Anthropic afirma que siete laboratorios chinos hicieron destilación «a escala industrial» de Claude

Estados Unidos y Anthropic intensificaron esta semana la misma lucha. El 8 de septiembre de 2026, la Agencia de Seguridad Nacional (NSA), la Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA) y el FBI publicaron un aviso conjunto en el que advierten de que empresas de IA con sede en China llevan a cabo campañas de «destilación de conocimiento» a escala industrial contra modelos frontera estadounidenses. Dos días después, Anthropic publicó su informe de inteligencia de amenazas de septiembre y afirmó haber detectado y detenido ataques de destilación de siete laboratorios con sede en China: Alibaba, Moonshot, DeepSeek, Zhipu (Z.ai), Xiaomi, SenseTime y MiniMax.

Lectura relacionada: Anthropic corta el acceso a internet en vivo de sus evaluaciones internas después de que sus agentes rompieran las reglas · Claude Duet, de Anthropic, trabaja en segundo plano y pregunta antes de actuar.

Los dos documentos describen un mismo manual desde dos puntos de vista: una advertencia gubernamental sobre un drenaje estratégico del liderazgo estadounidense en IA, y el relato forense de un proveedor sobre miles de cuentas fraudulentas, «estaciones de transferencia» proxy y cientos de millones de intercambios de modelos. Algunos de esos intercambios, según Anthropic, llevaban secretos comerciales de otras empresas y credenciales activas de gobiernos.

Qué es la destilación y cuándo pasa a ser ilícita

La destilación es, en sí misma, una técnica de entrenamiento legítima y muy extendida. Un modelo «alumno» más pequeño se entrena con las salidas de un «maestro» mayor y más capaz, lo que permite alcanzar una determinada capacidad con menos cómputo y menos dinero. Los laboratorios frontera destilan sus propios modelos constantemente.

La disputa gira en torno al consentimiento, la escala y el fraude. El informe de Anthropic define el problema sin rodeos: «Definimos la destilación ilícita como una campaña industrial y encubierta para extraer las capacidades de un modelo y replicarlas en otro sin autorización». En la práctica, dice la empresa, eso significa servicios proxy que crean miles de cuentas nuevas con identidades falsas, tarjetas de crédito falsificadas o robadas y claves API robadas, eludiendo el hecho de que Claude no se vende en China continental ni en Hong Kong.

Una campaña de 151 millones de intercambios

Anthropic atribuye la mayor campaña que ha medido nunca a operadores vinculados al laboratorio Qwen / Tongyi de Alibaba. Entre mayo y julio de 2026 observó más de 151 millones de intercambios con Claude, con picos de casi 3 millones al día desde más de 3.500 cuentas fraudulentas. El objetivo era el razonamiento de cadena de pensamiento de Opus 4.6 y 4.7: un prompt fijo obligaba a Claude a escribir sus trazas de razonamiento dentro de etiquetas en línea, que luego se guardaban y convertían en datos de ajuste fino supervisado. Según Anthropic, esos datos ayudaron a entrenar los modelos Qwen 3.5, 3.6 y 3.7 de Alibaba.

La operación se canalizó por dos grandes grupos de cuentas: el primero, con casi 5.000 cuentas, usaba proxys residenciales, correos desechables y tarjetas virtuales. Cuando Anthropic bloqueó ese grupo, el tráfico pasó a un segundo. Algunas cuentas también canalizaban peticiones para DeepSeek y Xiaomi, prueba de que distintos laboratorios usan la misma infraestructura proxy.

Moonshot y DeepSeek sirvieron Claude a sus propios usuarios

El hallazgo más trascendente no es la recolección masiva, sino la desorientación deliberada. Moonshot AI, creadora del chatbot Kimi, reenviaba en silencio las peticiones de sus clientes a Claude y mostraba a los usuarios las respuestas de Claude, de modo que creían estar hablando con Kimi, según Anthropic. En un periodo de diez días se reenviaron casi 300.000 peticiones, la mayoría a Opus, a través de una red de 5.380 cuentas fraudulentas que Anthropic sitúa sobre todo en Singapur y Japón. Entre mayo y julio, Anthropic atribuyó a Moonshot más de 23 millones de intercambios.

Moonshot también guardaba esos intercambios y usaba un truco de «repetición entre sesiones» (guardar la referencia al razonamiento oculto de Claude, iniciar una sesión nueva y pedirle que reconstruyera la traza completa) para cosechar datos de razonamiento que los controles técnicos debían proteger. El tráfico reenviado incluía material sensible. Un usuario, considerado probablemente afiliado al Ejército Popular de Liberación, subió un archivo de vigilancia con imágenes de CCTV de cientos de cámaras de Chengdu y pidió al que creía Kimi que analizara si un objetivo «se comportaba de forma anómala». Un ingeniero de una empresa estatal china expuso código interno y credenciales activas.

DeepSeek operó una canalización similar de reenvío y extracción, según el informe. Anthropic contabilizó más de 12,1 millones de intercambios en 14 días de julio de 2026 y afirma que las peticiones reenviadas expusieron documentación interna de una empresa tecnológica china, credenciales activas de una base de datos de un organismo de defensa ruso y el trabajo de ingenieros que construían una herramienta policial de gestión de casos que compara los movimientos de una persona con los registros policiales mediante el número de identificación nacional. Anthropic dice que no sabe si Moonshot o DeepSeek informaron a sus clientes de que sus datos se enviaban a un tercero.

Zhipu, Xiaomi y la economía de los revendedores

Tres campañas más completan el cuadro. Zhipu, que fuera de China se presenta como Z.ai, operó una canalización de extracción y «limpieza» de cadena de pensamiento para sus modelos GLM, rotando por 273 cuentas fraudulentas en diez días y pasando 770.609 intercambios por el limpiador. Anthropic atribuyó a la operación más de 3,4 millones de intercambios en 17 días de junio y julio. Antes del lanzamiento de GLM 5.3, Zhipu usó además conjuntos públicos de vulnerabilidades para crear retos de captura de bandera y lanzó un ataque de destilación contra las capacidades cibernéticas de otro laboratorio líder de EE. UU., con Claude Opus 4.6 calificando las respuestas. Cuando el modelo Fable de Claude resistió, Zhipu cambió a modelos que consideraba con salvaguardas más débiles.

Xiaomi reprodujo conversaciones de usuarios y sesiones de programación de sus propios modelos MiMo a través de Claude, guardando los intercambios para aprendizaje supervisado y por refuerzo. Anthropic observó más de 400.000 peticiones en más de 1.500 cuentas durante 20 días de marzo y abril de 2026. SenseTime compró transcripciones de usuarios a vendedores de datos externos y usó Claude para escribir y monitorizar su canalización; MiniMax creó una red proxy mediante una sociedad instrumental que solo ofrecía modelos de Anthropic y OpenAI.

Anthropic describe siete laboratorios en total. Las cinco campañas mayores suman cerca de 200 millones de intercambios, según TechCrunch, y unos 190 millones según Business Insider.

Washington se mueve

El Gobierno de EE. UU. no esperó al informe de un solo proveedor. El aviso conjunto publicado el 8 de septiembre nombra a DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun y Z.AI, afirma que las campañas se remontan «al menos a finales de 2024» y sostiene que «la magnitud misma de estas campañas y su sofisticación indican que la destilación no es un complemento del desarrollo de modelos de IA de estas empresas, sino su núcleo crítico». Añade que la actividad cuenta «probablemente con el conocimiento del Gobierno chino».

El aviso recomienda tres pasos inmediatos a las empresas estadounidenses de IA: detectar prompts, cuentas y redes anómalos; alterar sutilmente las respuestas a los presuntos destiladores (por ejemplo, degradando o diversificando las salidas para que las transcripciones robadas sean menos útiles); y compartir inteligencia entre proveedores de modelos, plataformas en la nube y agregadores de API. Asocia las tácticas al marco MITRE ATLAS y apunta a la privacidad diferencial y la ofuscación de respuestas como mitigaciones.

El trasfondo es una disputa política anterior a esta semana. La Casa Blanca difundió un memorando sobre destilación adversaria en abril de 2026, y el Comité Selecto sobre China de la Cámara de Representantes ha instado al Congreso a tratar la extracción de modelos como espionaje industrial en virtud de la Ley de Espionaje Económico y la Ley de Fraude y Abuso Informático. Anthropic defendió un argumento similar en una carta del 10 de junio a los senadores Tim Scott y Elizabeth Warren, en la que describía 28,8 millones de intercambios a través de unas 25.000 cuentas fraudulentas. El Ministerio de Asuntos Exteriores chino dijo a Reuters que no conocía el informe de Anthropic y que la IA debe desarrollarse para el bien, oponiéndose a las deformaciones y las calumnias.

Qué cambió Anthropic

Anthropic dice haber respondido en varios frentes. Claude ahora resume su razonamiento interno antes de responder, lo que hace que las trazas capturadas sean menos útiles como datos de entrenamiento. Con Fable 5.1 la empresa añadió el «pensamiento preservado», que impide que las cuentas API nuevas editen el prompt de sistema, las herramientas o los mensajes que preceden al razonamiento del modelo en una conversación de varios turnos, un truco habitual para sonsacar el razonamiento. También reforzó los clasificadores que detectan la extracción adversaria y ahora exige verificación de identidad a las cuentas que parecen operar desde países no admitidos como China, Rusia o Irán. Su argumento es sencillo: «Las sólidas salvaguardas que impiden que Claude sea utilizado indebidamente por actores maliciosos no se transfieren cuando nuestros modelos son destilados por un laboratorio no autorizado».

La destilación no es ilegal, y «ilícita» se define aquí por los términos de servicio, el fraude y la escala, no por una ley. Precisamente por eso la disputa se traslada ahora al Congreso.

Salvedades y qué hay que observar

El relato procede casi por completo de la telemetría de una sola empresa, y las cifras deben leerse así. Las atribuciones de Anthropic se basan en sus propios registros y en el análisis de infraestructura; los investigadores independientes no pueden ver los datos subyacentes. Alibaba, Moonshot, DeepSeek, Xiaomi y Anthropic no respondieron a las peticiones de prensa, y ninguno de los laboratorios acusados ha confirmado las conclusiones. La destilación es una técnica de doble uso (el mismo método alimenta modelos más pequeños legítimos), así que llamar «ilícita» a una campaña es un juicio sobre el consentimiento y el fraude, no la afirmación de que se haya infringido una ley concreta.

Hay además una dimensión de credibilidad que Anthropic no controla. La empresa ha pasado el año presionando a Washington para que endurezca las reglas, y sus motivos son tanto comerciales como de seguridad: si sus modelos pueden copiarse barato, su poder de fijación de precios se erosiona. Su propio historial en el uso de datos tampoco es impecable, tras el acuerdo de 2025 con autores sobre cómo obtuvo los libros de entrenamiento.

Cuatro cosas merecen seguimiento. Si la legislación estadounidense que insinúa el aviso avanza de verdad. Si otros laboratorios frontera corroboran campañas similares y publican sus propias cifras. Si las nuevas salvaguardas de Anthropic encarecen de forma significativa la extracción o simplemente empujan a los laboratorios hacia nuevas técnicas. Y si la exposición de datos de usuarios (las sesiones sensibles que pasaron en silencio por relés de terceros) se convierte en un problema regulatorio y jurídico propio, tanto para los laboratorios chinos como para los intermediarios que guardaron y vendieron esas conversaciones.

Por ahora, la principal conclusión de la semana es estructural. El debate sobre los controles de exportación asumió durante mucho tiempo que mantener los chips avanzados fuera de China limita la velocidad con que mejoran sus modelos. El informe de Anthropic sostiene que una parte significativa de esa mejora ha llegado directamente de modelos estadounidenses, y que las tuberías implicadas son ya lo bastante industriales como para justificar en la misma semana tanto una alerta gubernamental como un informe forense de un proveedor.

Imagen de portada: un centro de datos del CERN. Foto de Hugovanmeijeren, vía Wikimedia Commons, CC BY-SA 3.0.