El 10 de septiembre de 2026, la compañía Anthropic publicó un informe titulado "Detección y mitigación del uso indebido de IA: septiembre de 2026", en el que afirmó que Moonshot AI de China, desarrollador de la familia de modelos Kimi, redirigía secretamente las solicitudes de sus usuarios a Claude en lugar de procesarlas con sus propios modelos. Al mismo tiempo, Moonshot mostraba a los clientes las respuestas obtenidas de Claude, presentándolas como resultado del trabajo de Kimi.
Los usuarios estaban seguros de que interactuaban con el modelo Kimi, pero en realidad recibían respuestas de Claude, sin ninguna notificación sobre la sustitución.
Escala de la redirección
En uno de los episodios registrados, Moonshot redirigió casi 300,000 solicitudes de clientes a Anthropic en diez días, siendo la gran mayoría dirigidas a los modelos de la serie Opus. Para organizar el esquema, la compañía utilizó una red de 5,380 cuentas, la mayoría de las cuales, según datos de Anthropic, estaban registradas en Singapur y Japón.
Además de sustituir las respuestas, Moonshot conservaba al menos parte de los diálogos interceptados. La compañía estableció una canalización separada para extraer cadenas de razonamiento (CoT), es decir, las transcripciones de la lógica que Claude utiliza para llegar a una respuesta, de los intercambios redirigidos y guardados, con el fin de usar esos datos para entrenar sus propios modelos. Para sortear las limitaciones técnicas de Anthropic en el acceso a las transcripciones completas de razonamiento, se emplearon ataques de repetición entre sesiones.
Según estimaciones de Anthropic, durante el período de mayo a julio de 2026, el volumen de ataques de destilación atribuidos a Moonshot superó los 23 millones de intercambios.
DeepSeek aplicó una táctica similar
En el mismo informe, Anthropic señala que DeepSeek también utilizó métodos similares. La compañía también redirigió sin el conocimiento de los clientes sus solicitudes a Claude y construyó su propia canalización de extracción de CoT, empleando la misma técnica de repetición entre sesiones.
La particularidad del esquema de DeepSeek era que la redirección afectaba a las solicitudes de usuarios que intentaban acceder a los modelos de DeepSeek a través de herramientas o productos de terceros o de Anthropic para desarrolladores, incluidos Claude Code, Claude Agent SDK y OpenCode. Ciertos usuarios etiquetados específicamente recibían respuestas precisamente del modelo Claude Opus.
Durante 14 días en julio de 2026, la escala de los ataques de destilación atribuidos a DeepSeek superó los 12.1 millones de intercambios.
Qué dice Anthropic sobre los riesgos para los clientes
Anthropic destacó que las solicitudes redirigidas contenían información personal de los clientes de ambas compañías. Sin embargo, sigue sin saberse si Moonshot y DeepSeek informaron a sus usuarios de que sus solicitudes eran, de hecho, procesadas por los modelos de Anthropic.
El informe describe dos esquemas separados pero metodológicamente similares: ambas compañías redirigían de manera encubierta las solicitudes de los usuarios a Claude y construían infraestructura para extraer cadenas de razonamiento con el objetivo de entrenar sus propios modelos. La escala total de intercambios registrados para ambas compañías supera los 35 millones.
Para sortear las limitaciones de acceso a las transcripciones completas de razonamiento, ambas compañías aplicaron una técnica de ataque idéntica: la repetición entre sesiones, lo que sugiere una posible coordinación de enfoques o el uso de métodos comunes de destilación de modelos.
Opinión de la IA
Un caso similar ya fue registrado en este medio: en febrero de 2026, Anthropic ya había acusado a DeepSeek, Moonshot y MiniMax de usar de manera no autorizada a Claude para entrenar sus propios modelos, refiriéndose entonces a 16 millones de interacciones a través de 24,000 cuentas falsas. Medio año después, la escala aumentó más del doble, hasta 35 millones de intercambios, lo que indica la ineficacia de las barreras técnicas aplicadas anteriormente.
La situación demuestra un curioso efecto secundario de tales esquemas: en el mismo artículo, los usuarios informaban que Claude, al ser preguntado sobre su propia identidad, a veces se nombraba a sí mismo como DeepSeek o ChatGPT, probablemente como resultado de ser entrenado con datos mezclados de diferentes modelos. Técnicamente, la frontera entre el "original" y el "destilado" se difumina más rápido de lo que los mecanismos legales y contractuales logran fijarla. ¿Es capaz la industria de desarrollar un estándar verificable para el origen de las respuestas de los modelos, antes de que este problema se vuelva sistémico?
