Anthropic afirma haber reducido un 90–99% el robo de tokens de razonamiento de Claude

Anthropic afirma que ha reducido un 90–99% la extracción de los tokens de razonamiento internos de Claude. La compañía vincula ataques de destilación a gran escala con las empresas chinas Zhipu y Moonshot e informa del bloqueo de decenas de miles de cuentas. Las cifras se apoyan, por ahora, únicamente en la palabra de Anthropic: en el material al que hemos tenido acceso no hay ni un punto de partida de referencia ni una descripción de cómo se calcularon.

Qué intentaban extraer

La destilación es una técnica veterana y, en principio, legal: se entrena un modelo más pequeño, o simplemente distinto, con las respuestas de uno más potente. Los problemas empiezan cuando el «maestro» es el modelo cerrado de otra empresa y las condiciones del servicio prohíben ese uso. Para un líder comercial, supone trasladar a un competidor la inversión que ha hecho en entrenamiento.

En el caso de los modelos de razonamiento, el valor es especialmente alto. La respuesta final muestra el resultado; la cadena de razonamiento muestra el camino: qué pasos da el modelo, dónde se autoverifica, cómo divide el problema. Esas trazas son material de entrenamiento listo para reproducir un comportamiento similar en otro sistema. Por eso Anthropic habla específicamente de tokens de razonamiento y no de las salidas habituales de la API.

Qué se sabe de las medidas

Del comunicado se desprende lo siguiente:

• la extracción del razonamiento interno de Claude se ha reducido un 90–99%;
• se han bloqueado decenas de miles de cuentas;
• como implicadas se nombra a dos empresas chinas: Zhipu y Moonshot;
• los ataques se describen como «industriales», es decir, sistemáticos y distribuidos, y no experimentos puntuales de usuarios aislados.

Una escala de decenas de miles de cuentas apunta a un esquema típico: las consultas se reparten entre multitud de cuentas para que cada una, por separado, parezca un usuario normal. La defensa frente a esto se basa en el análisis de comportamiento, no en límites por cada clave. Anthropic no detalla los mecanismos concretos en el texto al que hemos tenido acceso.

Qué falta en el comunicado

Varias preguntas siguen abiertas. El margen «de 90 a 99%» supone una diferencia de casi un orden de magnitud en la fuga residual: con un 99% pasa una centésima del tráfico; con un 90%, una décima. No está claro a qué se aplica el indicador: al número de solicitudes, al volumen de tokens o a una estimación de la utilidad de los datos extraídos. Tampoco se sabe en qué pruebas se sustenta la atribución a empresas concretas: la infraestructura, los rastros de pago o el contenido de las consultas. En los materiales disponibles no figura la posición de Zhipu ni la de Moonshot.

Hay además una lectura prudente de la propia métrica. Si la defensa redujo la fuga, pero los atacantes se pasaron a otros canales, por ejemplo intermediarios y revendedores de acceso, el efecto real será menor que el declarado. Este tipo de comprobaciones suelen hacerlas investigadores externos, y por ahora no existen.

Conclusiones prácticas

Para los equipos que construyen productos sobre modelos cerrados, la señal principal es el endurecimiento del control sobre las cuentas. Quien trabaje a través de agregadores y proxies debería comprobar de dónde obtiene el acceso el intermediario y si incumple las condiciones del proveedor: los bloqueos «en cadena» afectan también a los clientes honestos. A las empresas que ajustan sus propios modelos les conviene llevar un registro del origen de los datos y excluir expresamente las salidas de modelos de terceros cuando la licencia lo prohíba.

Y a los desarrolladores chinos de modelos abiertos, a juzgar por el comunicado, se les va a exigir responder no solo por la calidad, sino también por la limpieza de sus datos de entrenamiento.

La disputa sobre la destilación no hará más que agudizarse: cuanto más caro es entrenar los sistemas de frontera, mayor es la tentación de obtener el resultado por la vía barata, y más empeño pondrán los laboratorios en ocultar y proteger su razonamiento.