anthropic calcula cuántos tokens de razonamiento, es decir, unidades de texto procesadas por el modelo, han logrado extraer los distiladores dentro de su plataforma. Tras activar el nuevo clasificador, esa cantidad pasó a ser entre 10 y 100 veces menor que antes, según la empresa.

Además, Anthropic afirma haber bloqueado decenas de miles de cuentas vinculadas con campañas de destilación, en ocasiones en menos de dos horas desde el inicio de la actividad.

La compañía reconoce que no sabe cuánto durarán estos resultados. Prevé una carrera constante entre las defensas y las nuevas técnicas de evasión, y admite que todavía no ha observado un ataque extremadamente sofisticado y persistente que intente superar todas las barreras actuales.

El coste para los usuarios legítimos

La protección no es gratuita ni completamente invisible. Algunos desarrolladores han tenido que modificar sus integraciones por los cambios en la gestión del contexto. También existe una pequeña posibilidad de que el sistema bloquee una solicitud legítima y, en determinados casos, Anthropic cobra igualmente por ella.

Para ti, esto puede traducirse en más controles al usar las API de modelos avanzados, límites más estrictos si una cuenta realiza muchas solicitudes parecidas y cambios técnicos en aplicaciones que dependan de conservar o reutilizar el razonamiento de una conversación.

Anthropic sostiene que el problema no afecta solo a una empresa. Las campañas pueden repartir el tráfico entre API, plataformas cloud y proveedores externos, por lo que los desarrolladores y las plataformas de acceso también tienen que detectar cuentas falsas, frenar abusos y cerrar redes coordinadas.

La preocupación de fondo va más allá de proteger un producto. Anthropic argumenta que un modelo copiado puede acercarse a capacidades avanzadas sin incorporar controles de seguridad equivalentes, especialmente en biología y ciberseguridad. Por eso considera que las defensas contra la destilación deben formar parte de la infraestructura básica de cualquier proveedor de modelos potentes. El siguiente paso será comprobar si estas barreras resisten cuando los atacantes adapten de nuevo sus métodos.