Anthropic reduce entre un 90 y un 99% los datos que obtienen los destiladores de Claude

Anthropic afirma que en los últimos meses ha debilitado de forma notable los ataques de destilación contra Claude. Según datos preliminares, la cantidad de datos que logran recopilar los destiladores ha caído entre un 90 y un 99%. La compañía describe estos ataques como campañas encubiertas de escala industrial. Su objetivo es extraer las capacidades de un modelo y reproducirlas en otro sin permiso de su desarrollador, normalmente mediante redes de cuentas falsas. Según Anthropic, la defensa no ha sido barata: la empresa renunció a ingresos significativos y a billones de tokens de tráfico de pago.

Por qué Anthropic lo considera una amenaza

La compañía señala dos motivos. El primero tiene que ver con la seguridad. La destilación permite acercarse con rapidez a la frontera de capacidades, pero las restricciones de seguridad se reproducen peor. Estos modelos pueden utilizarse con fines dañinos en biología y ciberseguridad.

El ejemplo principal del texto es Zhipu y GLM-5.3. Según Anthropic, el laboratorio destiló las capacidades cibernéticas de los principales modelos estadounidenses. Intentó trabajar con Claude Fable 5, pero las defensas cibernéticas empeoraron la calidad de sus ataques, y Zhipu pasó a un modelo anterior de Claude y a un modelo de otro laboratorio. Después, el centro estadounidense CAISSI calificó GLM-5.3 como el modelo open-weights con más capacidades cibernéticas de los publicados hasta ahora. Las pruebas propias de Anthropic mostraron que las protecciones de GLM-5.3 se eluden con facilidad y que el modelo está dispuesto a escribir exploits de principio a fin.

El segundo motivo es la seguridad nacional. Según Anthropic, las empresas que destilan modelos estadounidenses integran las capacidades obtenidas en sistemas militares, de inteligencia y de vigilancia extranjeros. La compañía cita el caso de Kimi, de Moonshot: las consultas a este modelo se reenviaban en secreto a Claude. Una de ellas, presuntamente de un usuario vinculado al Ejército Popular de Liberación de China, pedía analizar grabaciones de vigilancia CCTV de una persona concreta.

Por qué las medidas sencillas no bastaron

Los destiladores generan millones de respuestas de un modelo potente y entrenan con ellas un modelo más pequeño. Los datos más valiosos para ello no son las respuestas finales, sino las transcripciones del razonamiento, es decir, lo que Claude escribe antes de responder. Muestran cómo llega el modelo a un resultado. Por eso la defensa se centra casi por completo en cerrar el acceso a esta capa.

La primera medida fue resumir los razonamientos antes de mostrarlos al usuario. Anthropic comprobó su efecto del siguiente modo: tomó un modelo Claude preentrenado, lo afinó con transcripciones de Claude Opus 4.8 y lo evaluó en SWE-bench Verified.

• Entrenamiento con razonamientos completos: 80,4%.
• Entrenamiento con razonamientos resumidos: 71,8%.
• Diferencia: 8,6 puntos porcentuales.
• Reducción del volumen de datos recopilados tras las nuevas medidas: 90–99% (estimación preliminar).

Pero los destiladores se adaptaron. Pasaron de la recopilación pasiva, en la que las consultas se envían como las de un usuario normal, a la extracción activa, es decir, a intentos de eludir las restricciones. El fragmento de texto disponible se interrumpe aquí, por lo que no se detallan los nuevos métodos de defensa. Anthropic promete describirlos en la versión completa de su blog.

El coste de la defensa y qué deben hacer los desarrolladores

Las medidas antidestilación afectan tanto a la propia Anthropic como a sus clientes. La compañía señala que los equipos de investigación y de producto dedicaron mucho tiempo a esta tarea. Parte de los cambios obliga a los usuarios de buena fe a actualizar sus integraciones.

Para desarrolladores y plataformas, la conclusión es práctica:

• Compruebe cómo funciona su aplicación con razonamientos resumidos en lugar de completos. Si construyó lógica sobre ellos, tendrá que modificar la integración.
• Trate las cadenas de razonamiento como un activo sensible. Son lo que más valoran los destiladores.
• Vigile las anomalías en las cuentas: las redes de perfiles falsos y la redirección de consultas ajenas a la API siguen siendo los esquemas principales.
• Si publica modelos open-weights, evalúe no solo la calidad, sino también la solidez de sus protecciones. El ejemplo de GLM-5.3 muestra que eludir las restricciones en estos modelos puede resultar sencillo.

Anthropic subraya que todos los desarrolladores de modelos se enfrentan a la destilación. El 90–99% declarado sigue siendo, por ahora, una estimación de la propia compañía, y el texto no menciona ninguna verificación independiente. Aun así, la elección está clara: Anthropic considera que los billones de tokens de tráfico cuestan menos que el riesgo de que surjan modelos potentes sin protecciones adecuadas.