Lo que vale la pena robar es el razonamiento
Anthropic ha publicado un relato de cómo defiende a Claude frente a la destilación, la práctica de copiar las capacidades de un modelo en otro recolectando sus salidas a gran escala, normalmente mediante redes de cuentas fraudulentas. La empresa dice que las primeras evidencias apuntan a que sus métodos han reducido entre un 90% y un 99% los datos que consiguen los destiladores.
Lo que buscan los destiladores, según la entrada, no son las respuestas de Claude sino su mecánica: las transcripciones del razonamiento que el modelo escribe antes de responder. Anthropic pone una cifra al porqué. Un modelo entrenado con transcripciones completas de razonamiento de Claude Opus 4.8 obtuvo un 80,4% en SWE-bench Verified; entrenado con transcripciones resumidas, el mismo modelo se quedó en un 71,8%.
Tres defensas
La primera es arquitectónica. El “pensamiento preservado”, introducido con Claude Fable 5.1 y Claude Opus 5.5, impide que las cuentas de API creadas a partir del 31 de agosto de 2026 editen el contexto previo de Claude: el truco que permitía inducir al modelo a reproducir su propio razonamiento anterior palabra por palabra. En Claude Sonnet 5.5, las transcripciones de razonamiento solo son visibles para la organización cuya petición las generó.
La segunda es un clasificador en dos etapas, derivado del trabajo de Anthropic sobre clasificadores constitucionales y en funcionamiento en Claude Sonnet 5.5, Claude Opus 5 y 5.5, y Claude Fable 5 y 5.1. Anthropic dice que se sometió a ejercicios de equipo rojo internos y externos, que su robustez es comparable a la de las salvaguardas de la empresa en armas biológicas y que su tasa de falsos positivos está por debajo del 0,1%. Las evasiones detectadas desde entonces —traducir el razonamiento previo a otro idioma o escribirlo dentro de etiquetas— han sido parcheadas.
La tercera es económica. Las cuentas que insisten en intentos de extracción se enfrentan a límites más estrictos y a bloqueos, y desde el 24 de septiembre Anthropic cobra por las peticiones que sus salvaguardas bloquean antes de que Claude responda.
Lo que dicen las cifras
Los tokens de razonamiento extraídos por destiladores en la plataforma de Anthropic son ahora “de forma consistente entre 10 y 100 veces menos” que antes, dice la empresa, y algunos días demasiado pocos para medirlos. Decenas de miles de cuentas vinculadas a la destilación han sido bloqueadas, a menudo en las dos horas siguientes al inicio de una campaña. Anthropic afirma haber rechazado ingresos significativos y billones de tokens de tráfico de pago procedente de destiladores.
La escala del problema que describe es grande. Las redes de proxies usaron cientos de miles de cuentas fraudulentas, y una de ellas llegó a operar más de 20.000 a la vez. Un laboratorio, dice Anthropic, probó 12.000 peticiones, cada una con un truco distinto.
A quién señala
Se nombra a dos compañías. Anthropic dice que Zhipu destiló capacidades de ciberseguridad de modelos estadounidenses punteros mientras desarrollaba GLM-5.3, y que después de que sus intentos contra Claude Fable 5 quedaran degradados por las salvaguardas cibernéticas de Anthropic pasó a un modelo Claude más antiguo y al modelo de otro laboratorio. Anthropic señala que el Center for Advancing Innovation and Standards for Super Intelligence de Estados Unidos evaluó GLM-5.3 como el modelo de pesos abiertos con más capacidad cibernética publicado hasta la fecha, y dice que su propia investigación halló que las salvaguardas de GLM-5.3 son fáciles de eludir.
La segunda es Moonshot, que según Anthropic reenviaba en secreto a Claude las peticiones hechas a sus modelos Kimi. En una de esas peticiones reenviadas, afirma Anthropic, un usuario que cree vinculado al Ejército Popular de Liberación de China pidió a Claude analizar imágenes de videovigilancia de una persona concreta.
Lo que Anthropic admite
La empresa espera un “juego del gato y el ratón” y dice no saber cuánto durarán las ganancias, y añade que todavía no ha visto un intento muy sofisticado y persistente de sortear las defensas. También hay costes para los usuarios legítimos: el pensamiento preservado obliga a algunos desarrolladores a actualizar sus integraciones, y el clasificador bloquea de vez en cuando peticiones benignas que, aun así, ahora se facturan.
El argumento con el que termina Anthropic va del sector y no de sí misma. Los destiladores reparten su tráfico entre API, nubes de terceros y otros proveedores de inferencia, y los incentivos desalientan defenderse, porque las defensas son caras y los destiladores ilícitos siguen pagando sus facturas. Publicar el método, dice la empresa, pretende demostrar que existe una alternativa viable.
