Anthropic reduce entre 10 y 100 veces la extracción del razonamiento de Claude por parte de destiladores

Anthropic afirma que sus nuevas medidas contra la destilación han reducido en torno a un 90–99% el volumen de datos que recopilan los «destiladores». Desde el lanzamiento del clasificador, el número de tokens de razonamiento de Claude extraídos en la propia plataforma de la compañía se mantiene de forma estable entre 10 y 100 veces por debajo del nivel anterior. Algunos días fue tan bajo que no se pudo medir. Decenas de miles de cuentas vinculadas a la destilación han sido baneadas, con frecuencia en menos de dos horas desde el inicio de la campaña.

Para Anthropic, la destilación es una campaña industrial encubierta: a través de redes de cuentas falsas se recopilan millones de respuestas de un modelo potente y con ellas se entrena un modelo más pequeño. Lo más valioso no son las respuestas, sino las cadenas de razonamiento que Claude escribe antes de contestar. Con ellas, el modelo más débil aprende cómo llega el más fuerte a un resultado. Por eso la defensa se construye casi por completo en torno al acceso a ese razonamiento.

Por qué las medidas sencillas no bastaron

La primera medida fue resumir el razonamiento antes de mostrárselo al usuario. Anthropic comprobó su efecto en SWE-bench Verified: un modelo entrenado con transcripciones completas de Claude Opus 4.8 obtuvo un 80,4%, mientras que uno entrenado con transcripciones resumidas logró un 71,8%. Entonces los atacantes pasaron de la recopilación pasiva a la activa: pedían a Claude que reprodujera literalmente su razonamiento anterior, y un laboratorio probó 12 000 formulaciones trampa distintas.

Las primeras versiones de los filtros de protección fueron eludidas. Los ataques se escalaron mediante redes de proxies con cientos de miles de cuentas falsas. Esas redes revendían acceso en regiones donde Claude no está disponible y se registraban con datos falsos y credenciales de pago robadas. Según el informe de febrero, una sola red gestionaba más de 20 000 cuentas a la vez.

Tres capas de protección

Ahora los ataques se bloquean de tres maneras:

• Control de la ruta del razonamiento. Claude Fable 5.1 y Opus 5.5 incorporan preserved thinking: las nuevas cuentas de API (creadas a partir del 31 de agosto de 2026) no pueden editar el contexto previo. Esto impide trasladar bloques de razonamiento protegidos de una conversación a otra para convencer al modelo de que ya son «conocidos» por el usuario. Los modelos antiguos, con una protección más débil, no pueden leer el razonamiento de los nuevos. En Sonnet 5.5, las transcripciones solo están disponibles para la organización cuya solicitud las generó.
• Clasificador de dos etapas basado en el esquema de constitutional classifiers. Se sometió a red-teaming interno y externo con intentos reales de destiladores. Según Anthropic, es aproximadamente tan robusto como la protección contra la ayuda en la creación de armas biológicas, y su tasa de falsos positivos es inferior al 0,1%. Funciona en Sonnet 5.5, Opus 5 y 5.5, y Fable 5 y 5.1.
• Mayor dificultad para los reintentos. Los usuarios que intentan extraer el razonamiento de forma insistente reciben límites más estrictos y, después, un baneo. Desde el 24 de septiembre, la compañía vuelve a cobrar las solicitudes bloqueadas antes de responder en las áreas con falsos positivos inferiores al 0,1%, incluida la destilación.

Varios parches rápidos ya han cerrado algunas técnicas nuevas, como pedir que se traduzca el razonamiento anterior a otro idioma o que se muestre dentro de etiquetas junto a la respuesta.

Por qué Anthropic habla de esto en público

La compañía da dos argumentos. El primero: los modelos destilados salen al mercado sin protecciones comparables. Al crear GLM-5.3, Zhipu destiló las capacidades de ciberseguridad de los principales modelos estadounidenses. Intentó trabajar con Claude Fable 5, pero, después de que la protección empeorara sus ataques, cambió a un modelo anterior de Claude y a un modelo de otro laboratorio. Según el CAISSI estadounidense, GLM-5.3 es hoy el modelo open-weights más potente en ciberseguridad, mientras que Anthropic sostiene que su protección es fácil de eludir y que el modelo está dispuesto a escribir exploits de principio a fin.

El segundo argumento atañe a la seguridad nacional. Anthropic cita un caso en el que consultas a Kimi, de Moonshot, se reenviaban en secreto a Claude. Una de ellas, según la evaluación de la compañía, procedía de un usuario vinculado al Ejército Popular de Liberación de China (EPL) y consistía en analizar grabaciones de CCTV sobre una persona concreta.

El enfoque tiene un coste, y la compañía no lo oculta. Anthropic renunció a unos ingresos notables y a billones de tokens de tráfico de pago. Parte de los desarrolladores se ven obligados a actualizar sus integraciones por culpa de preserved thinking. Menos del 0,1% de las solicitudes legítimas puede acabar bloqueado, y ahora también habrá que pagar por ellas. Además, Anthropic todavía no ha visto un intento realmente sofisticado y persistente de eludir la nueva protección, y espera que el juego del gato y el ratón continúe.

Qué deben hacer desarrolladores y plataformas

Para los desarrolladores que trabajan con Claude, la comprobación práctica principal es revisar si su código depende de editar el contexto previo o de reutilizar bloques de razonamiento. En las cuentas creadas a partir del 31 de agosto de 2026, eso ya no funcionará. Conviene incluir en la gestión de errores los raros falsos bloqueos y tener presente que se cobran.

Para las plataformas en la nube y los proveedores de inferencia, la conclusión es más dura. Los destiladores reparten el tráfico entre la API de Anthropic, nubes de terceros y otros proveedores, así que la protección de un solo laboratorio funciona únicamente mientras los demás no dejen resquicios. Anthropic dice abiertamente que los incentivos de la industria empujan en sentido contrario: la protección cuesta dinero, y el destilador sigue siendo un cliente que paga. La publicación de los métodos es una invitación a copiar el enfoque: detectar las solicitudes de razonamiento oculto, banear rápidamente las cuentas falsas y no aceptar datos de pago sospechosos.