Auditores desenmascaran 7,7 TB de «pesos de Anthropic» mediante 192 millones de coincidencias

Un total de 7,7 TB de archivos, una arquitectura verosímil, pesos cuidadosamente divididos en shards y miles de descargas: todo parecía una gran filtración de Anthropic. Pero dentro no había ningún modelo entrenado. Los números se habían generado de forma determinista a partir de los nombres de los tensores, lo que significa que el enorme checkpoint podía construirse sin entrenamiento y sin acceso a la infraestructura de la empresa.

No se trata solo de una mistificación divertida. Es una buena prueba de resistencia para la forma habitual de evaluar modelos ajenos: mirar el tamaño de los archivos, la configuración y los hashes, y concluir que el artefacto es auténtico. Para un desarrollador, la conclusión es incómoda pero útil: un empaquetado verosímil solo demuestra que el autor sabe crear un empaquetado verosímil.

Cómo siete terabytes se convirtieron en un generador de números aleatorios

El repositorio burner22/numbat de Hugging Face se presentaba como el checkpoint de una ejecución interna de Anthropic: alrededor de 14 billones de parámetros, 114 capas, un híbrido GDN/MLA, una mezcla de 1.224 expertos y pesos de cuatro bits. Las cuentas cuadraban, la estructura de los archivos parecía coherente y las sumas de comprobación coincidían con el índice publicado.

La solución resultó casi insultantemente sencilla. El investigador tomaba el nombre de un tensor, calculaba SHA-256, utilizaba los primeros ocho bytes como semilla para NumPy PCG64 y generaba una matriz de números aleatorios con distribución normal y la forma necesaria. Tras escalar y redondear, los valores resultantes coincidían con el contenido de los archivos.

En un ejemplo sencillo, funciona así. Supongamos que el modelo contiene una matriz llamada model.layers.42.mlp.weight. Su nombre se convierte en un hash, del hash se obtiene un número para iniciar el generador y el generador crea siempre la misma secuencia. Cualquiera que use la misma receta reconstruirá los mismos «pesos»: el entrenamiento no interviene en absoluto.

Primero se comprobó la receta con 43 tensores completos: coincidieron los 730.368 valores. Después, la auditoría se amplió a matrices de cuatro bits y obtuvo 162.246.496 nibbles coincidentes de un total de 162.246.496. La comprobación final abarcó todo el conjunto de archivos y, según la auditoría publicada, confirmó el mismo mecanismo en aproximadamente 192 millones de nibbles FP4. Un resultado así prácticamente descarta una coincidencia fortuita: unos pesos entrenados no pueden reproducirse íntegramente a partir del nombre de una matriz.

Por qué los hashes no sirvieron de protección

SHA-256 respondía aquí a una pregunta distinta de la que los observadores le atribuían. Una suma de comprobación puede mostrar que el archivo descargado coincide con el archivo del autor. No demuestra que el archivo sea fruto de un entrenamiento, que pertenezca a Anthropic ni que contenga siquiera un modelo funcional.

Lo mismo ocurre con el tamaño y la coherencia interna. Se pueden crear terabytes de datos correctamente empaquetados, elegir formas de matrices realistas y elaborar una configuración convincente. Cuanto mejor conozca el autor la estructura de los LLM modernos, más convincente será el decorado. Incluso el nombre en clave numbat podía ser real: ya se había encontrado anteriormente en código fuente filtrado de Claude Code. Pero un nombre de proyecto real no convierte números aleatorios en un checkpoint real.

La comprobación también tiene una limitación. La coincidencia con el generador demuestra el origen artificial de los pesos publicados, pero por sí sola no explica la motivación del autor ni confirma las demás historias relacionadas con el nombre numbat. Anthropic no ha confirmado públicamente el origen del repositorio, por lo que no hay fundamento para vincularlo con la empresa más allá del uso de su marca.

Qué deben hacer los desarrolladores y los equipos de producto

No es necesario descargar los 7,7 TB completos. Para una comprobación inicial basta con obtener un shard, elegir una matriz grande, repetir la receta declarada y comparar al menos millones de nibbles de valores. Si la coincidencia es sistemática, se trata de la salida de un generador, no del resultado de un entrenamiento.

Los modelos de los que depende un producto exigen un mínimo más estricto: firma del editor, historial de publicación verificable, documentación del entrenamiento, pruebas de comportamiento independientes y una cadena de suministro clara. No ejecute archivos desconocidos ni código personalizado del repositorio solo para realizar la comprobación; el formato de los pesos debe analizarse de forma aislada.

La principal lección de esta historia va más allá de una sola falsificación. El tamaño, unos metadatos cuidados y hashes coincidentes crean una apariencia de prueba, pero únicamente demuestran que el artefacto es coherente consigo mismo. La autenticidad comienza allí donde un investigador independiente puede verificar la procedencia y obtener un resultado explicable.