Anthropic acusa a siete empresas chinas de extraer ilegalmente capacidades de Claude

Anthropic descubrió una operación coordinada de robo de capacidades de inteligencia artificial. Siete laboratorios chinos —Alibaba, DeepSeek, Moonshot AI, Zhipu, Xiaomi, SenseTime y MiniMax— extrajeron en secreto las habilidades de su modelo Claude para entrenarlos en sus propios sistemas. La compañía publicó un informe de inteligencia de amenazas que distingue esta actividad de la destilación legítima, un método común en la industria donde un modelo avanzado genera respuestas para entrenar a uno más pequeño. Lo que ocurrió aquí fue diferente: una campaña encubierta a escala industrial, sin autorización, para replicar capacidades de un competidor.

Alibaba lideró el ataque más agresivo jamás documentado por Anthropic. Los operadores vinculados a la compañía inyectaban una instrucción fija en cada solicitud que obligaba a Claude a exponer su cadena de razonamiento interno antes de entregar la respuesta final. Esos registros se convertían en datos para ajustar finamente los modelos Qwen 3.5, 3.6 y 3.7. Entre mayo y julio de 2026, Anthropic atribuyó a Alibaba más de 151 millones de intercambios. En el pico de la operación, casi tres millones de solicitudes llegaban diariamente desde más de 3.500 cuentas fraudulentas. Además de la destilación, Alibaba utilizó Claude para desarrollar infraestructura interna de entrenamiento y avanzar en investigación de arquitectura de modelos.

Moonshot AI y DeepSeek emplearon tácticas diferentes pero igualmente invasivas. Moonshot redirigió en secreto solicitudes de sus propios clientes hacia Claude y les mostró las respuestas sin que supieran que no interactuaban con Kimi, su modelo. En diez días, Moonshot reenvió cerca de 300.000 consultas mediante 5.380 cuentas fraudulentas ubicadas principalmente en Singapur y Japón. Utilizó un ataque de "repetición entre sesiones" para extraer las trazas de razonamiento de Claude, eludiendo protecciones específicamente diseñadas para evitar eso. Anthropic contabilizó más de 23 millones de intercambios atribuibles a Moonshot entre mayo y julio. DeepSeek siguió un patrón similar, desviando solicitudes de usuarios que intentaban acceder a sus modelos a través de herramientas de terceros como Claude Code o el Claude Agent SDK. En catorce días de julio, Anthropic registró más de 12,1 millones de intercambios de DeepSeek.

Zhipu, que opera fuera de China bajo la marca Z.ai, rotó 273 cuentas fraudulentas para extraer y "limpiar" trazas de razonamiento de Claude Opus 4.8 destinadas a sus modelos GLM. Anthropic contabilizó 770.609 intercambios en diez días y más de 3,4 millones en total entre junio y julio. El reporte señala que Zhipu intentó inicialmente atacar Fable, el modelo más avanzado de Anthropic, pero abandonó el intento al encontrar defensas más robustas, desplazando sus esfuerzos hacia Opus 4.6. Xiaomi reprodujo conversaciones y sesiones de programación de su propio modelo MiMo a través de Claude para generar datos de entrenamiento, enviando más de 400.000 solicitudes mediante 1.500 cuentas. La operación coincidió con el final de un período de prueba gratuita de MiMo-V2-Pro, sugiriendo que Xiaomi aprovechó el aumento de uso internacional. SenseTime adquirió transcripciones de conversaciones con Claude a proveedores externos de datos. MiniMax creó una red de proxy a través de una empresa fachada sin vínculos visibles con su matriz, ofrecida exclusivamente para acceder a modelos de Anthropic y OpenAI.

Lo que hace particularmente grave esta operación es la exposición de datos sensibles de usuarios. En varios casos, las conversaciones desviadas hacia Claude contenían información confidencial: nombres, direcciones de correo electrónico y datos corporativos de clientes de Moonshot, DeepSeek y Xiaomi en al menos una docena de idiomas. Muchos de esos datos provenían de servicios de enrutamiento de modelos utilizados habitualmente por usuarios de Estados Unidos y Europa. Anthropic señaló que no tiene constancia de que esos clientes hubieran sido notificados de que sus solicitudes se redirigían a terceros. La compañía ha desactivado estas campañas, pero el incidente expone una vulnerabilidad fundamental: la dificultad de proteger modelos de lenguaje de actores bien financiados que operan a escala industrial.