Anthropic afirma haber desplegado nuevas defensas que reducen entre un 90 y un 99 por ciento la cantidad de datos de entrenamiento que los atacantes pueden extraer de sus modelos Claude mediante destilación. La compañía anunció estas medidas como parte de un esfuerzo más amplio para proteger la integridad de sus modelos y su tecnología propietaria.
Los ataques de destilación consisten en consultar repetidamente un modelo para recopilar sus respuestas y luego usar esos datos para entrenar un sistema competidor. Esta técnica permite a alguien aprovecharse de la investigación de otra empresa sin pagar por ella. Las nuevas salvaguardas de Anthropic están diseñadas para hacer que ese proceso sea mucho menos efectivo.
Cómo funcionan los ataques
En un ataque de destilación, el adversario no necesita acceder al código subyacente ni a los pesos del modelo. Solo necesita la capacidad de enviar consultas y registrar las respuestas. Al ejecutar millones de prompts a través de un modelo, puede construir un conjunto de datos que capture gran parte de su comportamiento. Ese conjunto de datos se convierte entonces en material de entrenamiento para un modelo rival, que puede imitar las capacidades del original a una fracción del costo de desarrollo.
Para las empresas de IA, esto es tanto un problema de seguridad como de negocio. Las respuestas representan meses de investigación y un gasto significativo en cómputo. Si un competidor puede recolectar esas respuestas a bajo costo, el incentivo para invertir en modelos de frontera disminuye. Las defensas de Anthropic buscan romper esa cadena haciendo que los datos recolectados sean menos útiles o más difíciles de recopilar a escala.
Qué cambió Anthropic
La compañía no detalló los mecanismos técnicos exactos, pero afirmó que las defensas están diseñadas para detectar e interrumpir los intentos de destilación en tiempo real. Esto podría implicar limitar la tasa de patrones de consulta sospechosos, añadir ruido a las respuestas o marcar las respuestas con marcas de agua para que puedan rastrearse. Anthropic asegura que el resultado es una reducción del 90 al 99 por ciento en los datos que los atacantes pueden recolectar con éxito.
El rango es amplio porque la efectividad varía según el método de ataque. Una operación de raspado burda y de alto volumen podría bloquearse casi por completo, mientras que un enfoque más cuidadoso y de baja intensidad aún podría pasar. Anthropic dice que seguirá ajustando el sistema a medida que los adversarios se adapten.
Esta no es la primera vez que una empresa de IA habla sobre destilación. OpenAI y Google han acusado a rivales de usar las respuestas de sus modelos para entrenar sistemas competidores. Pero los resultados públicos y cuantificados son raros. Las cifras de Anthropic ofrecen un punto de referencia concreto sobre el rendimiento de un conjunto de defensas, al menos según la medición de la propia empresa.
El robo de modelos se sitúa en la intersección de la seguridad, la propiedad intelectual y la competitividad nacional. Los gobiernos están empezando a tratar los modelos avanzados de IA como activos estratégicos. Si se puede frenar la destilación, se refuerza el argumento para que las empresas sigan invirtiendo en modelos más grandes y costosos sin temer que su trabajo sea copiado de la noche a la mañana.
También hay un ángulo de seguridad. Si un actor malicioso destila un modelo y elimina el ajuste fino de seguridad, puede crear una versión no alineada que sea más difícil de monitorear. Las defensas de Anthropic no abordan directamente ese escenario, pero al dificultar la destilación, elevan el costo para cualquiera que lo intente.
El anuncio se produce mientras Anthropic enfrenta una creciente competencia de modelos de pesos abiertos que son gratuitos de usar y modificar. Esos modelos pueden destilarse sin ninguna consulta a la API, por lo que las nuevas defensas no se aplican a ellos. El enfoque de la compañía es una apuesta a que los modelos propietarios basados en API seguirán siendo lo suficientemente valiosos como para que los clientes paguen por acceder a ellos, y que protegerlos vale el esfuerzo de ingeniería.
Anthropic no ha dicho si publicará un artículo técnico o liberará como código abierto las herramientas de defensa. Por ahora, la cifra del 90 al 99 por ciento es una afirmación que los investigadores externos no pueden verificar fácilmente. La compañía dice que continuará actualizando el sistema a medida que aprenda más sobre cómo operan los atacantes.
Es probable que los competidores estén observando de cerca. Si las defensas resisten, podrían convertirse en una característica estándar de las API comerciales de IA. Si no lo hacen, el juego del gato y el ratón entre los proveedores de modelos y los recolectores de datos continuará, con cada lado ajustándose al último movimiento del otro.
