Anthropic dice frenar hasta un 99 % los ataques de destilación a Claude

Por Redacción Pangea IA · 13 de octubre de 2026

Anthropic asegura haber reducido entre un 90 % y un 99 % la cantidad de razonamiento que los atacantes pueden extraer de Claude para entrenar otros modelos. La compañía atribuye el avance a nuevas barreras sobre las respuestas internas, controles contra redes de cuentas falsas y sistemas que detectan patrones de uso propios de una campaña de destilación. La cifra es relevante, pero exige una cautela importante: procede de mediciones internas de Anthropic y, por ahora, no hay una auditoría pública que permita reproducirla.

La novedad fue comunicada el lunes 12 de octubre y publicada por Reuters a las 03:07, hora peninsular española, del martes 13. Según la agencia, la empresa sostiene que ahora se extraen entre diez y cien veces menos tokens de razonamiento que antes. No se trata de que Claude sea un 99 % “más seguro” en términos generales, ni de que la destilación haya desaparecido: el porcentaje se refiere a un indicador concreto de información capturada durante intentos de extracción.

Qué ha anunciado Anthropic exactamente

La compañía describe una defensa por capas. Una parte intenta limitar el acceso de cuentas y redes asociadas con campañas coordinadas; otra identifica solicitudes diseñadas para obtener el razonamiento protegido del modelo; y una tercera modifica la respuesta cuando el sistema interpreta que se está construyendo un conjunto de datos para copiar capacidades de Claude.

Reuters recoge tres métricas comunicadas por Anthropic:

la cantidad de tokens de razonamiento extraídos habría caído entre un 90 % y un 99 %;
el sistema tendría una tasa de falsos positivos inferior al 0,1 %, según las pruebas internas de la empresa;
Anthropic habría bloqueado decenas de miles de cuentas vinculadas con campañas de destilación.

La empresa compara la robustez de este filtro con la de sus barreras para evitar que Claude ayude a desarrollar armas biológicas. Es una comparación de Anthropic, no una equivalencia demostrada por un tercero. Tampoco se han publicado todavía el conjunto de evaluación, el periodo de medición, la distribución por modelo ni los resultados frente a atacantes que adapten su estrategia después de conocer la defensa.

Qué sabemos	Qué no sabemos aún
Anthropic afirma que el volumen de razonamiento extraído cayó un 90–99 %.	No hay una evaluación independiente y reproducible de esa reducción.
Las defensas combinan detección, restricciones de acceso y medidas en el propio modelo.	La empresa no ha detallado la arquitectura para evitar facilitar su evasión.
La compañía dice mantener los falsos positivos por debajo del 0,1 %.	No se conoce el conjunto de tráfico legítimo usado para calcular esa tasa.
Los ataques continúan y los adversarios cambian de técnica.	No puede concluirse que la destilación ilícita esté resuelta.

Qué es un ataque de destilación

La destilación, por sí sola, es una técnica legítima. Un modelo grande actúa como “profesor”: genera respuestas que sirven para entrenar a un modelo más pequeño, el “alumno”. Así se pueden trasladar capacidades con menos coste de cálculo. El problema aparece cuando una organización consulta masivamente un modelo ajeno, oculta su identidad y utiliza las respuestas o el razonamiento para mejorar un competidor sin autorización.

La diferencia no está en una pregunta aislada, sino en el patrón. Miles de cuentas coordinadas pueden enviar variaciones de tareas de programación, análisis de datos o uso de herramientas. El objetivo es reunir ejemplos suficientes para que otro sistema imite las capacidades más valiosas del modelo objetivo.

Anthropic ya había documentado en febrero campañas atribuidas a DeepSeek, Moonshot AI y MiniMax. La compañía dijo haber observado más de 16 millones de intercambios a través de unas 24.000 cuentas fraudulentas. En su informe de septiembre amplió la acusación a siete laboratorios chinos y describió redes que recurrían a identidades falsas, tarjetas robadas, credenciales comprometidas y servicios intermediarios. Pangea IA analizó entonces las acusaciones de copia de capacidades a escala industrial.

El fenómeno no afecta solo a Claude. OpenAI informó el 30 de septiembre de una campaña coordinada para recuperar razonamiento protegido mediante interacciones manipuladas. La empresa observó picos de 16.000 solicitudes procedentes de más de 4.000 usuarios y terminó vinculando patrones relacionados con más de 15.000 cuentas. OpenAI aclaró que esas cifras correspondían a intentos, no necesariamente a extracciones exitosas.

Por qué importa proteger el razonamiento

Las respuestas finales son solo una parte del valor de un modelo. Para tareas complejas, los atacantes buscan trazas que muestren cómo el sistema descompone un problema, evalúa alternativas o decide usar una herramienta. Ese material puede resultar especialmente útil para entrenar capacidades de programación, agentes autónomos, análisis y razonamiento de largo recorrido.

También hay una dimensión de seguridad. Las restricciones del modelo “profesor” no se transfieren automáticamente al alumno. Un conjunto de datos puede capturar destreza para resolver problemas sin conservar los filtros que bloquean usos peligrosos. Anthropic y OpenAI presentan este riesgo como una razón para compartir indicadores entre laboratorios, proveedores de nube y autoridades.

La ampliación del acceso de Claude para equipos de ciberseguridad ilustra el equilibrio difícil: los modelos avanzados pueden ayudar a encontrar vulnerabilidades, pero esa misma competencia técnica es valiosa para quien intenta copiar capacidades o utilizarlas de forma ofensiva. Las defensas deben distinguir el trabajo legítimo del abuso sin bloquear a investigadores y empresas.

La cifra del 99 % no equivale a una solución definitiva

Hay al menos cuatro motivos para interpretar el anuncio con prudencia. Primero, la métrica mide tokens de razonamiento capturados, no la capacidad final obtenida por el modelo atacante. Una reducción grande de volumen podría ser menos decisiva si el material restante es de alta calidad.

Segundo, no se conoce la línea de base. El intervalo entre el 90 % y el 99 % es muy amplio: significa desde extraer una décima parte de lo anterior hasta quedarse con una centésima. Sin saber el volumen inicial, el tipo de ataque y el modelo evaluado, es difícil estimar el efecto práctico.

Tercero, es una carrera adaptativa. El informe de septiembre de Anthropic relata que un actor probó más de 12.000 instrucciones diferentes para descubrir cuáles conseguían revelar razonamiento y luego amplió las variantes que funcionaban. Una defensa eficaz hoy puede perder rendimiento cuando el adversario cambia de idioma, reparte el tráfico o combina varios proveedores.

Cuarto, los falsos positivos importan. Si el filtro confunde con un atacante a una empresa que genera datos sintéticos, evalúa modelos o automatiza miles de tareas repetitivas, puede degradar sus resultados sin una explicación clara. Anthropic afirma que ese error ocurre en menos del 0,1 % de los casos evaluados, pero no ha publicado datos suficientes para saber si la tasa se mantiene en todos los productos, idiomas y cargas de trabajo.

Qué cambia para empresas y desarrolladores en España y la UE

Para una pyme que usa Claude directamente, el anuncio no introduce una configuración nueva ni obliga a cambiar de plan. El efecto más probable es invisible: controles de acceso más estrictos y respuestas limitadas cuando el tráfico se parece al de una campaña de extracción. Sin embargo, hay tres consecuencias prácticas.

1. Revisar los intermediarios

Anthropic sostiene que algunas campañas compraron conversaciones a revendedores o reenviaron solicitudes de usuarios a Claude sin avisarles. Su informe menciona sesiones procedentes de servicios de enrutamiento usados también en Estados Unidos y Europa que contenían nombres, correos electrónicos y datos empresariales. Para una organización europea, esto refuerza la necesidad de saber quién procesa cada solicitud, dónde se almacenan los registros y si el proveedor puede reutilizarlos para entrenamiento.

2. Evitar automatizaciones que parezcan extracción

Los equipos que generan grandes conjuntos de ejemplos, comparan modelos o crean evaluaciones deberían documentar el propósito y usar cuentas corporativas verificadas. Conviene repartir la carga conforme a los límites del proveedor, conservar registros de consentimiento y evitar servicios opacos que prometen acceso barato mediante claves compartidas. La política de uso de Claude actualizada por Anthropic endurece además las reglas para agentes, vigilancia y otros ámbitos sensibles.

3. Preparar una alternativa operativa

Una defensa contra abuso puede bloquear tráfico legítimo por error. Si un proceso crítico depende de un único modelo, la empresa debería definir qué hacer ante respuestas degradadas, límites repentinos o una suspensión preventiva. Esto no exige enviar datos a más proveedores: puede consistir en pausar el flujo, escalarlo a revisión humana y disponer de un canal de soporte verificable.

Una defensa importante, todavía difícil de auditar

El anuncio de Anthropic aporta una señal relevante: los grandes laboratorios ya miden el éxito de sus defensas no solo por las cuentas bloqueadas, sino por la cantidad de razonamiento que un atacante consigue llevarse. El descenso anunciado, si se mantiene frente a adversarios adaptativos, elevaría de forma significativa el coste de copiar capacidades de Claude.

Pero el resultado no permite declarar resuelto el problema. Faltan metodología pública, desglose por modelos y una evaluación independiente. La formulación más precisa es, por tanto, que Anthropic afirma haber reducido drásticamente la extracción observada en sus propias pruebas y operaciones. Es una mejora prometedora en una carrera que seguirá obligando a revisar tanto la seguridad técnica como la privacidad de los datos que circulan por servicios de IA.

Lecturas relacionadas

Fuentes consultadas

Reuters: Anthropic says new safeguards sharply reduce AI distillation attacks, publicado el 13 de octubre de 2026.
Anthropic: Detecting and preventing distillation attacks, 23 de febrero de 2026.
Anthropic: Countering misuse of AI, September 2026.
OpenAI: Disrupting a coordinated model-distillation campaign, 30 de septiembre de 2026.

Consulta realizada el 13 de octubre de 2026.