La compañía detectó extracción sistemática de conocimiento desde su modelo. Alibaba, DeepSeek y Moonshot entre los identificados.
Anthropic informó esta semana que identificó y detuvo ataques de destilación ilícita a escala industrial dirigidos contra Claude, su modelo de lenguaje. La operación involucró a siete laboratorios de inteligencia artificial con sede en China, entre ellos Alibaba, Moonshot, DeepSeek, Z.ai (también conocido como Zhipu) y MiniMax. La compañía no especificó cuándo comenzaron los ataques ni cuánto tiempo estuvieron activos antes de ser detectados, pero caracterizó la escala como industrial — un término que sugiere volumen y coordinación más allá de experimentos aislados.
La destilación de conocimiento es una técnica legítima de aprendizaje automático en la que un modelo grande y complejo actúa como maestro para entrenar modelos más pequeños y eficientes. El proceso consiste en hacer que el modelo grande genere respuestas a miles o millones de consultas, y luego usar esas respuestas como datos de entrenamiento para el modelo pequeño. Lo que Anthropic identificó como ilícito no es la técnica en sí, sino su aplicación sin autorización y a escala masiva contra un modelo comercial protegido por términos de servicio que prohíben explícitamente este uso.
Cómo funciona la destilación cuando se usa sin permiso del modelo fuente
En un escenario legítimo, la destilación requiere acceso autorizado al modelo maestro o a sus salidas bajo licencia. En el caso que Anthropic reporta, los laboratorios habrían enviado consultas masivas a Claude a través de su API pública, capturando las respuestas para entrenar sus propios modelos sin pagar por una licencia de destilación ni revelar el propósito real del tráfico. Este patrón es detectable porque genera volúmenes de consultas anómalos, con patrones de uso que no coinciden con aplicaciones productivas normales — por ejemplo, miles de variaciones de la misma pregunta o consultas diseñadas específicamente para extraer conocimiento sobre dominios técnicos específicos.
La detección de este tipo de abuso depende de análisis de comportamiento en la capa de API: frecuencia de llamadas, diversidad de prompts, correlación entre cuentas, y comparación con perfiles de uso legítimo. Anthropic no detalló qué indicadores específicos usó para atribuir el tráfico a los laboratorios nombrados, ni si hubo coordinación entre ellos o si operaban de manera independiente. Tampoco está claro si los laboratorios usaban cuentas corporativas identificables o si Anthropic tuvo que correlacionar patrones de tráfico con modelos publicados posteriormente por esas empresas que mostraran capacidades sospechosamente similares a Claude.
Por qué China concentra este tipo de operaciones y qué significa para el ecosistema global
Los cinco laboratorios nombrados son actores relevantes en el ecosistema de IA de China. Alibaba opera Qwen, una familia de modelos de lenguaje de código abierto. DeepSeek desarrolló modelos competitivos en benchmarks internacionales. Moonshot, Z.ai y MiniMax son startups con respaldo de capital de riesgo chino que compiten en el mercado local de aplicaciones conversacionales. Ninguno de estos laboratorios ha comentado públicamente sobre las acusaciones de Anthropic al momento de esta publicación.
China enfrenta restricciones de acceso a chips avanzados de Nvidia y AMD debido a controles de exportación estadounidenses, lo que encarece el entrenamiento de modelos grandes desde cero. La destilación ilícita ofrece un atajo: en lugar de entrenar un modelo de 70 mil millones de parámetros con decenas de miles de GPUs durante semanas, se puede destilar conocimiento de un modelo existente con una fracción del costo computacional. Esto no replica la arquitectura interna del modelo maestro, pero sí transfiere patrones de respuesta y capacidades específicas — suficiente para competir en aplicaciones comerciales sin la inversión en infraestructura que requirió el modelo original.
Para América Latina, este episodio tiene implicancias indirectas pero estructurales. Empresas y gobiernos de la región que evalúan proveedores de IA para aplicaciones críticas — atención ciudadana automatizada en Argentina, análisis de crédito en Brasil, moderación de contenido en México — necesitan considerar no solo las capacidades técnicas declaradas de un modelo, sino también la transparencia sobre su entrenamiento. Un modelo destilado ilegalmente puede funcionar bien en benchmarks públicos, pero carece de la trazabilidad y las garantías legales de un modelo entrenado bajo licencia. Si un proveedor no puede documentar el origen de las capacidades de su modelo, el riesgo legal y reputacional recae sobre quien lo implementa.
Qué hizo Anthropic y qué límites tiene la defensa contra destilación
Anthropic indicó que disrumpió los ataques, pero no especificó si esto significó bloquear cuentas, limitar tasas de consulta, o implementar filtros de contenido que degradan la calidad de las respuestas cuando se detecta tráfico sospechoso. Cada una de estas medidas tiene costos: bloquear cuentas puede generar falsos positivos que afectan a usuarios legítimos; limitar tasas puede degradar la experiencia de clientes corporativos que sí tienen uso intensivo autorizado; filtros de contenido pueden ser evadidos con técnicas de ofuscación de prompts.
El problema de fondo es que la destilación ilícita es difícil de prevenir completamente sin cerrar el acceso público a la API — lo que eliminaría el modelo de negocio de Anthropic. A diferencia de un ataque de denegación de servicio, donde el tráfico malicioso es claramente anómalo, la destilación usa la API exactamente como fue diseñada: envía prompts y recibe respuestas. La única diferencia es la intención del usuario, que no es observable directamente. Esto convierte la defensa en un juego de detección estadística y atribución post facto, no en una barrera técnica infranqueable.
Nuestro análisis
Este caso confirma un patrón que ya se había visto en menor escala con otros modelos comerciales: la destilación no autorizada es ahora una táctica estándar de competencia en el mercado de IA, especialmente en jurisdicciones donde la propiedad intelectual sobre modelos de lenguaje tiene protección legal débil o ambigua. Lo notable aquí no es que haya ocurrido, sino la escala industrial y la cantidad de actores involucrados simultáneamente. Esto sugiere que la destilación ilícita no es una operación oportunista de un laboratorio aislado, sino una práctica sistemática en el ecosistema chino de IA — posiblemente tolerada o incluso incentivada como estrategia de aceleración tecnológica frente a las restricciones de acceso a hardware avanzado.
Lo que Anthropic no reveló es tan importante como lo que sí dijo. No hay información sobre cuántos tokens fueron extraídos, qué dominios de conocimiento fueron el objetivo prioritario (código, razonamiento matemático, conocimiento médico), ni si alguno de los modelos ya publicados por los laboratorios nombrados muestra evidencia forense de destilación de Claude. Tampoco está claro si Anthropic tiene recurso legal efectivo: demandar en jurisdicción china a empresas locales por violación de términos de servicio de una API estadounidense es un proceso con precedentes limitados y probabilidad de éxito incierta. La disrupción técnica puede haber detenido esta operación específica, pero no elimina el incentivo económico ni la capacidad técnica para intentarlo de nuevo con mejor ofuscación.
¿Qué pasa cuando la defensa contra destilación se convierte en una carrera armamentista permanente, y el costo de esa defensa empieza a erosionar la viabilidad económica de ofrecer APIs públicas de modelos de frontera?