La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA), el FBI y la Agencia de Seguridad Nacional (NSA) han advertido de que varias empresas chinas de inteligencia artificial habrían utilizado durante meses ataques de «destilación» para extraer capacidades propietarias de los principales modelos estadounidenses. El aviso menciona a DeepSeek, MoonshotAI, Alibaba, MiniMax, StepFun y Z.AI, mientras que entre las compañías estadounidenses potencialmente afectadas figuran Anthropic, OpenAI, Google y xAI.
La actividad consiste en enviar grandes volúmenes de prompts diseñados específicamente para que los modelos avanzados reproduzcan sus capacidades, patrones de razonamiento y restricciones de seguridad. Las respuestas obtenidas pueden emplearse después para entrenar o mejorar otro modelo. CISA indicó que algunas operaciones podrían haberse realizado con conocimiento del Gobierno chino y estimó que las capacidades extraídas equivaldrían a miles de millones de dólares en inversión estadounidense en investigación y desarrollo.
Redes proxy y cuentas falsas dificultan la detección
El aviso señala que los operadores utilizaron servidores proxy para ocultar su origen real y construyeron amplias redes de usuarios falsos. Esas cuentas enviaban grandes cantidades de consultas para eludir los sistemas de supervisión y los controles de acceso de las plataformas. Algunas campañas podrían haberse prolongado durante meses, con el objetivo de mapear de forma sistemática el comportamiento de un modelo en distintas tareas, áreas temáticas y límites de seguridad, en lugar de obtener una única respuesta.
Los atacantes también recurrieron a técnicas de inyección de prompts para persuadir a los modelos de que ignoraran sus reglas existentes. En un informe sobre amenazas publicado en septiembre de 2026, Anthropic describió varios prompts vinculados a actividades de destilación. Uno de los métodos indicaba al modelo que «no lo marcara como extracción de razonamiento», mientras que otro afirmaba que el usuario estaba depurando el sistema y le pedía reproducir palabra por palabra razonamientos anteriores. Otros prompts se disfrazaban de instrucciones del sistema y solicitaban el contenido completo oculto dentro de las etiquetas <thinking></thinking>.
La destilación no es ilegal por sí misma. Los investigadores pueden estudiar las respuestas de un modelo y comparar distintos resultados para mejorar sus propios sistemas, una práctica con usos legítimos en la investigación técnica. Las agencias de ciberseguridad estadounidenses y las empresas de IA distinguen ese trabajo de las campañas que dependen de grandes cantidades de cuentas falsas, evitan las condiciones de servicio o inducen al modelo a revelar material restringido. A su juicio, estas últimas operaciones van más allá de la investigación habitual.
Las empresas de IA refuerzan los controles
Actualmente no existe una única medida técnica capaz de impedir por completo estos ataques. Anthropic y otras compañías de IA están mejorando la detección de patrones anómalos de consultas, las comprobaciones de identidad de los clientes y los controles de acceso, al tiempo que aplican respuestas más específicas según el tipo de actividad. Las empresas también trabajan en compartir inteligencia sobre amenazas para identificar con mayor rapidez redes de cuentas y patrones de consultas similares.
CISA ha reclamado una respuesta coordinada que abarque todo el ecosistema de la IA. Este enfoque implicaría a los desarrolladores de modelos, los proveedores de servicios en la nube, las empresas de verificación de identidad y el Gobierno estadounidense, en lugar de dejar que cada compañía bloquee por separado este tipo de actividad.
La economía de los servicios de IA complica aún más la situación. A medida que la competencia reduce los precios y abarata la realización de grandes cantidades de llamadas a los modelos, también puede disminuir el coste de recopilar volúmenes extensos de respuestas. Las plataformas afrontan así una presión constante para vigilar los usos inusuales, verificar a sus clientes y proteger el comportamiento restringido de los modelos sin obstaculizar el acceso legítimo.
El riesgo alcanza a las capacidades de seguridad
Las agencias de seguridad estadounidenses temen que la reproducción a gran escala de capacidades avanzadas de IA afecte no solo a la competencia entre empresas chinas y estadounidenses, sino también a la disponibilidad de modelos con controles de seguridad más débiles. En un informe de febrero de 2026 sobre ataques de destilación, Anthropic advirtió de que determinadas capacidades peligrosas podrían permanecer en un modelo extraído aunque sus salvaguardas originales se debilitaran o eliminaran.
La empresa señaló que esos sistemas podrían llegar a facilitar el desarrollo de armas biológicas, el diseño de equipamiento militar avanzado, ciberataques a gran escala u otras operaciones automatizadas con efectos altamente disruptivos. También advirtió de que gobiernos con un fuerte control político podrían utilizar sistemas similares para desarrollar armas cibernéticas ofensivas, realizar campañas de desinformación y llevar a cabo vigilancia masiva.
Para las empresas de IA, por tanto, el problema va más allá de la pérdida de tecnología propietaria. Una vez copiadas las capacidades y los límites de seguridad de un modelo, su desarrollador original puede perder parte del control sobre la forma en que se despliegan esas capacidades y sobre el mantenimiento de las salvaguardas.
Dudas sobre el coste comunicado por DeepSeek
La disputa también está influyendo en la forma en que los inversores evalúan la estrategia china de desarrollar modelos de IA de bajo coste. DeepSeek captó una gran atención del mercado tras afirmar que había desarrollado un sistema avanzado por un coste muy inferior al de los principales modelos estadounidenses. CISA indicó en su aviso que el coste de entrenamiento de 5,6 millones de dólares citado públicamente por DeepSeek era incompleto, ya que no incluía el coste total de obtener datos y capacidades mediante una destilación a gran escala presuntamente abusiva.
El aviso afirma que DeepSeek utilizó prompts para pedir a herramientas de IA estadounidenses que revelaran su razonamiento paso a paso, creando una vía para mejorar sus propios modelos. Si esa evaluación es correcta, la cifra de entrenamiento comunicada no reflejaría toda la inversión necesaria para desarrollar el sistema y no sería directamente comparable con modelos entrenados mediante la compra de chips propietarios, la construcción de centros de datos, el suministro de electricidad y la contratación de equipos de investigación.
La competencia en precios dentro de la industria de la IA se intensifica al mismo tiempo. Los modelos más pequeños y eficientes buscan atraer a desarrolladores y clientes empresariales con tarifas inferiores, mientras que modelos chinos como DeepSeek amplían su presencia en el mercado estadounidense.
Para los inversores, las cuestiones clave van más allá del precio de cada llamada al modelo. También incluyen la forma en que las empresas acreditan el origen de sus datos de entrenamiento y de las capacidades de sus modelos, si las plataformas pueden reducir los costes ocultos que generan los ataques de destilación y si los reguladores promoverán una cooperación más amplia entre los distintos participantes del ecosistema de la IA.