La NSA, el FBI y CISA advirtieron que DeepSeek, Moonshot AI, Alibaba y otras extrajeron miles de millones de tokens de modelos como Claude, GPT y Gemini desde 2024, mientras Anthropic detalló casi 200 millones de intercambios vinculados a esta práctica. (Fuente: SecurityWeek / TechCrunch)
La NSA, CISA y el FBI advirtieron que empresas de IA con sede en China están usando el proceso de destilación contra modelos de frontera estadounidenses. Según las agencias, probablemente con conocimiento del gobierno chino, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun y Z.AI extrajeron miles de millones de tokens a través de millones de intercambios y solicitudes de modelos de IA de frontera de Estados Unidos, incluidas variantes de Claude, GPT, Gemini y Grok, desde fines de 2024.
El resultado no solo mejora los modelos de IA chinos, también amenaza el liderazgo tecnológico existente de Estados Unidos. Entre fines de 2024 y mediados de 2025, DeepSeek destiló datos de entrenamiento y capacidades de Claude, Gemini, GPT-4, GPT-5 y Grok 4 para entrenar sus modelos R1 y V3. El conocimiento destilado incluyó, entre otras cosas, tareas basadas en reglas de API, funciones agénticas, optimización de preguntas y respuestas, optimización de ajuste fino supervisado, y optimización de escritura creativa y ocupacional. Moonshot llevó adelante una destilación similar a gran escala, incluyendo la extracción de datos significativos de Claude Fable 5 para mejorar su modelo Kimi-K3, y datos de GPT-4o para mejorar su modelo Kimi-K2.
En paralelo, Anthropic publicó su propio reporte detallando ataques de destilación por parte de estas mismas empresas, que se intensificaron en los últimos meses a medida que crece la competencia en el sector. La compañía dijo que durante los últimos meses laboratorios no autorizados desarrollaron métodos cada vez más sofisticados para evadir sus defensas y cosechar las capacidades de los modelos de frontera de Estados Unidos, señalando que las campañas identificadas apuntaron a algunas de las capacidades más valiosas de Claude, incluidas sus capacidades agénticas y de uso de herramientas, programación y análisis de datos, y razonamiento lógico.
En total, Anthropic observó casi 200 millones de intercambios vinculados a ataques de destilación, atribuidos a cinco campañas separadas. Los ataques de destilación se enfocan en extraer la cadena de razonamiento de la respuesta de un modelo a distintas consultas, que después puede usarse para entrenar un modelo más chico en habilidad de razonamiento general mediante ajuste fino supervisado. Anthropic normalmente no hace disponible el razonamiento interno de sus modelos para los usuarios, sino que muestra bloques de pensamiento resumido con una visión general. Pero las campañas de destilación encontraron técnicas específicas que podían engañar al modelo para que revelara directamente sus rastros de pensamiento; en un caso, un atacante encuadró su consulta como un pedido de traducción para intentar extraer esa información.
El grueso de los intentos de destilación provino de una campaña atribuida a Alibaba, que Anthropic describe como el mayor esfuerzo de destilación mayorista que la compañía observó jamás: 151 millones de intercambios entre mayo y julio de 2026, con picos de casi tres millones de intercambios por día, distribuidos en 3.500 cuentas distintas, pero atribuidos a un solo esfuerzo por producir material de entrenamiento para la familia de modelos Qwen de Alibaba. Otra campaña de Moonshot AI, fabricante de Kimi, parecía enrutar solicitudes directamente desde el ejército chino; en un pedido, se le pidió a Claude que evaluara metraje de cámaras de circuito cerrado para determinar si un sujeto se estaba comportando de forma anormal.
Las agencias estadounidenses recomendaron detección y monitoreo de comportamiento, además de medidas más agresivas de contraataque, como cambios específicos en respuesta a solicitudes de destilación de alta confianza maliciosa. También recomendaron compartir información sobre estas campañas entre proveedores de IA, y aplicar principios de privacidad diferencial, agregando ruido calibrado a las salidas de los modelos para evitar que actores maliciosos extraigan información de membresía de datos de entrenamiento.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.