Anthropic atribuye a siete laboratorios chinos ataques de destilación a escala industrial
La compañía detalla seis campañas de destilación ilícita desde febrero, con DeepSeek, Moonshot y Alibaba entre los señalados, y cambios en Claude para inutilizar los datos robados.
Anthropic ha identificado y cortado seis campañas de destilación ilícita contra Claude ejecutadas desde siete laboratorios de IA con sede en China: Alibaba, Moonshot, DeepSeek, Z.ai (Zhipu), MiniMax, Xiaomi y SenseTime. La compañía lo cuenta en su informe de threat intelligence, donde pone nombre y cifras a cada operación.
La destilación en sí no es nada raro. Es una técnica de entrenamiento en la que un modelo grande y caro hace de profesor y un modelo pequeño hace de alumno, copiando su comportamiento. El problema es cuando eso se hace sin permiso y a lo bruto: redes de cuentas falsas, tarjetas de crédito robadas y claves de API de terceros para exprimir las capacidades de un modelo ajeno.
Las seis campañas
La mayor, bautizada por Anthropic como GTG-16005, salió de un grupo de operadores vinculados a Alibaba. Entre mayo y julio de este año registraron 151 millones de intercambios, con picos de unos 3 millones diarios desde más de 3.500 cuentas fraudulentas. El objetivo eran los transcripts de razonamiento de Claude Opus 4.6 y 4.7, con tareas agénticas, ingeniería de software y desarrollo de kernel de por medio.
Moonshot (GTG-16002) hizo algo más sucio: redirigió peticiones de sus propios clientes a Claude en lugar de procesarlas con Kimi, y les devolvió la respuesta del modelo de Anthropic sin avisar. En diez días pasaron casi 300.000 peticiones a través de una red de 5.380 cuentas falsas, la mayoría ubicadas en Singapur y Japón. DeepSeek (GTG-16001) usó el mismo truco y sumó más de 12,1 millones de intercambios en catorce días de julio. Zhipu o Z.ai (GTG-16006) montó un pipeline de extracción de cadenas de razonamiento rotando 273 cuentas. Xiaomi (GTG-16008) reprodujo conversaciones y sesiones de código de sus modelos MiMo a través de los harnesses OpenClaw y OpenCode. SenseTime (GTG-16012) ni se molestó en automatizarlo: compró transcripts a vendedores terceros. Y MiniMax (GTG-16003) levantó su propia red de proxy mediante una sociedad pantalla que revende acceso a modelos de Anthropic y OpenAI.
El patrón común son los servicios de relay: intermediarios que crean miles de cuentas con identidades ficticias y venden acceso a regiones no soportadas. Algunos, además, guardan las conversaciones y las revenden a otros laboratorios.
Qué ha cambiado en Claude
Anthropic dice que bloquea cuentas de revendedores y de regiones no soportadas como China, Irán y Rusia cuando el usuario no verifica su identidad. Y ha tocado el modelo: ahora resume su razonamiento interno antes de responder, de forma que un transcript robado sirve de bastante menos para entrenar. Con Fable 5.1 llegó el preserved thinking, que impide que cuentas nuevas de API alteren el system prompt, las herramientas o los mensajes previos al razonamiento en conversaciones multiturno. Ese razonamiento va cifrado, pero editar el contexto para que el modelo lo suelte es una técnica habitual.
Lo relevante para quien opera con modelos frontera es que el coste de la barrera se ha movido de sitio. Ya no basta con limitar el acceso por región o por cuenta: si tu producto reenvía peticiones a un tercero, tus usuarios pueden estar entrenando al competidor sin saberlo.
