Anthropic afirma haber reducido entre un 90 % y un 99 % la extracción de datos por destilación ilícita de Claude

Anthropic publica (12 de octubre de 2026) un artículo sobre cómo ha reforzado sus defensas contra los ataques de destilación. Según la compañía, las nuevas medidas han reducido la cantidad de datos obtenidos por los destiladores en torno a un 90-99 %. Se trata de una cifra de la propia empresa, descrita como 'evidencia temprana', y el texto reconoce que no se ha visto aún un intento altamente sofisticado y persistente de eludir las defensas.

La destilación ilícita se define como campañas encubiertas y a escala industrial para extraer las capacidades de un modelo y replicarlas en otro sin autorización de sus desarrolladores, a menudo mediante redes de cuentas fraudulentas. Anthropic sostiene que permite imitar capacidades de frontera con una fracción del tiempo y el coste, y que se ha usado ampliamente para que laboratorios extranjeros sigan el ritmo de las empresas estadounidenses.

La empresa expone dos preocupaciones. La primera: los modelos destilados pueden acercarse a la frontera de capacidad sin salvaguardas proporcionalmente robustas, con riesgos en biología y ciberseguridad. Cita el caso de Zhipu, que según Anthropic destiló capacidades cibernéticas de modelos estadounidenses para GLM-5.3; intentó destilar Claude Fable 5, pero al ver que las salvaguardas cibernéticas degradaban sus ataques pasó a un modelo Claude más antiguo y al modelo de otro laboratorio. Según el artículo, el organismo estadounidense CAISSI considera GLM-5.3 el modelo de pesos abiertos con más capacidad cibernética publicado hasta la fecha, y la propia investigación de Anthropic afirma que sus salvaguardas se pueden eludir con facilidad. La segunda: riesgo para la seguridad nacional, pues estas capacidades se integrarían en sistemas militares, de inteligencia y vigilancia. Se menciona un caso en que peticiones a modelos Kimi de Moonshot se reenviaban en secreto a Claude, incluida una de un usuario que Anthropic cree afiliado al Ejército Popular de Liberación chino, que buscaba analizar imágenes de CCTV de un individuo concreto.

El núcleo de la defensa es proteger el razonamiento de Claude, el dato más valioso para entrenar un modelo menor. La primera medida fue resumir el razonamiento antes de mostrarlo. En sus pruebas, un modelo preentrenado alcanzó 80,4 % en SWE-bench Verified al entrenarse con transcripciones completas de Claude Opus 4.8, y 71,8 % con las resumidas. Los atacantes pasaron entonces a la extracción activa: desde pedir a Claude que reproduzca su razonamiento literalmente hasta un laboratorio que probó 12.000 peticiones distintas. También crearon redes proxy con cientos de miles de cuentas fraudulentas; en un informe de febrero se describía una red con más de 20.000 cuentas simultáneas, con identidades falsas y datos de pago robados.

Las nuevas defensas actúan en tres frentes. Primero, controlar dónde puede ir el razonamiento: con Claude Fable 5.1 y Claude Opus 5.5 se introduce 'preserved thinking', que impide a las cuentas de API nuevas (creadas desde el 31 de agosto de 2026) editar el contexto previo de Claude; se evita que modelos anteriores con salvaguardas más débiles lean ese razonamiento; y con Claude Sonnet 5.5 las transcripciones de razonamiento solo son accesibles a la organización que originó la petición. Segundo, bloquear y parchear intentos de extracción mediante un clasificador de dos etapas del tipo de los 'constitutional classifiers', sometido a red-teaming interno y externo; según Anthropic es casi tan robusto como las salvaguardas contra armas biológicas y tiene una tasa de falsos positivos inferior al 0,1 %. Se aplica a Sonnet 5.5, Opus 5 y 5.5, y Fable 5 y 5.1. Ya han cortado técnicas como pedir traducir el razonamiento a otro idioma o escribirlo entre etiquetas. Tercero, dificultar los intentos repetidos: límites de uso más estrictos, bloqueo de cuentas persistentes y, desde el 24 de septiembre, cobro de las peticiones bloqueadas antes de que Claude responda en áreas con falsos positivos inferiores al 0,1 %.

Sobre los resultados, Anthropic dice que el clasificador detecta todas las técnicas descritas en su informe de septiembre y que los tokens de razonamiento extraídos son de 10 a 100 veces menos que antes (en algunos días, demasiado pocos para medirse). Han vetado decenas de miles de cuentas asociadas a destilación, a menudo en menos de dos horas desde el inicio de una campaña.

La empresa admite costes: ha rechazado ingresos significativos y billones de tokens de tráfico de pago de destiladores, algunos desarrolladores han tenido que actualizar sus integraciones, y los clasificadores pueden bloquear peticiones legítimas en menos del 0,1 % de los casos, que ahora se cobran. Espera que sea un juego del gato y el ratón y no sabe cuánto durarán las mejoras.

Finalmente, Anthropic subraya que es un problema de toda la industria: los destiladores reparten tráfico entre su API, plataformas en la nube de terceros y otros proveedores, por lo que las plataformas deben detectar abusos y dar de baja cuentas fraudulentas. Reconoce que los incentivos suelen ir en sentido contrario, porque las defensas son caras y los destiladores siguen siendo clientes de pago, y dice publicar sus métodos para mostrar que existe una alternativa viable.