OpenAI dice haber interrumpido una campaña de extracción de razonamiento vinculada a personas asociadas a Moonshot AI

OpenAI reveló el 30 de septiembre de 2026 que había interrumpido una campaña coordinada para extraer el razonamiento oculto que sus modelos usan para resolver problemas, y señaló a personas vinculadas a Moonshot AI, la desarrolladora china de la familia de modelos Kimi. En una publicación titulada "Disrupting a coordinated model-distillation campaign", la empresa dijo que la actividad comenzó en la primera semana de julio y terminó cuando desmanteló la operación el 28 de julio.

Lectura relacionada: OpenAI traslada el entrenamiento de frontera fuera de internet, a una copia en caché de la web · Los ingresos de OpenAI por debajo de lo esperado hunden las acciones ligadas a la IA.

La revelación llegó en medio de una disputa creciente sobre la destilación, la práctica de usar las salidas de un modelo para entrenar otro. OpenAI llama a este caso destilación adversaria, porque dice que los operadores violaron sus términos de servicio y apuntaron a un razonamiento que la empresa mantiene deliberadamente fuera de la vista.

Lo que OpenAI dice que ocurrió

OpenAI dice que notó por primera vez una actividad de bajo nivel el 1 de julio. El volumen se mantuvo pequeño hasta el 24 y el 25 de julio, cuando registró 16.000 solicitudes de más de 4.000 usuarios que coincidían con lo que la empresa llama un patrón de extracción relevante. Una mirada más atenta descubrió actividad de prompts relacionada en un grupo de más de 15.000 cuentas. Para el 28 de julio, OpenAI dijo que había interrumpido por completo la operación.

La empresa añadió una nota a pie de página a esas cifras: describen extracciones intentadas, no necesariamente exitosas. OpenAI no ha dicho cuánto razonamiento, si es que hubo alguno, lograron recuperar los operadores, y esa laguna recorre toda la revelación.

El objetivo era concreto. OpenAI oculta cada vez más el razonamiento que un modelo produce antes de responder, así que los operadores fueron a por un punto donde ese razonamiento todavía puede aflorar: los datos cifrados que un modelo usa para transportar su estado interno entre mensajes.

El método: razonamiento cifrado, trasladado entre conversaciones

OpenAI calificó la técnica de novedosa. Los operadores copiaban los datos de razonamiento cifrados de una conversación, luego abrían una conversación aparte y pedían al modelo que descifrara el contenido y lo escribiera en texto plano. Según la empresa, los operadores no rompieron su cifrado, no comprometieron una base de datos ni accedieron a conversaciones de usuarios almacenadas. Manipularon interacciones con el modelo, a una escala que violaba los términos de servicio.

La causa inmediata fue un error: el sistema permitía que un usuario tomara datos cifrados de una conversación y los descifrara en otra. OpenAI dice que cerró esa vía y añadió comprobaciones para retener la salida en streaming que pudiera exponer el razonamiento.

La falla no era solo de OpenAI. Investigadores de MATS Research, el Instituto ELLIS de Tubinga y Synk informaron en agosto de 2026 de una vulnerabilidad arquitectónica similar, al descubrir que las trazas de razonamiento cifradas podían reproducirse entre sesiones, usuarios y modelos dentro del ecosistema de un mismo proveedor. Un modelo más débil y menos protegido, dijeron los investigadores, podía ser inducido a decodificar la traza de un modelo más fuerte sin necesidad de romper directamente este último. The Hacker News informó de que OpenAI recreó los hallazgos de los investigadores y confirmó las vías de ataque. OpenAI ha dicho que la misma vulnerabilidad existe en otros modelos de IA.

Por qué la falla importa más allá de un proveedor

La campaña deja al descubierto una tensión de diseño. Los proveedores empezaron a ocultar su razonamiento porque puede copiarse y porque puede revelar información que un modelo de otro modo se guarda. Pero un modelo aún necesita pasar ese razonamiento entre turnos, así que el sistema lo cifra y se lo devuelve al cliente. La falla que OpenAI corrigió estaba en ese traspaso.

The Hacker News informó de que los investigadores externos describieron las trazas cifradas como "plenamente compatibles e intercambiables entre distintas sesiones, usuarios y modelos dentro del ecosistema de un proveedor". Si eso se sostiene, la debilidad no es específica de OpenAI ni de un solo modelo. Es una propiedad de tratar el razonamiento cifrado como estado portátil, y coloca en la misma categoría a todos los laboratorios que lo hacen. La observación de OpenAI de que la vulnerabilidad existe en otros sitios encaja con esa visión.

La laguna de atribución

OpenAI atribuye un núcleo de la actividad a personas asociadas a Moonshot AI, la desarrolladora de la familia de modelos Kimi. También dice que no está claro si toda la actividad que observó provino de un único actor, lo que deja margen para usuarios no relacionados que casualmente activaron el mismo patrón.

La empresa no publicó pruebas técnicas del vínculo con Moonshot. CyberScoop informó de que la publicación del blog no cita ninguna prueba técnica ni razonamiento para la atribución. OpenAI dijo al medio que no compartiría más "por razones de seguridad". Moonshot no respondió de inmediato a las solicitudes de comentarios de CyberScoop ni de CNBC.

Esa laguna importa. "Personas asociadas a Moonshot AI" es más estrecho que "Moonshot AI hizo esto", y el propio lenguaje de OpenAI mantiene ambas cosas separadas. La implicación es grave, pero el registro público hasta ahora es una acusación sin las pruebas subyacentes adjuntas.

Contexto: una lucha creciente por la destilación

La revelación de OpenAI llegó a una disputa que se había estado gestando durante meses. El 8 de septiembre de 2026, CISA, la NSA y el FBI publicaron un aviso conjunto, AA26-251A, en el que describían lo que llamaron destilación a escala industrial por parte de empresas de IA con sede en China. El aviso nombra a DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun y Z.AI. Dice que Moonshot AI extrajo datos significativos de Claude Fable 5 para entrenar su modelo Kimi-K3 y datos de GPT-4o para entrenar Kimi-K2, y describe "estaciones de transferencia", redes proxy que revenden el acceso a modelos frontera y ayudan a los compradores a eludir restricciones regionales y salvaguardas.

La destilación en sí no es el objetivo, y el aviso lo dice. Entrenar un modelo más pequeño con las salidas de uno mayor es una técnica estándar y útil en la investigación de IA. Lo que el aviso y OpenAI describen es una actividad distinta: reunir las salidas de un rival a escala industrial, en contra de los términos de servicio, para cerrar rápido una brecha de capacidades.

El aviso recomendó tres respuestas amplias: mejor detección de prompts, cuentas y redes anómalos; cambios que degraden discretamente el valor de las solicitudes de destilación sospechosas; y compartir inteligencia entre proveedores, plataformas de nube y agregadores de API para que las campañas distribuidas se vuelvan visibles.

El relato de OpenAI encaja con un patrón que describe el aviso federal: cuentas fraudulentas, suscripciones compartidas e infraestructura de proxy, con las solicitudes repartidas entre proveedores para que ninguna compañía vea la campaña completa. Por eso el aviso pide correlacionar la actividad entre empresas.

Dos días después del aviso federal, Anthropic publicó su informe de inteligencia de amenazas de septiembre de 2026. En un caso que rastreó como GTG-16002, Anthropic dijo que Moonshot AI reenviaba en silencio las solicitudes de sus clientes a Claude en lugar de procesarlas con Kimi, y luego mostraba las respuestas de Claude a usuarios que creían estar hablando con Kimi. En un tramo de diez días, Anthropic dijo que Moonshot retransmitió casi 300.000 solicitudes de clientes a través de una red de 5.380 cuentas fraudulentas. Anthropic también dijo que Moonshot construyó una canalización para extraer las transcripciones de razonamiento de Claude de los intercambios guardados.

Antes, el director de la Oficina de Política Científica y Tecnológica de la Casa Blanca, Michael Kratsios, había acusado a Moonshot de destilación a gran escala y de adquirir chips Nvidia restringidos para construir Kimi K3, como señaló Quartz. Moonshot no ha respondido públicamente a las últimas acusaciones.

La disputa también es económica. Los laboratorios frontera tratan cada vez más el razonamiento oculto como el activo que separa una respuesta de la de un competidor, y por eso ahora lo retienen. La destilación ofrece un atajo: cosechar el razonamiento de otro laboratorio, entrenar contra él y saltarse años de prueba y error.

Qué cambió OpenAI

OpenAI describió su respuesta por capas. Prohibió o restringió cuentas fraudulentas, reforzó los controles de registro e infraestructura, y amplió la monitorización de redes relacionadas. También reforzó las protecciones del razonamiento oculto, la corrección destinada a impedir que cualquiera que tenga el razonamiento cifrado de otro usuario recupere su contenido.

La empresa dijo que compartió sus hallazgos con el Frontier Model Forum, un grupo del sector, y a través de canales gubernamentales de intercambio de información. Dijo que su trabajo continúa en tres áreas: protecciones técnicas más fuertes contra la extracción, mejor detección y aplicación contra campañas coordinadas, y un intercambio más profundo de información sobre amenazas entre la industria y el Gobierno. La publicación no dice cuántas cuentas se prohibieron, qué modelos fueron objetivo ni si OpenAI contactó directamente con Moonshot AI.

Los operadores no rompieron nuestro cifrado, no comprometieron una base de datos ni accedieron directamente a las conversaciones de usuarios almacenadas.

Esa es la propia descripción de OpenAI de la campaña, en su publicación del 30 de septiembre.

Salvedades

• Las cifras de julio son intentos, no éxitos confirmados. La nota a pie de página de OpenAI es explícita, y la empresa no ha dicho qué obtuvo realmente la campaña.
• La atribución se detiene antes de llegar a la empresa. OpenAI vincula un núcleo de la actividad a personas asociadas a Moonshot AI, no a la firma como institución, y dice que parte de lo que vio puede no estar relacionado.
• No hay pruebas técnicas públicas. La fuente más sólida del vínculo con Moonshot es la caracterización de la propia OpenAI, repetida por medios que también señalan la ausencia de detalles de apoyo.
• Puede que la corrección no esté completa en todas partes. The Decoder informó de que investigadores externos encontraron la misma clase de técnica aún funcionando en plataformas de nube durante semanas, con algunas salvaguardas llegando tarde. Si eso se sostiene, la debilidad es un problema arquitectónico compartido, no un error parcheado.

Qué vigilar

Tres cosas marcarán hacia dónde va esto.

Primero, la respuesta de Moonshot. La empresa ha guardado silencio hasta ahora. Una negación, una refutación técnica o un silencio continuado tienen cada una un peso distinto, y ninguna de ellas resolvería por sí sola la pregunta de fondo.

Segundo, si OpenAI publica más. Su negativa a compartir pruebas "por razones de seguridad" es comprensible cuando los atacantes siguen activos, pero un hallazgo sin atribuir es difícil de usar para el resto de la industria. El Frontier Model Forum es el lugar más probable donde aparezca antes más detalle.

Tercero, la regulación. El aviso federal ya enmarca la destilación como una cuestión de seguridad nacional, y la atención política al desarrollo de modelos chinos no deja de crecer. Podrían seguir nuevas normas o medidas de aplicación, y recaerían sobre una industria que hasta ahora ha gestionado la destilación mediante términos de servicio y prohibiciones de cuentas.

Ninguno de esos tres acontecimientos resolvería la pregunta factual central, que es si las pruebas de OpenAI se sostendrían fuera de la empresa. Hasta que publique más, la revelación es el relato de un laboratorio sobre una falla técnica real, unido a una atribución que ninguna parte externa ha podido verificar todavía.

Imagen de portada: el consejero delegado de OpenAI, Sam Altman. Foto de Village Global / Wikimedia Commons, CC BY 2.0.