Destilación de modelos de IA: innovación o robo
Publicado el 25 de febrero de 2026 por Sergio Jiménez Mazure en Inteligencia Artificial.
Hay una escena que se repite más de lo que nos gustaría en proyectos de Inteligencia Artificial aplicada: alguien llega tarde a la reunión, asiente con cara de “yo ya lo sabía”, y de pronto propone exactamente lo que discutimos hace dos semanas. No es magia. Es, en el mejor de los casos, memoria ajena. En el peor, es apropiación. Con la IA está pasando algo parecido, solo que a escala industrial y con consecuencias que no caben en una minuta.
En mi caso, cuando acompaño a equipos de Marketing Digital o de experiencia de cliente a desplegar Asistentes de IA, siempre aparece la misma tentación: “¿Y si copiamos lo que hace el mejor modelo y ya?”. La pregunta parece inocente. Incluso suena eficiente. Pero lo cierto es que, a la hora de hablar de modelos, “copiar” no siempre significa lo mismo. Hay una diferencia enorme entre aprender y extraer. Entre inspirarte y clonar. Entre ingeniería y pillaje.
La palabra de moda en este episodio es destilación de modelos. En términos simples, destilar es como hacer una reducción en cocina: tomas algo complejo, lo haces pasar por un proceso controlado y obtienes una versión más pequeña que conserva parte del sabor. En IA, el “sabor” se traduce en comportamientos: cómo responde, cómo razona, cómo estructura una solución. La destilación, cuando es legítima, forma parte del oficio. Es importante decirlo sin hipocresía: la industria lleva años usando técnicas de compresión, transferencia y fine-tuning para convertir sistemas enormes en versiones más baratas y rápidas. No hay pecado ahí si el dato y el acceso son tuyos, y si el proceso respeta licencias, contratos y soberanía tecnológica.
El problema empieza cuando esa reducción se hace con el caldo de otro. Cuando no estás destilando tu modelo, sino exprimendo a un modelo ajeno a través de su API, como quien se sienta en una biblioteca y arranca páginas para llevarse el libro a casa. Y encima, se queja del ruido del papel. Suelo comentar que la ética empresarial se parece mucho al ajedrez: puedes sacrificar una pieza para ganar la partida, pero si escondes piezas en la manga ya no estás jugando ajedrez, estás haciendo trampa. Y la trampa, desgraciadamente, en la práctica se vuelve “estrategia” cuando hay suficiente dinero y poca consecuencia.
Anthropic, la empresa detrás de Claude, acaba de ponerle nombre y foco a este dilema con un reporte que, más allá del titular, nos obliga a repensar el tablero. Lo que denuncian no es “competencia agresiva”. Es otra cosa. Se trata de campañas orientadas a extraer comportamientos de un modelo para reconstruirlos en otro, burlando condiciones de acceso y restricciones. Si llevas años en esto, sabes que la frontera entre ingeniería inversa y robo siempre ha existido. Lo nuevo es la escala, la automatización y la frialdad con la que se pretende normalizar el atajo.
Como en las novelas de Arthur Conan Doyle, donde el crimen no está solo en el acto sino en el método, aquí la clave no es que alguien “aprenda” de un sistema avanzado. La clave es el cómo y el para qué. Si accedes con identidades falsas, si evades controles regionales, si tu objetivo no es usar el servicio sino replicarlo, ya no hablamos de destilación como técnica, sino de destilación como mecanismo de extracción. A Isaac Asimov le habría fascinado —y horrorizado— esta época en la que las máquinas no solo ejecutan, sino que también se espían entre sí a través de nosotros.
La destilación es ingeniería cuando parte de tus derechos; se convierte en robo cuando depende de la infraestructura y el permiso del otro.
Y aquí viene la ironía que duele: nos pasamos años predicando “innovación”, pero a veces lo que algunos quieren es una fotocopiadora con esteroides. Eso sí, con discurso épico en LinkedIn y un “whitepaper” hablando de ética. Porque, claro, el problema nunca es copiar; el problema es que te copien a ti.
En un mundo donde el valor ya no está solo en el modelo, sino en sus salvaguardas, en sus límites y en las responsabilidades que arrastra, esta discusión deja de ser técnica y se vuelve profundamente política. Como decía Yuval Noah Harari, las historias que nos contamos organizan sociedades; y hoy, la historia que algunos intentan vender es que “todo vale” si la carrera es lo suficientemente rápida. Yo no compro esa historia. Y tú tampoco deberías.
Cómo operaron DeepSeek, Moonshot AI y MiniMax: 16M de prompts, 24.000 cuentas fraudulentas y “hydra clusters”
Si en el punto anterior hablábamos del dilema ético, aquí toca hablar del mecanismo. Porque la diferencia entre “me inspiré” y “te extraje” se ve, sobre todo, en la logística. Anthropic no está describiendo a tres becarios curiosos lanzando prompts desde un portátil. Está describiendo algo mucho más serio: campañas de destilación de modelos a escala industrial, con un patrón operativo repetible, casi como manual de campo. Y cuando un manual se repite en distintos actores, ya no es casualidad; es doctrina.
El dato que resume la historia —y que debería incomodar a cualquiera que crea que esto es un debate académico— es el volumen: más de 16 millones de intercambios con Claude orquestados desde unas 24.000 cuentas fraudulentas. No estamos hablando de “uso intensivo”. Estamos hablando de fabricación de identidades, automatización y una obsesión por evadir controles que, curiosamente, se parece mucho a la de cualquier industria que se pasa las reglas por el forro y luego pide “regulación clara”. Claro, para los demás.
Según el informe, el playbook fue parecido en los tres casos: creación masiva de cuentas, uso de servicios de proxy para enmascarar ubicación y origen, y un comportamiento de prompts cuya estructura no se parece al uso humano normal. En mi caso, cuando reviso trazas de conversación de Asistentes de IA en empresas, distingo rápido cuándo hay intención y cuándo hay automatización: el humano divaga, prueba, corrige; la máquina dispara, mide y ajusta. Aquí, lo que vio Anthropic fueron secuencias diseñadas para “extraer capacidades”, no para resolver problemas. Es como ir a una librería, no a leer, sino a fotografiar página por página con un robot. Luego, decir que fue “investigación”.
Moonshot AI, por ejemplo, aparece vinculada a más de 3,4 millones de intercambios. Anthropic habla de cientos de cuentas fraudulentas repartidas por múltiples vías de acceso, y de una fase posterior especialmente dirigida: prompts orientados a extraer y reconstruir trazas de razonamiento. Es decir, no solo “qué responde”, sino “cómo llega ahí”. La atribución, además, no se basa en intuición. Se apoya —según describen— en metadatos de solicitudes que coincidían con perfiles públicos de personal senior. La vieja historia de siempre: el ladrón sofisticado que deja huellas porque se cree intocable.
MiniMax, por su parte, fue todavía más masivo: más de 13 millones de intercambios. Y aquí hay un detalle que, a la hora de entender la intención, pesa como plomo: Anthropic detectó la campaña mientras estaba activa y, cuando Claude incorporó un modelo nuevo, MiniMax habría redirigido casi la mitad de su tráfico en 24 horas para capturar capacidades del sistema recién actualizado. Esa reacción no la tiene quien “usa” un producto; la tiene quien lo “cosecha”. Es instinto operativo, no comportamiento de cliente.
DeepSeek aparece en la atribución con alta confianza dentro del total de más de 16 millones, aunque sin el mismo desglose público por fases. Y lo cierto es que el nombre ya venía rondando estas discusiones por acusaciones anteriores en el sector. En política —y en esto la IA ya se parece demasiado a la política— cuando un actor aparece una y otra vez en el mismo tipo de maniobra, uno tiene derecho a preguntarse si es accidente o estrategia. A estas alturas, llamarlo “competencia dura” es como llamar “tráfico” a un bloqueo naval.
La metáfora de Anthropic para describir la infraestructura es particularmente buena: “hydra clusters”. La hidra, ese monstruo mitológico al que le cortas una cabeza y le crecen dos, resume el problema de defender un servicio abierto por API. Una red proxy gestionó más de 20.000 cuentas fraudulentas simultáneamente, mezclando tráfico de destilación con solicitudes legítimas para complicar la detección. Es un truco viejo con traje nuevo: camuflarse en la multitud. Como en la guerra, el soldado que se viste de civil no busca ganar una batalla; busca invalidar las reglas del combate.
En conjunto, lo que describe Anthropic es un sistema que no depende de una sola puerta, sino de muchas llaves falsas; que no toca una sola IP, sino que rota; que no actúa como un cliente, sino como una cadena de montaje. Lo irónico es que luego hablamos de “innovación disruptiva”, cuando en realidad algunos están montando una industria del atajo. Y ojo: el atajo no es gratis. Alguien paga el costo. Si no lo ves en tu presupuesto, lo verás en el ecosistema.
Una campaña con 24.000 identidades falsas no es curiosidad técnica; es planificación. Y la planificación, en estos temas, siempre tiene agenda.
Así que sí: aquí hay un tablero, hay piezas y hay una partida. Pero no es ajedrez elegante. Es ajedrez con humo, con máscaras y con trampillas bajo la mesa. Y, desgraciadamente, en la práctica, los que juegan limpio suelen enterarse tarde de que el otro no está jugando el mismo juego.
Qué capacidades buscaban copiar de Claude: razonamiento agentico, uso de herramientas, codificación y visión por computadora
Cuando uno lee “16 millones de intercambios” puede perderse en el número y olvidar lo esencial: nadie monta una hidra de proxies y de identidades falsas para hacer preguntas de cultura general. Se hace por capacidades concretas, por esas piezas del modelo que marcan diferencia competitiva y que, si las replicas, te ahorras meses de investigación, pruebas y, sobre todo, frustraciones. Porque entrenar un modelo es caro. Pero entrenar un modelo que se comporte bien en escenarios complejos es carísimo. Y ahí es donde Claude, nos guste o no, se volvió un objetivo apetecible.
La primera capacidad perseguida fue el razonamiento agentico. No me refiero a “piensa mejor” como eslogan, sino a la habilidad de descomponer un objetivo en pasos, evaluar opciones, tomar decisiones intermedias y sostener coherencia mientras el problema evoluciona. En mi caso, cuando diseñamos Asistentes de IA para operaciones o servicio al cliente, lo que separa un chatbot caro de un agente útil es precisamente eso: que no solo responda, sino que conduzca la tarea. Que pregunte lo necesario, que valide, que anticipe, que no se pierda. Y, claro, eso es oro. Porque un agente que razona bien reduce tiempos, reduce errores y, en negocios, reduce excusas.
La segunda pieza del botín fue el uso de herramientas. Aquí el asunto se pone serio. Un modelo que conversa es interesante; un modelo que orquesta herramientas es poder. Llamar a una API, consultar una base de datos, ejecutar un flujo, interpretar un resultado y volver con una respuesta accionable. Es, literalmente, pasar de “te explico” a “te lo resuelvo”. Y eso, para quien compite en productos, es el equivalente a pasar de tener un mapa a tener una flota. Suelo comentar que la IA sin herramientas es como un buen abogado sin acceso al expediente: puede hablar bonito, pero no puede cerrar el caso.
La tercera capacidad perseguida fue la codificación, y no solo como “escribe un script”. La codificación agentica implica que el modelo no se limita a generar código, sino que diseña, prueba mentalmente, refactoriza, explica y adapta a restricciones reales. Quien haya trabajado con equipos de desarrollo sabe que el valor no está en producir líneas, sino en producir software que no se caiga mañana. Si consigues destilar ese comportamiento, aceleras producto, reduces costo y te permites lanzar antes. Y en esta industria, lanzar antes se volvió religión corporativa, aunque sea con herramientas prestadas.
También aparece un cuarto objetivo que suele pasar desapercibido en el debate público: visión por computadora. Porque la batalla ya no es solo texto. La competencia real está en sistemas que entienden pantallas, documentos, interfaces, imágenes y flujos visuales. Un modelo que “ve” y que además puede actuar sobre lo que ve —un agente de uso de computadora, por ejemplo— cambia las reglas del juego: automatiza tareas operativas, soporta auditorías, interpreta formularios, navega software heredado. En empresas tradicionales, esto es especialmente valioso, porque no todo está “API-ficado” ni modernizado. La visión es el puente entre el mundo viejo y la automatización nueva.
Y aquí entra un detalle que, en términos de estrategia, revela intención: no basta con copiar la respuesta final; muchos intentaron extraer también la estructura del razonamiento, esas “trazas” que permiten entrenar un sistema para replicar la forma de llegar a la solución. Como en ajedrez, no es lo mismo memorizar una partida que entender por qué se sacrificó la torre. Por tanto, el objetivo no era únicamente obtener resultados, sino capturar el estilo cognitivo del modelo: cómo prioriza, cómo se corrige, cómo maneja incertidumbre, cómo combina instrucciones con contexto. Y eso explica por qué los prompts se sentían más como sondas que como preguntas: estaban diseñados para medir, comparar y reconstruir capacidades, no para usarlas de manera legítima.
La ironía es que muchos de los discursos comerciales que luego venden “IA avanzada” se apoyan precisamente en esas habilidades: agentes que operan, herramientas que ejecutan, código que se mantiene, visión que automatiza. Pero, claro, decir “lo destilamos del vecino” no queda bien en un pitch deck. Queda mejor hablar de “innovación propia”, como si la hidra fuera una incubadora y no una operación de extracción.
Riesgos de seguridad y cumplimiento: modelos destilados sin salvaguardas, bioweapons/ciberuso malicioso y controles de exportación
Si esto fuera solo un pleito de ego entre laboratorios, sería chisme caro y nada más. El problema real es que, al destilar a la fuerza, no solo te llevas “habilidades”. Te llevas capacidades sin llevarte, necesariamente, el mismo nivel de gobernanza, controles y responsabilidad que venía con el modelo original.
Un modelo avanzado no es únicamente un motor de respuestas: es un conjunto de decisiones acumuladas sobre qué permitir, qué bloquear, cómo responder ante abuso y cómo registrar señales para auditoría. Cuando la destilación es ilegítima, el incentivo es claro: copiar lo que “rinde” y omitir lo que “estorba”. Y lo que “estorba”, casi siempre, son las salvaguardas. Dicho de forma simple: terminas con sistemas potentes circulando con frenos más débiles, o con frenos que no fueron diseñados para el contexto y el cumplimiento donde se van a usar.
De ahí se desprenden riesgos directos: facilitar uso malicioso en ciberseguridad (phishing más convincente, automatización de reconocimiento, generación de código para explotación), y también el riesgo —cada vez menos teórico— de asistencia para contenidos sensibles relacionados con bioseguridad. No hace falta entrar en detalles para entender el punto: cuando las barreras se rebajan, el umbral de acceso al daño también baja. Y en un mundo ya tensionado por geopolítica y mercado negro digital, eso no es un “edge case”. Es un vector.
Además están los riesgos de cumplimiento y controles de exportación. La IA, a este nivel, dejó de ser solo software: también es infraestructura estratégica. Por eso crecen las restricciones, las listas, las obligaciones de verificación y los límites regionales. Cuando aparecen campañas masivas para evadir controles, lo que se erosiona no es solo la confianza entre empresas: se endurecen políticas, se recortan accesos, se elevan fricciones. Y al final, quienes usan IA de forma legítima terminan pagando parte de la factura.
El efecto colateral es especialmente delicado para empresas fuera de los centros de poder tecnológico. En América Latina, por ejemplo, dependemos mucho de APIs externas para operar y experimentar. Cuando el entorno se vuelve más hostil, llegan los “cierres preventivos”, los cambios de términos y las restricciones que caen como lluvia ácida sobre quien no estaba haciendo nada malo. Por eso este tema no se reduce a “quién copió a quién”. Se trata de estabilidad del ecosistema, continuidad de negocio y confianza operativa.
Cómo se defiende un laboratorio de IA: detección, fingerprinting, verificación de acceso, contramedidas en API/modelo y colaboración industrial
Después de ver qué capacidades estaban en juego, la pregunta incómoda es inevitable: ¿cómo se defiende un laboratorio cuando el ataque no llega con un exploit, sino con millones de “conversaciones”? Porque aquí el arma no es un virus. Es el propio producto, usado como una bomba de extracción. Y, a la hora de decirlo claro, esto no se resuelve con un “CAPTCHA más fuerte” y un comunicado indignado. Se resuelve con defensa en profundidad, disciplina operativa y cooperación. Lo demás es teatro para la prensa.
Anthropic describe un conjunto de medidas que, en mi experiencia, se parecen mucho a lo que uno termina aplicando cuando un Asistente de IA se vuelve crítico en una organización: no basta con que funcione; tiene que resistir abuso sistemático. El primer bloque, obviamente, es detección. Aquí entran clasificadores en tiempo real y análisis asíncrono para identificar patrones que no parecen humanos: cadencias perfectas, estructuras repetidas, variaciones mínimas para evadir filtros, y algo muy característico de la destilación: prompts diseñados como “sondas” para mapear comportamiento, no como preguntas para resolver un problema. En ajedrez, cuando el rival mueve rápido y siempre igual, no es estilo; es un guion.
Lo segundo es el fingerprinting comportamental. Y esto es clave. Porque si el atacante rota IPs, proxies y cuentas, tú no puedes depender de una sola señal. Debes construir una identidad probabilística del abuso: cómo se forma el tráfico, cómo muta, qué herramientas usa, cómo se distribuye entre endpoints, y cómo se mezcla con solicitudes legítimas para camuflarse. Suelo comentar que, en ciberseguridad, el enemigo moderno no parece enemigo; parece usuario premium. Por tanto, el fingerprinting no busca “quién eres” por documento, sino “qué haces” por conducta.
Tercer bloque: verificación y control de acceso. Esto incluye endurecer onboarding, aplicar verificación reforzada en perfiles de alto riesgo (investigación, educación, startups) y elevar fricción solo donde tiene sentido. Es un equilibrio difícil porque, si lo haces mal, castigas al cliente bueno y premias al atacante paciente. Pero lo cierto es que el acceso a modelos punteros ya no es simplemente un tema comercial; es un asunto de cumplimiento y, en ciertos casos, de seguridad nacional. Aquí es donde muchos se ponen nerviosos: a nadie le gusta que le pidan más validaciones. Hasta que lo copian. Entonces sí, de pronto, aparecen los “estándares”.
Cuarto: contramedidas en producto, API y nivel de modelo. Esto me parece lo más interesante, porque apunta a reducir la eficacia de la destilación ilícita sin degradar la experiencia de clientes legítimos. ¿Cómo? Con señales que detecten elicitación de trazas de razonamiento, con límites y transformaciones que dificulten extraer “estilo cognitivo”, con mecanismos para identificar actividad coordinada entre cuentas, con rate limiting inteligente y con telemetría que permita reconstruir campañas y no solo apagar incendios. Es una guerra naval en mar abierto: no basta con hundir una lancha; tienes que cortar la logística que la abastece. Y eso exige ingeniería, no solo policy.
Si defender tu modelo depende de bloquear una IP, ya perdiste. La defensa real vive en el comportamiento, no en el origen.
Quinto: colaboración industrial y compartición de inteligencia. Y aquí está la parte menos glamorosa y más necesaria. Ningún laboratorio ve el mapa completo. Las campañas descritas por Anthropic —incluyendo “hydra clusters” y redes proxy— se apoyan en infraestructura de terceros, en clouds, en marketplaces de cuentas, en integraciones. Por tanto, si no compartes indicadores técnicos con otros laboratorios, con proveedores cloud y con autoridades, estás peleando solo contra una hidra que se alimenta de un ecosistema. Como en las historias de Conan Doyle, el detective no gana por genio; gana por red de informantes, método y evidencia.
Además, este episodio refuerza una idea que en América Latina solemos subestimar: la dependencia tecnológica no es solo un tema de precios o de features; es también un tema de continuidad. Cuando se disparan ataques y tensiones geopolíticas, llegan las restricciones regionales, los bloqueos, los cambios de política. Y los que pagan el costo no son los laboratorios chinos ni los estadounidenses; son las empresas que construyeron procesos sobre una API sin plan B. En mi caso, cuando una empresa me dice “dependemos de X modelo para todo”, yo siempre respondo lo mismo: eso no es una estrategia, es una apuesta. Y las apuestas se celebran hasta que sale mal.
¿Qué hacemos con todo esto, más allá del morbo del titular? Primero, aceptar que la carrera de la Inteligencia Artificial ya no es solo innovación: es también protección. Segundo, que la ética no se declama; se implementa con controles, auditorías, trazabilidad y contratos que se respetan. Y tercero, que si tu organización usa Asistentes de IA en operaciones críticas, debes tratar ese stack como tratas la seguridad financiera: con gobernanza, monitoreo, proveedores alternos, evaluación de riesgos y entrenamiento interno.
- Si eres laboratorio o producto: invierte en detección por comportamiento y defensa en profundidad, no en parches reactivos.
- Si eres empresa usuaria: evita la dependencia ciega; diseña arquitectura multi-modelo donde sea posible y define límites de datos, acceso y auditoría.
- Si eres líder de innovación: no compres el cuento de que “todo vale”; el atajo de hoy puede ser la vulnerabilidad de mañana.
La memoria es el único equipaje que no se pierde. Pero en IA, si no hay salvaguardas, la memoria también se convierte en arma.
Cierro con una provocación necesaria: en esta industria, muchos hablan de futuro como si fuera una autopista. No lo es. Es un campo minado con buena interfaz. Y el verdadero liderazgo —para empresas, para países, para equipos— consiste en construir valor sin convertir el ecosistema en una rapiña permanente. Porque cuando normalizas el saqueo, no aceleras el progreso; lo vuelves inviable. La pregunta, entonces, no es si esto seguirá pasando. Es si vas a mirar para otro lado… o si vas a diseñar, exigir y operar la IA que merecemos, no la que nos dejan.
Fuente base: Detecting and preventing distillation attacks (Anthropic)