Michael JohnsonAnthropic informó el 12 de octubre de que las nuevas medidas contra la destilación redujeron entre 10 y 100 veces el volumen de razonamiento de Claude que los atacantes extraen a través de su plataforma. La compañía describió el sistema como un conjunto de varias capas: dificulta revelar el razonamiento oculto, rastrea la transferencia de solicitudes entre cuentas y modelos, y bloquea las consultas sospechosas. Para quienes desarrollan con la API, esto importa por dos motivos: la protección modifica el comportamiento de las integraciones y ahora se cobran algunas solicitudes bloqueadas.
La destilación permite entrenar un modelo más pequeño con las respuestas de un sistema más potente. Anthropic considera que los registros completos del razonamiento que Claude genera antes de la respuesta final son especialmente valiosos para este propósito. En las primeras pruebas de la compañía, un modelo entrenado con transcripciones completas de Claude Opus 4.8 obtuvo un 80,4 % en SWE-bench Verified; al entrenarlo con versiones abreviadas, el resultado fue del 71,8 %. Estas cifras corresponden a una prueba y un experimento concretos de Anthropic, no a una evaluación universal de la calidad de los modelos.
La protección cubre varias vías de extracción
La primera capa consiste en reducir el razonamiento que se revela. Según Anthropic, tras introducir esta medida aumentaron los intentos: las solicitudes empezaron a pedir directamente que se mostrara el razonamiento oculto, y después se recurrió a redes de intermediarios y a numerosas cuentas falsas. La compañía afirma que una de esas redes llegó a gestionar más de 20.000 cuentas a la vez.
Las nuevas medidas controlan adónde pueden trasladarse los fragmentos protegidos del razonamiento. Anthropic señala que transferirlos entre conversaciones, modelos y cuentas son formas de eludir protecciones individuales. Según la compañía, un clasificador de dos etapas ahora detecta todas las técnicas de destilación descritas en su informe de septiembre en los modelos públicos más potentes.
Anthropic mide el efecto según el número de tokens de razonamiento que los destiladores consiguieron extraer específicamente en su plataforma. Tras implementar el clasificador, esta cifra cayó entre 10 y 100 veces respecto al nivel anterior; algunos días, el volumen fue demasiado bajo para medirlo. La compañía también informó del bloqueo de decenas de miles de cuentas relacionadas con la destilación. Estos datos reflejan la telemetría propia de Anthropic, no el volumen total extraído a través de otros servicios en la nube y proveedores de inferencia.
Qué cambia para quienes desarrollan
La protección ya ha afectado a algunas integraciones legítimas. Anthropic señala que el formato de razonamiento guardado requirió actualizaciones por parte de algunos desarrolladores, y que los clasificadores identifican por error o bloquean solicitudes inocuas en menos del 0,1 % de los casos. Desde el 24 de septiembre, la compañía cobra por las solicitudes detenidas antes de generar una respuesta en categorías con esa tasa declarada de falsos positivos, incluida la destilación.
La recomendación práctica para los equipos que usan la API es comprobar, tras los cambios en el procesamiento del razonamiento, qué campos de la respuesta lee y guarda la aplicación, y cómo gestiona un rechazo o un bloqueo antes de generar una respuesta. También conviene tener en cuenta que una solicitud bloqueada sujeta a cobro puede generar gastos sin producir una respuesta útil. Esto es especialmente importante con los reintentos automáticos: repetir la misma consulta no corrige la clasificación y puede aumentar los costes.
En la descripción de las nuevas medidas, Anthropic reconoce que el sistema sigue formando parte de una carrera con los atacantes: la compañía no sabe cuánto durará la reducción conseguida y todavía no ha observado un intento extremadamente persistente de eludir la protección actualizada. El cambio práctico más claro ya se ha producido: quienes desarrollan deben tener en cuenta el nuevo procesamiento del razonamiento, la posibilidad de bloqueos poco frecuentes y el cobro de algunas solicitudes rechazadas.