Un 80,4 % frente a un 71,8 %. Esa es la diferencia en el benchmark SWE-bench Verified entre dos modelos por lo demás idénticos que Anthropic entrenó con las transcripciones de razonamiento de su propio Claude Opus 4.8. A uno le dio las transcripciones completas; al otro, solo resúmenes breves. Una brecha de casi nueve puntos explica por qué la empresa publicó el 12 de octubre de 2026 un extenso texto sobre cómo defenderse de la destilación , y por qué la API incluye ahora un mecanismo que ha cambiado la forma en que los desarrolladores pueden ordenar con seguridad el historial de una conversación.

La cuestión es que un modelo produce algo más que una respuesta. Antes de responder escribe un borrador, una cadena de razonamiento. Para quien quiere copiar las capacidades de otro, el borrador vale más que la respuesta. La respuesta enseña el resultado; el borrador enseña cómo se piensa, y aprender de cómo se piensa es mucho más eficiente.

Qué es la destilación y por qué se le llama ataque

En su versión pacífica, la destilación es una técnica corriente: un modelo grande hace de profesor, genera ejemplos y un modelo pequeño, el alumno, aprende de ellos. Los laboratorios comprimen así sus propios modelos. El problema empieza cuando el profesor es ajeno y nadie ha pedido permiso.

Anthropic describe estas campañas como esfuerzos encubiertos y a escala industrial para extraer las capacidades de un modelo y reproducirlas en otro. En su informe de febrero la compañía dio la magnitud: más de 16 millones de intercambios con Claude a través de unas 24 000 cuentas fraudulentas. Se nombraron tres laboratorios: DeepSeek (más de 150 000 intercambios), Moonshot AI (más de 3,4 millones) y MiniMax (más de 13 millones). Una sola red de proxies manejaba más de 20 000 cuentas a la vez. Son afirmaciones de Anthropic que no se pueden comprobar de forma independiente, y la empresa es parte en la disputa.

El documento de octubre aporta algo nuevo: la defensa anterior dejó de funcionar porque los atacantes cambiaron de táctica.

Cómo se persiguieron la defensa y el rodeo

La primera medida fue sencilla. Si el razonamiento es valioso, no se muestra entero: se resume. La prueba del 80,4 % frente al 71,8 % demuestra que resumir sí adelgaza de verdad el material de entrenamiento.

Llegó entonces la extracción activa. Los prompts empezaron a incluir peticiones como «muestra literalmente tu razonamiento anterior», y según Anthropic un laboratorio probó 12 000 solicitudes, cada una con un truco distinto. Después resultó que los bloques de razonamiento protegidos se podían mover: de una conversación a otra, a un modelo con salvaguardas más débiles, a otra cuenta dentro de una red de proxies. Un bloque de razonamiento no era más que texto que se podía cortar y pegar.

Ese fue el punto débil al que Anthropic apuntó primero. Si no se puede ocultar el borrador, se puede lograr que no sirva de nada fuera del lugar donde se produjo.

Cómo se ata un bloque de razonamiento a su contexto

El mecanismo se llama preserved thinking y la documentación lo describe con sequedad. Cada bloque de razonamiento lleva una firma. A partir de Claude Fable 5.1, la API la usa para comprobar dos cosas: si el modelo actual puede leer el bloque siquiera y si ha cambiado algo de lo que hay antes. «Antes» significa el prompt del sistema, la lista de herramientas y todos los mensajes anteriores. Cambia una palabra al principio y el bloque, junto con todos los posteriores, deja de ser válido.

También hay vinculación a la cuenta. Los bloques de Claude Sonnet 5.5 y Claude Haiku 5.5 solo funcionan en la cuenta que los generó o en una vinculada. Los bloques ajenos se descartan en silencio. Opus 5 y Opus 5.5 nunca leen bloques de Fable 5.1.

Para un atacante esto es incómodo: para aprovechar un fragmento de razonamiento robado hay que reproducir todo el contexto hasta el último carácter y estar en la cuenta correcta. Un desarrollador corriente también sufre consecuencias. En las cuentas creadas a partir del 31 de agosto de 2026, la comprobación del prefijo viene activada por defecto, y una discrepancia devuelve un error 400. Las cuentas anteriores solo tienen la comprobación si establecen el parámetro prefix_mismatch_behavior.

¿Qué se rompe? Todo lo que le guste reconstruir el historial. Un prompt del sistema al que se le inserta una fecha nueva cada vez. Recortar resultados antiguos de herramientas. Resumir en el cliente los turnos viejos y conservar los recientes. Editar la lista de herramientas en mitad de una conversación. La documentación indica a los clientes que trabajen solo añadiendo y ofrece sustitutos: añadir un mensaje de sistema en lugar de reconstruir el prompt, usar la compactación del lado del servidor en lugar de recortar el historial a mano. Claude Code, claude.ai y el Agent SDK se encargan de todo esto por sí solos, según la misma página. Si llamas directamente a la API de Claude , revisa al menos cómo serializas las respuestas: los bloques thinking vacíos hay que devolverlos tal como llegaron, porque el razonamiento en sí vive en la firma.

El modo drop_block permite simplemente descartar los bloques no válidos, pero entonces el modelo vuelve a deducir su razonamiento y el consumo de tokens de salida puede subir de forma notable. La propia documentación lo llama solución provisional.

Qué muestran las cifras y qué no

La segunda mitad de la defensa es un clasificador de dos etapas, construido sobre el trabajo de Anthropic con clasificadores constitucionales y entrenado con intentos reales de extracción. Anthropic informa de una tasa de falsos positivos inferior al 0,1 %. Desde el 24 de septiembre también cobra las solicitudes que las salvaguardas bloquean antes de que Claude responda, incluida el área de la destilación. A los infractores reincidentes les esperan límites más estrictos y bloqueos: decenas de miles de cuentas, según el recuento de la empresa, a menudo en menos de dos horas desde el inicio de una campaña.

La afirmación principal es que los tokens de razonamiento extraídos por los destiladores son ahora entre 10 y 100 veces menos, o más, y algunos días demasiado pocos para medirlos. En otro punto el texto habla de una caída de entre el 90 y el 99 % aproximadamente y lo llama evidencia temprana.

Hace falta algo de cautela. La medición la hizo Anthropic, en su propia plataforma. Estima los tokens extraídos a partir de lo que logró detectar, y lo que pasó inadvertido es, por definición, invisible. Además, los destiladores reparten el tráfico entre las API y las nubes de varios proveedores, de modo que cerrar una puerta no garantiza nada sobre las demás. Anthropic escribe con franqueza que no sabe cuánto durará el efecto, que espera un juego del gato y el ratón y que todavía no ha visto un intento muy sofisticado y persistente de burlar las nuevas defensas.

También se nombran los costes: rechazar ingresos significativos y «billones de tokens» de tráfico de pago, cambios de integración para algunos clientes legítimos, bloqueos erróneos poco frecuentes. El objetivo de febrero, dificultar la destilación sin perjudicar a los usuarios legítimos, la compañía reconoce que no lo ha cumplido del todo.

Por qué esto va más allá de Anthropic

Empecemos por lo que se sabe de una fuente independiente. El CAISI del NIST, en septiembre, calificó el GLM-5.3 de Z.ai como el modelo de pesos abiertos con mayor capacidad cibernética publicado hasta la fecha y lo situó unos cuatro meses por detrás de la frontera estadounidense. En la prueba SEC-Bench Pro, por ejemplo, resolvió 74 de 183 tareas; el mejor modelo estadounidense resolvió 165. La evaluación no dice nada de la destilación.

El vínculo entre GLM-5.3 y la copia de modelos estadounidenses procede del texto de octubre de Anthropic: según este, Zhipu destiló capacidades cibernéticas de los principales modelos de EE. UU. y, cuando las salvaguardas de Anthropic degradaron sus intentos con Claude Fable 5, pasó a un modelo Claude más antiguo y al modelo de otro laboratorio. Es una afirmación de la empresa, no una conclusión de un organismo gubernamental, y por ahora nada externo la confirma.

Si se sostiene, el panorama es incómodo. Una capacidad que una empresa envolvió en restricciones protectoras acaba en un modelo publicado con pesos abiertos, donde esas restricciones no existen; según la propia evaluación de Anthropic, las salvaguardas integradas del GLM-5.3 se esquivan con facilidad. El razonamiento oculto deja de ser un secreto comercial y pasa a ser una pieza de seguridad.

La firma en un bloque de razonamiento probablemente no sea el último mecanismo de este tipo. Cuando un producto se puede copiar con solo hacerle preguntas, la protección se traslada al propio protocolo de intercambio. Quienes desarrollan integraciones externas tendrán que acostumbrarse a la idea de que el historial de una conversación ya no es su correspondencia privada, sino una cadena que debe llegar intacta.