Durante año y medio, seis empresas chinas de IA habrían estado sacando miles de millones de tokens de Claude, GPT, Gemini y Grok para entrenar a sus propios modelos. No con un exploit ni con una intrusión: pagando suscripciones premium, comprando cuentas falsas al mayoreo y preguntando muy bien. El martes, la NSA, CISA y el FBI les pusieron nombre y apellido en un advisory conjunto.
Qué pasó
El 8 de septiembre las tres agencias publicaron el advisory AA26-251A, y por primera vez señalan directamente a las compañías: DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun y Z.AI. La acusación es que ejecutan campañas de knowledge distillation a escala industrial contra modelos frontier estadounidenses, y que lo hacen "probablemente con conocimiento del gobierno chino", desde al menos finales de 2024.
El framing del documento es lo interesante. Las agencias no dicen que la destilación sea ilegítima —es una técnica estándar de investigación en machine learning, la usa todo el mundo—, sino que aquí dejó de ser una técnica auxiliar para convertirse en el eje del modelo de desarrollo:
Si bien la "destilación" es reconocida como una técnica legítima y útil en la investigación de IA, las empresas chinas de IA están llevando a cabo actividades de destilación agresivas, maliciosas y dirigidas, a escala industrial, que extraen funcionalidades y capacidades propietarias restringidas de los modelos frontier estadounidenses. — NSA, CISA y FBI, advisory AA26-251A
Los casos concretos: DeepSeek llevaría campañas organizadas desde 2024 apuntando específicamente a capacidades de razonamiento, optimizaciones especializadas y funciones de dominio, material con el que entrenó R1 y V3. Alibaba habría usado el mismo método para mejorar la familia Qwen. Moonshot, MiniMax, StepFun y Z.AI aparecen mencionadas con menos detalle pero en la misma bolsa.
Por qué importa
Aquí no hay CVE, no hay parche y no hay breach en el sentido clásico. Y justamente por eso el caso es relevante: es un robo de propiedad intelectual ejecutado enteramente dentro de la superficie de uso legítimo del producto. Nadie rompió una puerta. Alguien usó la puerta cinco millones de veces.
Eso rompe casi todo el modelo mental con el que operamos. Un WAF no lo detiene, un IPS no lo ve, el tráfico va cifrado a un endpoint que la propia empresa publica y factura. El "indicador de compromiso" no es una firma ni un hash: es un patrón de negocio —una cuenta enterprise recién creada que satura su cuota el primer día, un ratio raro entre suscripciones y consumo, decenas de miles de cuentas haciendo la misma pregunta con distinta redacción.
Para quien vende o consume IA en México y LATAM hay una consecuencia más inmediata, y la toco al final: las mitigaciones que propone el advisory le van a pegar a usuarios legítimos.
El detalle técnico
Las TTPs que describe el advisory son sorprendentemente mundanas, y eso es lo que las hace efectivas.
Abuso de APIs de inferencia con cuentas al mayoreo. Compra masiva de cuentas no registradas a usuarios reales, que después ejecutan "consultas altamente coordinadas con textos de prompt idénticos o similares", en volúmenes que van de miles a millones sobre un mismo tema. Es un scraping de capacidades, no de datos.
Rutas múltiples para evadir geobloqueo. APIs nativas, proveedores cloud de terceros y agregadores que ofuscan automáticamente los metadatos del usuario. Encima, un mercado gris de proxies que el documento llama "transfer stations": infraestructura dedicada a saltarse las restricciones geográficas, romper los términos de uso y matar la trazabilidad. Cuando una ruta se bloquea, hay failover automático hacia otra.
Extracción de chain-of-thought. La parte más fina. En vez de pedir la respuesta, se pide el razonamiento que llevó a ella. El advisory da un ejemplo atribuido a DeepSeek: prompts que instruyen al modelo a imaginar y articular el razonamiento interno detrás de respuestas ya completadas, y escribirlo paso a paso. Es prompt injection en su versión más aburrida y más rentable: no para hacer que el modelo se porte mal, sino para que muestre el trabajo que su dueño considera propietario.
Frameworks de evaluación de calidad. No solo extraen: miden. Tienen instrumentación para detectar cuándo el proveedor activó contramedidas defensivas, y para identificar automáticamente si hay un modelo más capaz disponible al cual cambiarse.
Economía del ataque. Compra a granel de suscripciones premium compartidas entre equipos de developers. El resultado, según las agencias, son ciclos de desarrollo mucho más cortos y un ahorro brutal en costo de entrenamiento de un modelo frontier.
La mitigación incómoda
Las recomendaciones a las empresas estadounidenses son donde el advisory se vuelve polémico.
Las primeras son razonables: mejor detección de campañas distribuidas, monitoreo de prompts y comportamientos anómalos, alertas por ratio sospechoso de suscripción a uso, y flags para cuentas nuevas que llegan al tope de inmediato. Las agencias argumentan que debería ser relativamente fácil, porque las campañas duran de días a meses con volúmenes muy por encima de cualquier uso legítimo de investigación o desarrollo.
Después vienen dos que sí levantan la ceja.
La primera es degradar la calidad de las respuestas cuando se sospecha destilación: alterar la salida "subtilmente" presentando información correcta con un razonamiento distinto, introduciendo inconsistencias de estilo o recortando la profundidad del razonamiento. Y si eso no basta, cambiar la cuenta a un modelo inferior en secreto, explícitamente sin dar aviso.
La segunda es reforzar la verificación de identidad y rastrear más de cerca a los individuos que usan suscripciones enterprise.
Ninguna de las dos es gratis. Envenenar respuestas por sospecha significa que un falso positivo se traduce en un cliente que paga por un modelo y recibe otro, peor, sin saberlo — y las propias agencias reconocen que las empresas chinas ya tienen instrumentación para detectar exactamente eso, así que el que más probablemente se coma la degradación sin notarla es el usuario honesto. Y "rastrear más de cerca a los individuos con suscripción enterprise" es, dicho en corto, más telemetría sobre los prompts de tus empleados.
Mi lectura
Tres cosas me quedan de este advisory.
Uno: el perímetro de la IA es el contrato, no la red. Todo lo que describe AA26-251A es abuso de términos de uso ejecutado a escala. La defensa no vive en el firewall, vive en el rate limiting, la verificación de identidad, el análisis de comportamiento de cuentas y la detección de patrones de consulta. Es abuse detection y fraud analytics, disciplinas que en muchas organizaciones no le reportan a nadie del SOC. Ese hueco organizacional es real y lo vamos a ver más.
Dos: la asimetría es estructural, no coyuntural. Entrenar un modelo frontier cuesta cientos de millones; interrogarlo hasta destilarlo cuesta suscripciones. Mientras la brecha de costo sea de tres o cuatro órdenes de magnitud, ningún advisory la va a cerrar. Y como la capacidad se puede extraer preguntando, la ventaja del que va adelante es mucho más corta de lo que sugieren sus presupuestos de cómputo.
Tres: cuidado con dónde acaba pagándose la factura. Un advisory de seguridad que recomienda a proveedores privados degradar servicio en secreto y vigilar más a usuarios corporativos abre una puerta que no se cierra sola. La recomendación se justifica contra un adversario estatal, pero el mecanismo queda instalado para todos. Yo lo pondría en la lista de preguntas incómodas al proveedor en la próxima renovación.
Qué hacer
- Si consumes APIs de LLM en producción: pregúntale por escrito a tu proveedor si aplica degradación de respuestas o sustitución de modelo por detección de abuso, y bajo qué criterios te notifica. Un cambio silencioso de modelo es un problema de calidad y de compliance, no solo de precio.
- Revisa tus propias cuentas enterprise. Credenciales compartidas entre equipos, keys en repos y accesos sin dueño son exactamente el patrón que las agencias piden marcar como sospechoso. No te conviene parecer un ataque de destilación.
- Si expones tu propio modelo o endpoint de inferencia: rate limiting por identidad verificada, no solo por IP; alerta por volumen anómalo sostenido y por consultas casi idénticas en gran número; y trata las peticiones de "explica tu razonamiento paso a paso" como lo que son en volumen, un patrón de extracción.
- Traslada esto a tu inventario de IA. Si no tienes claro qué modelos, proveedores y agregadores está usando la organización, no puedes evaluar exposición ni pedir garantías contractuales.
Fuentes
- CISA — AA26-251A: China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies
- Ars Technica — Six Chinese AI firms accused of aggressively copying US frontier models
- BleepingComputer — US says Chinese firms extracted billions of tokens from frontier AI models