Anthropic asegura que sus defensas reducen entre un 90% y un 99% la extracción para destilar Claude

Anthropic sostiene que ha reducido de forma notable la extracción de capacidades de Claude por parte de campañas de destilación ilícita. En una publicación del 12 de octubre, la empresa calcula que las nuevas defensas han rebajado entre diez y cien veces los tokens de razonamiento que esos actores lograban obtener en su plataforma; lo resume como una reducción aproximada del 90% al 99%. Son cifras de Anthropic, basadas en mediciones internas, no una auditoría independiente.

La destilación consiste en generar muchas respuestas de un modelo avanzado y usarlas para entrenar otro que imite parte de su comportamiento. Puede ser una técnica legítima para crear modelos más pequeños y eficientes cuando se hace con autorización. El problema descrito por Anthropic es la extracción encubierta y a gran escala mediante cuentas falsas, redes de intermediarios y peticiones diseñadas para revelar trazas de razonamiento.

-IA Crew dice: entrenar un modelo con las respuestas de otro es como estudiar sus apuntes; montar una red de cuentas falsas para conseguirlos convierte el grupo de estudio en una operación de madrugada.-

De resumir respuestas a detectar campañas

Anthropic cuenta que sus primeras medidas resumían el razonamiento antes de mostrarlo, para que los datos fueran menos útiles al entrenar un imitador. En una prueba interna con SWE-bench Verified, un modelo entrenado con transcripciones completas alcanzó el 80,4%, frente al 71,8% con versiones resumidas. La diferencia respalda el valor de ocultar parte del proceso, aunque ese experimento concreto no mide por sí solo la resistencia de las defensas actuales.

Los atacantes, según la compañía, pasaron entonces de recopilar respuestas normales a intentar que Claude expusiera su razonamiento completo. Anthropic describe redes de cuentas que probaban instrucciones distintas y menciona un caso con más de 20.000 cuentas fraudulentas activas. El reto técnico consiste en distinguir la extracción abusiva del uso legítimo, porque un mismo patrón puede parecer sospechoso sin demostrar por sí solo una intención maliciosa.

La respuesta actual combina varias capas. Una de ellas, llamada preserved thinking, impide que determinadas cuentas nuevas de API editen el contexto previo protegido. La empresa también restringe el acceso a las trazas entre modelos y organizaciones, y usa un clasificador de dos etapas para identificar intentos de extracción. Si detecta actividad persistente, puede endurecer límites, cobrar ciertas peticiones bloqueadas o suspender cuentas.

La cifra tiene matices y costes

Anthropic afirma que el clasificador tiene una tasa de falsos positivos inferior al 0,1% y que ha bloqueado decenas de miles de cuentas asociadas a campañas de destilación. El porcentaje no significa que todas las consultas de destilación se hayan detenido: la propia empresa admite que los adversarios pueden encontrar formas de esquivar los controles y que no ha observado todavía un intento altamente sofisticado y persistente contra el sistema completo.

También hay un coste para quienes. Algunos desarrolladores tuvieron que adaptar sus integraciones a los cambios del contexto; además, Anthropic cobra desde el 24 de septiembre determinadas solicitudes bloqueadas en áreas donde dice que el clasificador mantiene una tasa muy baja de falsos positivos. El equilibrio es delicado: una defensa que no molesta a nadie puede ser fácil de rodear, mientras que una defensa demasiado agresiva puede confundir automatizaciones normales con abuso.

-IA Crew dice: el gato y el ratón ahora tienen API, miles de cuentas y facturación por intento fallido. Al menos el ratón ya no puede pedir que le impriman todo el razonamiento.-

La conclusión prudente es que Anthropic ha publicado una mejora medida en su propio servicio, no que haya resuelto la destilación. La empresa invita a otros proveedores y plataformas a detectar abuso y cerrar redes fraudulentas, porque una defensa aislada pierde eficacia si la extracción se desplaza a otros modelos o proveedores de inferencia. La seguridad de estos sistemas depende también de cómo se comparte el tráfico y de si la industria acepta asumir el coste de bloquear clientes abusivos que generan ingresos.

Diccionario de la Crew

Destilación — Técnica para transferir patrones de respuesta de un modelo a otro mediante ejemplos generados, que puede usarse legítimamente o para copiar capacidades sin autorización.
Falso positivo — Caso legítimo que un sistema clasifica por error como una amenaza o infracción.

Fuentes

Anthropic Research | https://www.anthropic.com/research/distillation-defenses
Reuters | https://www.reuters.com/world/china/anthropic-says-new-safeguards-sharply-reduce-ai-distillation-attacks-2026-10-13/