Anthropic publicó el 12 de octubre de 2026 una nota técnica con el detalle de sus defensas contra los ataques de destilación —campañas a escala industrial para copiar las capacidades de un modelo y trasplantarlas a otro sin permiso— y sostiene que las medidas han recortado entre un 90 % y un 99 % el volumen de datos que esos grupos consiguen sacar de Claude. La pieza, titulada Strengthening our defenses against distillation attacks, explica también el precio que ha pagado por ello: integraciones de clientes legítimos que han tenido que tocarse y tráfico de pago rechazado.
Qué ha anunciado
El material que más vale para destilar no es la respuesta final de Claude, sino la cadena de razonamiento que escribe antes de responder: enseña al modelo pequeño cómo se llega a la conclusión, no solo cuál es. Por eso casi toda la defensa de Anthropic gira alrededor de una idea: que ese razonamiento sea difícil de alcanzar.
La compañía describe tres frentes.
Controlar por dónde viaja el razonamiento. Con Claude Fable 5.1 y Claude Opus 5.5 llegó lo que Anthropic llama preserved thinking: las cuentas de API creadas el 31 de agosto de 2026 o después no pueden modificar el contexto previo de Claude. El objetivo es que una red de cuentas desechables no pueda reinyectar bloques de pensamiento protegidos de una conversación en otra para convencer al modelo de que ya los tiene y puede repetirlos. A eso se suman dos cierres más: esos modelos ya no dejan que versiones anteriores, con salvaguardas más flojas, lean su razonamiento, y en Claude Sonnet 5.5 una transcripción solo es accesible para la organización que la generó.
Detectar y parchear los intentos de extracción. Anthropic dice haber construido un clasificador de dos etapas, de la misma familia que sus clasificadores constitucionales, entrenado con transcripciones reales de intentos de extracción y sometido a red teaming interno y externo. Según la empresa, la robustez resultante es comparable a la de las barreras que impiden ayudar a fabricar armas biológicas, con una tasa de falsos positivos por debajo del 0,1 %. Está activo en los modelos generalmente disponibles más capaces —Sonnet 5.5, Opus 5 y 5.5, Fable 5 y 5.1— y la intención es aplicarlo a los que vengan. Entre los trucos recientes que han tenido que tapar: pedirle a Claude el razonamiento anterior vertido a otro idioma, o reclamarlo etiquetado junto a la respuesta.
Hacer cara la insistencia. Quien reintenta la extracción se topa con límites de uso más duros y, si el patrón persiste, con el cierre de la cuenta. Anthropic afirma haber bloqueado decenas de miles de cuentas vinculadas a destilación, muchas veces en menos de dos horas desde el arranque de la campaña. Y desde el 24 de septiembre vuelve a facturar las peticiones que las salvaguardas frenan antes de que el modelo llegue a responder, solo en las áreas donde el falso positivo queda por debajo de ese 0,1 %.
El resultado que publica: tras activar el clasificador, los tokens de razonamiento extraídos en su plataforma caen de forma sostenida entre 10 y 100 veces respecto al periodo anterior, y algunos días el volumen queda por debajo de lo medible.
De dónde viene
La primera contramedida fue bastante más simple: resumir el razonamiento antes de enseñarlo. Para medir cuánto estorbaba eso a un destilador, Anthropic entrenó un modelo propio con transcripciones de Claude Opus 4.8 y lo pasó por SWE-bench Verified: con el razonamiento completo sacaba un 80,4 %; con la versión resumida, un 71,8 %.
La respuesta de los atacantes fue pasar de la recolección pasiva a la extracción activa, buscando que el modelo soltara el razonamiento íntegro. Las tácticas van desde ordenarle que repita su razonamiento anterior carácter a carácter hasta un laboratorio que, según la nota, probó doce mil formulaciones distintas para engañarlo. Luego vino la escala: redes de proxies con cientos de miles de cuentas fraudulentas, identidades falsas, datos de pago robados y reventa de acceso en países donde Claude no se ofrece. Un informe de la propia empresa de febrero citaba una sola red con más de 20.000 cuentas operando a la vez.
Anthropic justifica el esfuerzo con dos casos. Uno, Zhipu: dice que destiló capacidades de ciberseguridad de modelos estadounidenses punteros mientras desarrollaba GLM-5.3, que lo intentó con Claude Fable 5 y que, al ver degradados sus ataques por las salvaguardas de ciber, se pasó a un Claude anterior y a un modelo de otro laboratorio. El organismo estadounidense CAISSI ha calificado después a GLM-5.3 como el modelo de pesos abiertos más capaz en ciberseguridad publicado hasta la fecha, y Anthropic añade que sus propias pruebas encontraron barreras fáciles de saltar y disposición a construir exploits de principio a fin. El segundo caso es el de los modelos Kimi de Moonshot, cuyas peticiones —según Anthropic— se reenviaban en secreto a Claude; entre ellas, una de un usuario que la empresa cree vinculado al Ejército Popular de Liberación y que pedía analizar grabaciones de videovigilancia de una persona concreta.
Qué significa
Para quien construye sobre la API, lo operativo está en preserved thinking. Cualquier integración que reescriba, recorte o reinyecte bloques de razonamiento previos deja de funcionar en cuentas creadas a partir de finales de agosto, y los bloques dejan de ser portables entre modelos y entre organizaciones. Eso toca a orquestadores que mezclan varios modelos, a cachés de contexto montadas a mano y a cualquier pipeline que manipule el historial antes de reenviarlo.
El segundo cambio con factura es el cobro de las peticiones bloqueadas. Un error en la capa de prompts que dispare el clasificador ya no sale gratis, así que conviene tener en el panel de métricas el recuento de peticiones rechazadas por salvaguardas, y no solo la latencia y el gasto.
Y hay una lectura para quien despliega modelos de pesos abiertos: la advertencia sobre GLM-5.3 —barreras que se saltan sin esfuerzo, según Anthropic— es un recordatorio de que heredar capacidades no implica heredar salvaguardas.
Lo que el anuncio no dice
Todas las cifras son de Anthropic y están medidas en su propia plataforma: no hay auditoría externa ni definición pública de qué cuenta como extracción lograda. La horquilla del 90-99 % se presenta como evidencia temprana, y la propia empresa admite que no sabe cuánto durará la ventaja, que espera un juego del gato y el ratón y que todavía no ha visto un intento realmente sofisticado y sostenido contra el sistema nuevo.
Tampoco concreta cuántos clientes legítimos han quedado bloqueados en términos absolutos, ni qué vía hay para reclamar una petición cobrada y frenada por error. Sobre el coste, se queda en lo cualitativo: ingresos significativos rechazados y billones de tokens de tráfico de pago que no ha querido servir. No hay fecha para extender preserved thinking a las cuentas antiguas. Y la evaluación de CAISSI y la atribución al Ejército Popular de Liberación se mencionan sin material público de respaldo en esta nota.
El cierre de Anthropic apunta al resto de la industria: dice publicar sus métodos para demostrar que existe una alternativa viable, y recuerda que las plataformas en la nube y otros proveedores de inferencia también sirven tráfico de destiladores. El problema, reconoce, es que los incentivos van en contra: defenderse cuesta dinero y el destilador paga sus facturas.