Anthropic frena 99% de los ataques de destilación a Claude

Anthropic redujo entre 90% y 99% los datos que los destiladores extraen de Claude

Anthropic afirma que sus nuevas defensas contra ataques de destilación redujeron la cantidad de datos cosechados por atacantes en un rango de 90% a 99%, según su propio informe técnico. En términos simples: el volumen de tokens de razonamiento que los destiladores logran extraer de su plataforma es hoy entre 10 y 100 veces menor que antes de implementar los nuevos controles.

Para un founder que construye sobre modelos de terceros, esto no es un detalle de laboratorio. La destilación ilícita es la razón por la que muchos modelos baratos "sorprendentemente buenos" aparecen en el mercado, y también la razón por la que los proveedores de modelos frontera están endureciendo el acceso a sus APIs. Entender el fenómeno te ayuda a anticipar cambios de precio, límites de uso y restricciones de integración que ya están llegando.

¿Qué es un ataque de destilación y por qué Anthropic lo persigue?

La destilación, en sí misma, es una técnica legítima de entrenamiento: un modelo grande y capaz actúa como "maestro" y entrena a un modelo más pequeño para que copie su comportamiento. El problema aparece cuando ese proceso se hace sin autorización, a escala industrial y con redes de cuentas fraudulentas.

Los destiladores buscan generar millones de respuestas de un modelo más capaz —en este caso Claude— y usarlas como datos de entrenamiento. Lo más valioso no es la respuesta final, sino los transcripts de razonamiento: el proceso de pensamiento que el modelo escribe antes de contestar. Ese material le enseña al modelo pequeño cómo se llega a la respuesta, no solo cuál es.

Anthropic señala dos riesgos concretos. Primero, los modelos destilados suelen liberarse sin salvaguardas proporcionales a su capacidad, lo que los vuelve peligrosos en dominios como biología y ciberseguridad. Segundo, representan un riesgo de seguridad nacional: según la compañía, las empresas que destilan modelos estadounidenses integran esas capacidades en sistemas militares, de inteligencia y de vigilancia extranjeros.

El caso que Anthropic cita es el de Zhipu, que según la compañía destiló capacidades de ciberseguridad de modelos líderes de EE. UU. durante el desarrollo de GLM-5.3. Zhipu intentó destilar Claude Fable 5, pero al comprobar que las salvaguardas de ciberseguridad degradaban sus ataques, cambió a un modelo Claude más antiguo y al modelo de otro laboratorio. El Center for Advancing Innovation and Standards for Super Intelligence (CAISSI) evaluó después que GLM-5.3 es el modelo de pesos abiertos más capaz en ciberseguridad liberado hasta la fecha.

La escala del problema: siete laboratorios y casi 190 millones de intercambios

El contexto que rodea a esta publicación ayuda a dimensionar el fenómeno. Según The Hacker News, Anthropic identificó y desarticuló campañas de destilación de siete laboratorios con base en China, entre ellos Alibaba, Moonshot, DeepSeek, Z.ai (Zhipu), MiniMax, Xiaomi y SenseTime.

Los números que reporta el medio son difíciles de ignorar:

• La campaña vinculada a Alibaba registró 151 millones de intercambios entre mayo y julio de 2026, con picos de unos 3 millones por día desde más de 3.500 cuentas fraudulentas.
• Moonshot redirigió casi 300.000 solicitudes de clientes a Claude en 10 días usando una red de 5.380 cuentas falsas, la mayoría en Singapur y Japón.
• DeepSeek sumó más de 12,1 millones de intercambios en 14 días durante julio de 2026.
• Zhipu operó un pipeline de extracción con más de 3,4 millones de intercambios rotando 273 cuentas.

CryptoBriefing resume el total detectado en casi 190 millones de intercambios entre mayo y julio de 2026. La mecánica es consistente: los laboratorios enrutan tráfico a través de servicios proxy que crean cuentas con identidades falsas, tarjetas robadas y claves de API obtenidas ilegalmente.

Las tres capas de defensa que Anthropic desplegó

El informe describe tres frentes que operan en paralelo, con impacto mínimo para usuarios legítimos.

1. Controlar hacia dónde puede ir el razonamiento. Con Claude Fable 5.1 y Claude Opus 5.5, Anthropic introdujo preserved thinking, una medida que impide que las cuentas nuevas de API —creadas el 31 de agosto de 2026 o después— editen el contexto previo de Claude. Esto dificulta que las redes proxy reintenten la extracción una y otra vez. Además, con Claude Sonnet 5.5, los transcripts de razonamiento solo son accesibles para la organización cuyo pedido los generó.

2. Bloquear y parchear intentos de extracción. Anthropic adaptó el mismo tipo de salvaguardas que usa para tareas peligrosas de ciberseguridad o biología: un sistema clasificador de dos etapas, con una tasa de falsos positivos menor al 0,1%. Se aplica a los modelos más capaces disponibles (Claude Sonnet 5.5, Opus 5 y 5.5, Fable 5 y 5.1).

3. Dificultar los intentos repetidos. Las cuentas que insisten en extraer razonamiento enfrentan límites de uso más estrictos y, ante patrones persistentes, son baneadas. Desde el 24 de septiembre, Anthropic volvió a cobrar por las solicitudes bloqueadas por sus salvaguardas antes de que Claude responda.

¿Qué significa esto para tu startup?

El mensaje central del informe es que la destilación es un problema de todos los desarrolladores de modelos, no solo de Anthropic. Y las medidas tienen costos que ya están tocando a usuarios legítimos.

Acción 1: revisa tus integraciones si usas razonamiento extendido. El propio informe admite que preserved thinking obligó a algunos desarrolladores a actualizar sus integraciones. Si tu producto manipula el contexto previo de Claude en conversaciones multi-turno, o si dependes de leer transcripts de razonamiento, es probable que necesites cambios. Verifica tu código antes de que falle en producción.

Acción 2: asume que el costo de los reintentos cambió. Anthropic ahora cobra por solicitudes bloqueadas por sus clasificadores antes de que el modelo responda. Si tu arquitectura reintenta agresivamente ante errores, ese comportamiento puede traducirse en factura sin respuesta útil. Diseña lógica de reintento con backoff y límites claros.

Acción 3: no construyas tu ventaja competitiva sobre un modelo destilado sin trazabilidad. El caso de GLM-5.3 es ilustrativo. Según InfoWorld, Zhipu reportó que el modelo encontró 2.436 vulnerabilidades en 269 proyectos, de las cuales 1.097 son de severidad media a alta, y que su capacidad ofensiva creció más rápido de lo previsto. Un informe de SaferAI citado por TechCrunch encontró que GLM-5.2 no rechazó ninguna de las tareas ofensivas de ciberseguridad o biología que se le plantearon. Si integras modelos de pesos abiertos, evalúa qué salvaguardas sobreviven cuando alguien descarga los pesos y los ejecuta en su propio hardware: ninguna.

La conclusión incómoda: los incentivos juegan en contra

Anthropic lo dice sin rodeos: las defensas son caras y los destiladores ilícitos siguen siendo clientes que pagan. En ese contexto, es fácil que las empresas no hagan nada, o no lo suficiente. La compañía afirma que rechazó ingresos significativos y trillones de tokens de tráfico pagado provenientes de destiladores.

Para el ecosistema emprendedor, la lectura práctica es doble. Por un lado, los modelos frontera serán cada vez más difíciles de raspar, lo que encarece la vía rápida de construir un producto "casi tan bueno" sin entrenamiento propio. Por otro, la presión regulatoria y de seguridad va a filtrarse hacia los proveedores de infraestructura que usas, con más verificación de identidad, más límites y más controles.

La ventaja sostenible vuelve a estar donde siempre estuvo: en el problema que resuelves y en los datos propios que nadie más tiene, no en el modelo que alquilas.

Fuentes

• Anthropic: Strengthening our defenses against distillation attacks (fuente original)
• The Hacker News: Anthropic Says Seven China-Based AI Labs Ran Industrial-Scale Claude Distillation Attacks
• CryptoBriefing: Anthropic disrupts massive distillation attack from Chinese AI labs targeting Claude
• InfoWorld: Zhipu says new coding AI developed advanced cyber skills faster than expected
• TechCrunch: Open-weight AI models are catching up to the frontier. The safety gap remains.