)
Última actualización: 10 de noviembre de 2026 · Por Roger Howroyd
Las mejores respuestas de tu modelo son también los datos de entrenamiento más baratos para otro. ¿Qué implica para la seguridad de agentes de IA? Un ataque de destilación consulta un modelo a gran escala y entrena una copia más barata con sus respuestas, sobre todo con su razonamiento. Hoy el objetivo principal son los laboratorios de frontera, pero cualquier empresa que exponga un modelo ajustado o un agente por API hereda el mismo riesgo.
TL;DR
- Escala industrial: tres laboratorios generaron más de 16 millones de intercambios con Claude mediante unas 24.000 cuentas fraudulentas (datos del fabricante; Anthropic, 2026).
- No es cosa de un solo proveedor: Google detectó una campaña de más de 100.000 prompts para copiar el razonamiento de Gemini (CSO Online, 2026; GTIG, 2026).
- Las defensas funcionan: Anthropic reduce entre 10 y 100 veces el razonamiento extraído, con menos de un 0,1 % de falsos positivos (datos del fabricante; Anthropic, 2026).
- Intentarlo es barato: unos investigadores extrajeron la matriz de proyección completa de dos modelos en producción por menos de 20 $ en consultas (Carlini et al., 2024).
- Sale caro cuando ocurre: las brechas con inversión de modelos de IA costaron de media 6,07 millones de dólares, un 18 % más que la media global (IBM, 2026).
De un vistazo: destilación frente a otros robos de modelos
Respuesta rápida
¿Es un ataque de destilación un problema de seguridad de agentes de IA?
Sí, siempre que expongas un modelo o un agente que otros pagarían por copiar. La destilación usa accesos legítimos, así que los firewalls y las herramientas antimalware rara vez la ven. Aparece como patrones de consulta extraños, cuentas fraudulentas y prompts que buscan el razonamiento oculto. Por eso identidad, límites de uso y analítica de tráfico son la primera defensa.
| Ataque | Acceso necesario | Qué se roba | Ejemplo público | Primera defensa |
|---|---|---|---|---|
| Destilación (réplica funcional) | Acceso normal a la API o la app, a gran escala | Capacidades y estilo de razonamiento | Campañas contra Claude y Gemini, 2026 | Verificación de cuentas y detección de extracción |
| Extracción de parámetros | API de caja negra con salidas detalladas | Partes de los pesos del modelo | Recuperación de la matriz de proyección, 2024 | Limitar el detalle de salida, como los logits |
| Robo de pesos | Acceso al almacenamiento o a la infraestructura de inferencia | El modelo completo | Compromiso interno o de infraestructura | Seguridad de infraestructura y control de claves |
| Extracción del system prompt | Acceso al chat | Instrucciones y lógica de negocio | Habitual en chatbots públicos | Prompts reforzados y filtrado de salidas |
Cómo comparamos
Leímos los informes de Anthropic y Google de 2026, su cobertura en prensa y el artículo de Carlini y su equipo de 2024. Mapeamos cada defensa a la guía LLM10:2025 de OWASP. Las cifras que los proveedores dan sobre sus propias plataformas se indican como datos del fabricante.
Cómo funciona un ataque de destilación
La destilación entrena un modelo "alumno" pequeño para imitar a un "profesor" más grande. La versión legítima es una técnica estándar de machine learning. La versión ofensiva lo hace sin permiso, con redes de cuentas falsas, y persigue el razonamiento del profesor, porque muestra cómo llega a la respuesta y no solo cuál es.
Los atacantes suelen empezar con extracción pasiva. Envían peticiones de aspecto normal y entrenan con las respuestas. Anthropic (2026) indica que resumir el razonamiento de Claude hizo los transcritos mucho menos útiles. Un modelo entrenado con transcritos completos sacó un 80,4 % en SWE-bench Verified, frente al 71,8 % con resúmenes (dato del fabricante).
Después llega la extracción activa. Piden al modelo que repita su razonamiento palabra por palabra, que lo traduzca a otro idioma o que lo escriba entre etiquetas junto a la respuesta. Según Anthropic (2026), un laboratorio probó 12.000 peticiones, cada una con un truco distinto.
Servicios de proxy comerciales revenden acceso mediante lo que Anthropic llama arquitecturas "hydra cluster". Si se bloquea una cuenta, otra ocupa su lugar. En un caso, una sola red de proxies gestionaba más de 20.000 cuentas fraudulentas a la vez.
)
Qué nos enseñan los casos de 2026
Los casos de 2026 muestran que la destilación es organizada, persistente y rápida en adaptarse. Anthropic atribuyó tres campañas a laboratorios concretos con alta confianza. Google detectó intentos frecuentes de extracción de empresas privadas e investigadores de todo el mundo. Ambos dicen que incumple sus condiciones de servicio.
En octubre, Anthropic dijo haber bloqueado decenas de miles de cuentas de destilación (Anthropic, 2026). Según CSO Online (2026), Google detectó y bloqueó la campaña contra Gemini; Google dice que redujo su riesgo.
| Campaña (según Anthropic, febrero de 2026) | Intercambios | Objetivos principales |
|---|---|---|
| DeepSeek | Más de 150.000 | Razonamiento, evaluación con rúbricas, reescrituras sin temas censurados |
| Moonshot AI | Más de 3,4 millones | Razonamiento agéntico, uso de herramientas, código, uso del ordenador, visión |
| MiniMax | Más de 13 millones | Código agéntico, uso de herramientas y orquestación |
Anthropic explica que cada campaña buscó las capacidades más diferenciales de Claude: razonamiento agéntico, uso de herramientas y código. Son justo las habilidades sobre las que las empresas construyen sus agentes.
Cuando Anthropic lanzó un modelo nuevo en plena campaña de MiniMax, esta desvió casi la mitad de su tráfico al nuevo sistema en menos de 24 horas. Una defensa que tarda un trimestre en desplegarse ya llega tarde.
Según CSO Online (2026), los atacantes pedían a Gemini que mantuviera su "contenido de razonamiento" en el mismo idioma que la entrada del usuario. Google cree que buscaban copiar el razonamiento de Gemini en idiomas distintos del inglés.
Por qué importa a los equipos de seguridad de agentes de IA
La seguridad de agentes de IA suele mirar lo que los agentes te hacen a ti: prompt injection, fuga de datos, mal uso de herramientas. La destilación mira lo que otros se llevan. Si tu agente usa un modelo ajustado, procesos propios o razonamiento experto, sus respuestas son un activo que alguien puede recolectar.
El informe de Google lo dice claro. Según CSO Online (2026), Google cree que la extracción debería preocupar a cualquiera que ofrezca modelos de IA como servicio. Aconseja vigilar el acceso a la API en busca de extracción sistemática.
Los agentes suben la apuesta por tres motivos. Suelen mostrar planes paso a paso, muy parecidos a los razonamientos que buscan los destiladores. Funcionan sobre APIs de pago por uso, donde una cuenta fraudulenta parece un buen cliente. Y se integran con socios, donde el tráfico de un revendedor puede esconder una red de proxies.
La brecha de gobernanza lo complica. Gartner (2026) señala que el 71 % de las organizaciones espera desplegar IA agéntica en un año, pero solo el 21 % tiene capacidades para gobernarla.
También afecta a los agentes que compras. Anthropic (2026) sostiene que los modelos destilados sin permiso se han lanzado, en la práctica, sin protecciones proporcionales. Antes de adoptar un modelo más barato, hazle red teaming.
Señales de que alguien está destilando tu modelo
La destilación deja huellas en el tráfico, las cuentas y los prompts. Busca actividad sincronizada entre muchas cuentas, datos de pago compartidos, prompts que piden el razonamiento oculto y cambios bruscos hacia tu modelo más reciente. Ninguna señal basta sola; varias juntas merecen investigarse.
| Señal | Cómo se ve | Dónde se observó |
|---|---|---|
| Tráfico sincronizado | Muchas cuentas con patrones y horarios idénticos | Anthropic, campaña de DeepSeek |
| Pagos o infraestructura compartidos | Cuentas unidas por medios de pago, rangos de IP o metadatos | Métodos de atribución de Anthropic |
| Pesca de razonamiento | Peticiones para repetir, traducir o etiquetar el razonamiento previo | Anthropic, octubre de 2026 |
| Tareas de evaluación en volumen | El modelo usado como modelo de recompensa para entrenar a otro | Anthropic, campaña de DeepSeek |
| Cambios rápidos | El tráfico salta a una versión nueva en un día | Anthropic, campaña de MiniMax |
| Instrucciones que fuerzan el idioma | Prompts que obligan a razonar en un idioma concreto | Google, vía CSO Online |
Los usuarios normales casi nunca piden a un modelo todo su razonamiento oculto, así que esas peticiones son una señal muy fuerte.
Revendedores y servicios de proxy pueden hacer que un hydra cluster parezca un único cliente grande y legítimo. Exígeles por contrato la identidad del usuario final y acción ante avisos de abuso.
Defensas que funcionan y lo que cuestan
Las defensas eficaces protegen el razonamiento, bloquean los intentos de extracción y encarecen los reintentos. Según Anthropic (octubre de 2026), sus nuevos métodos han reducido entre un 90 % y un 99 % los datos recolectados, según la evidencia preliminar. Cada control tiene su coste: cambios de integración y algunas peticiones legítimas bloqueadas.
| Defensa | Qué frena | Contrapartida |
|---|---|---|
| Resumir u ocultar el razonamiento | Recolección pasiva de razonamientos | Menos transparencia para usuarios legítimos |
| Ligar el razonamiento a la cuenta que lo pidió | Reutilizarlo entre cuentas y modelos | Puede exigir cambios de integración |
| Clasificadores de extracción | Intentos activos de revelar el razonamiento | Falsos positivos poco frecuentes |
| Límites más estrictos y bloqueos rápidos | Hydra clusters y cuentas persistentes | Necesita buenas señales de cuenta |
| Límites de uso y cuotas | Consultas masivas desde una sola fuente | Puede frenar a usuarios intensivos legítimos |
| Marcas de agua en las salidas | Ayuda a demostrar un uso no autorizado | Detecta, no previene |
| Limitar el detalle de salida | Extracción de parámetros vía logits | Menos opciones para usuarios avanzados |
Según Anthropic (2026), su clasificador en dos fases detecta ya todas las técnicas descritas en sus informes anteriores, con menos de un 0,1 % de falsos positivos. Bloquea las cuentas asociadas, a menudo menos de dos horas después de empezar una campaña. Son datos del fabricante.
Hay contrapartidas: Anthropic reconoce que preserved thinking obligó a actualizar integraciones, y ahora cobra las peticiones bloqueadas.
Carlini et al. (2024) demostraron que las salidas detalladas de una API les permitían recuperar la matriz de proyección de un modelo en producción por menos de 20 $. El mismo equipo estimó menos de 2.000 $ para la matriz completa de gpt-3.5-turbo. Si tu API expone probabilidades, revisa si hacen falta.
Según OWASP (2025), el consumo sin límites incluye la extracción de modelos y la réplica funcional. Entre sus medidas figuran los límites de uso, las cuotas por usuario y las marcas de agua.
Seguridad y gobernanza: cómo proteger los agentes que expones
La destilación convive con los riesgos clásicos de los agentes, y los controles se solapan. IBM (2026) indica que el 92 % de las organizaciones con una brecha ligada a la IA no tenía controles de acceso adecuados. Las brechas con inversión de modelos, que extrae datos sensibles de un modelo, costaron 6,07 millones de dólares de media.
Tres riesgos comparten esa base de identidad y acceso:
- Prompt injection: los mismos prompts que pescan razonamiento pueden sacar system prompts, datos internos o salidas de herramientas que tu agente nunca debería revelar.
- Fuga de datos: quien recoge millones de respuestas también puede recoger registros sensibles que un agente devuelve por error.
- Mal uso de herramientas: cuentas fraudulentas con acceso a las herramientas del agente pueden disparar costes o lanzar acciones a escala.
NeuralTrust lo aborda con una sola capa clara delante de los modelos y agentes que expones. Controlas quién llega a ellos a través del Agent Gateway (TrustGate). Proteges prompts, respuestas y llamadas a herramientas con Agent Runtime Security (TrustGuard). Con AI Red Teaming (TrustTest) puedes probar intentos de extracción del system prompt y de prompt injection antes que los atacantes.
Nuestra guía sobre robo de modelos de IA cubre el robo de pesos y los controles de infraestructura. Nuestra guía de seguridad de agentes de IA para empresas repasa el modelo de amenazas completo.
¿Cuál deberías elegir?
Tu exposición depende de lo que ofreces y a quién. Una empresa que vende un modelo ajustado por API pública asume el mayor riesgo. Un agente solo para uso interno, el menor. La tabla relaciona situaciones habituales con los controles por los que conviene empezar.
| Si... | Empieza por | Por qué |
|---|---|---|
| Vendes acceso a un modelo ajustado o a un agente | Verificación de cuentas, detección de extracción y cuotas | Tus respuestas son el producto que se copia |
| Expones agentes a socios o revendedores | Cláusulas sobre identidad del usuario final y límites por socio | Las redes de proxies se esconden tras los revendedores |
| Tus agentes son solo para empleados | Identidad, registro y filtrado de salidas | El riesgo viene de cuentas internas o comprometidas |
| Muestras razonamientos o planes al usuario | Resúmenes en lugar de trazas completas | Las trazas completas son los datos más valiosos |
| Expones probabilidades de tokens | Elimínalas o redúcelas si no son necesarias | Las salidas detalladas facilitan extraer parámetros |
| Vas a adoptar un modelo de terceros más barato | Red teaming antes de producción | Los modelos destilados pueden carecer de salvaguardas |
Conclusión
La destilación convierte los puntos fuertes de tu modelo en el atajo de otro. Los casos de 2026 muestran que funciona a escala industrial, persigue habilidades agénticas y se adapta en un día. Para la seguridad de agentes de IA, la respuesta empieza por identidad y acceso, y sigue con detección de extracción, protección del razonamiento y cuotas. Pruébalas en tus agentes antes de que lo haga una cuenta fraudulenta.
Asegura los agentes que expones en producción con NeuralTrust
Controla quién llega a tus modelos y agentes, y vigila cada prompt y cada respuesta.
)
Comparativas relacionadas
- Robo de modelos de IA: cómo evitarlo
- Seguridad de agentes de IA para empresas: guía completa
- ¿Tu modelo de IA está filtrando datos?
- Rate Limiting y Throttling para agentes de IA
Preguntas frecuentes sobre seguridad de agentes de IA
1. ¿Qué es un ataque de destilación en IA?
Un ataque de destilación es el uso no autorizado de las respuestas de un modelo para entrenar una copia más barata. Los atacantes consultan el modelo a gran escala, a menudo con cuentas fraudulentas, y entrenan un alumno con lo obtenido. El botín es el razonamiento, porque muestra cómo llega el modelo a sus respuestas. Google lo llama una forma de robo de propiedad intelectual; Anthropic dice que viola sus términos de servicio.
2. ¿Qué es la extracción de modelos?
La extracción de modelos es la familia de ataques que recupera el comportamiento o el interior de un modelo mediante consultas. Incluye la destilación, que copia capacidades, y la extracción de parámetros, que recupera partes de los pesos. Carlini y su equipo (2024) recuperaron así la matriz de proyección de un modelo por menos de 20 $.
3. ¿Cómo se previenen los ataques de destilación?
Combina verificación de cuentas, límites de uso y detección de patrones de extracción, como las peticiones de razonamiento oculto. Resume u oculta las trazas de razonamiento, vincúlalas a la cuenta que las pidió y bloquea rápido a los reincidentes. Las marcas de agua ayudan a demostrar un uso indebido. Anthropic indica que, tras introducir su clasificador, los destiladores extrajeron entre 10 y 100 veces menos razonamiento en su plataforma.
4. ¿Es legal destilar un modelo de IA?
La destilación es una técnica legítima, y algunos proveedores cloud la ofrecen como servicio. Destilar el modelo de otra empresa sin permiso suele incumplir sus condiciones de servicio, que es como Google y Anthropic describen las campañas de 2026. Si además vulnera la ley de propiedad intelectual o de secretos empresariales depende de cada jurisdicción. Consulta a tu equipo legal.
5. ¿Cuáles son los principales riesgos de seguridad de agentes de IA?
Los más comunes son la prompt injection, la fuga de datos, el mal uso de herramientas y el abuso de identidad o privilegios. La destilación añade un riesgo de salida: alguien que recolecta las respuestas de tu agente para copiar sus capacidades.
6. ¿Cómo se protegen los agentes de IA?
Da a cada agente su propia identidad y el mínimo acceso necesario. Pasa el tráfico de modelos y herramientas por un único punto de control que inspeccione prompts, respuestas y llamadas a herramientas. Registra cada decisión, haz red teaming antes del lanzamiento y tras cada cambio, y exige aprobación humana para acciones irreversibles. Si expones agentes fuera, añade cuotas y detección de extracción.
7. ¿Se pueden detectar los ataques de destilación?
Sí, a menudo. El tráfico de destilación es distinto del uso normal: cuentas sincronizadas, pagos compartidos, grandes volúmenes y prompts que piden el razonamiento oculto. Anthropic dice que atribuyó las campañas con correlación de IP, metadatos de las peticiones e indicadores de infraestructura. Funciona mejor si analítica de tráfico, señales de cuenta y clasificadores de prompts alimentan la misma investigación.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde dirige la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Está especializado en búsqueda impulsada por IA, estrategia de contenidos y SEM. Conecta con él en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Nombrada pionera en el Gartner Emerging Market Quadrant for AI Application Security 2026, reconocida en cuatro informes Gartner Hype Cycle en 2026 y destacada en la Gartner Market Guide for Guardian Agents 2026, la Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
- Anthropic, "Detecting and preventing distillation attacks", 23 de febrero de 2026. https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks
- Anthropic, "Strengthening our defenses against distillation attacks", 12 de octubre de 2026. https://www.anthropic.com/news/distillation-defenses
- CSO Online, "Google fears massive attempt to clone Gemini AI through model extraction", 13 de febrero de 2026. https://www.csoonline.com/article/4132098/google-fears-massive-attempt-to-clone-gemini-ai-through-model-extraction.html
- Carlini et al., "Stealing Part of a Production Language Model", arXiv, 11 de marzo de 2024. https://arxiv.org/abs/2403.06634
- OWASP GenAI Security Project, "LLM10:2025 Unbounded Consumption", 2025. https://genai.owasp.org/llmrisk/llm102025-unbounded-consumption/
- IBM y Ponemon Institute, "Cost of a Data Breach Report 2026", 29 de julio de 2026. https://assets.ibm.com/adobe/assets/urn:aaid:aem:21111142-1251-4369-86fb-57b82f5bb108/original/as/Cost%20of%20a%20Data%20Breach%20Report%202026.pdf
- Gartner, "Gartner Says Aligning AI Value, Risk and Safety Is Now the Top Challenge for CIOs", 9 de noviembre de 2026. https://www.gartner.com/en/newsroom/press-releases/2026-11-09-gartner-says-aligning-artificial-intelligence-value-risk-and-safety-is-now-the-top-challenge-for-chief-information-officers
- Google Threat Intelligence Group, "GTIG AI Threat Tracker: Distillation, Experimentation, and (Continued) Integration of AI for Adversarial Use", 12 de febrero de 2026. https://cloud.google.com/blog/topics/threat-intelligence/distillation-experimentation-integration-ai-adversarial-use