La compañía asegura haber detectado campañas masivas de destilación ilícita contra Claude, con más de 151 millones de intercambios atribuidos solo a operadores vinculados a Alibaba. DeepSeek, Moonshot, Z.ai, Xiaomi, SenseTime y MiniMax aparecen también en el informe.
La batalla mundial por el liderazgo de la inteligencia artificial acaba de abrir un frente mucho más incómodo. Anthropic acusa a siete laboratorios y compañías de IA radicados en China de utilizar Claude a gran escala para extraer capacidades de sus modelos y mejorar sistemas propios mediante técnicas de destilación no autorizadas.
La acusación aparece en el informe de inteligencia de amenazas publicado por Anthropic el 10 de septiembre de 2026 y señala a operadores vinculados a Alibaba, Moonshot AI, DeepSeek, Zhipu —conocida internacionalmente como Z.ai—, Xiaomi, SenseTime y MiniMax.
El caso más espectacular es el atribuido a Alibaba: Anthropic asegura haber observado más de 151 millones de intercambios entre mayo y julio, con picos cercanos a 3 millones diarios y miles de cuentas fraudulentas. La compañía lo califica como la mayor operación de destilación que ha medido hasta ahora.
Hay, no obstante, una precisión fundamental: se trata de atribuciones realizadas por Anthropic a partir de su propia telemetría, metadatos e investigación interna. El informe constituye una acusación técnica de enorme gravedad, pero no equivale por sí mismo a una sentencia judicial ni demuestra una operación coordinada por el Gobierno chino.
Qué es la destilación de IA y por qué Anthropic habla de ataques
La destilación de modelos no es ilegal ni maliciosa por definición. Es una técnica habitual de aprendizaje automático en la que las respuestas o capacidades de un modelo potente sirven para entrenar otro sistema más pequeño, rápido o barato.
El problema aparece cuando una empresa intenta extraer sistemáticamente las capacidades de un modelo rival sin autorización y vulnerando sus condiciones de acceso.
Anthropic denomina a estas operaciones «destilación ilícita».
Según la compañía, los operadores investigados utilizaron redes de intermediarios, servicios proxy, cuentas ficticias y otros mecanismos para conseguir acceso masivo a Claude, generar enormes cantidades de respuestas y convertir después ese material en datos de entrenamiento.
La empresa ya había denunciado en febrero campañas atribuidas a DeepSeek, Moonshot y MiniMax que acumularon más de 16 millones de intercambios mediante unas 24 000 cuentas fraudulentas. La investigación publicada ahora amplía considerablemente la dimensión del problema.
Alibaba: 151 millones de intercambios con Claude
La campaña más importante recibe la denominación interna GTG-16005.
Anthropic la atribuye a operadores vinculados a Alibaba y su laboratorio Qwen/Tongyi y sostiene que su objetivo principal era capturar las capacidades de razonamiento de Claude Opus.
Entre mayo y julio de 2026, la compañía estadounidense contabilizó más de 151 millones de intercambios.
En los momentos de máxima actividad se habrían producido casi 3 millones de intercambios diarios.
Los operadores utilizaron miles de cuentas fraudulentas y orientaron las consultas hacia áreas especialmente valiosas para desarrollar modelos avanzados: programación, ingeniería de software, desarrollo de kernels, tareas agénticas y problemas de larga duración.
Según Anthropic, las transcripciones obtenidas terminaron convertidas en datos para supervised fine-tuning (SFT) y se utilizaron para trasladar capacidades de Claude a diferentes generaciones de Qwen.
La acusación va todavía más lejos.
Anthropic sostiene que Claude también fue utilizado para ayudar a desarrollar infraestructura interna de investigación de Alibaba, incluidos entornos de aprendizaje por refuerzo y trabajos sobre arquitectura de modelos.
Miles de cuentas para ocultar el acceso
La infraestructura descrita muestra por qué la protección de los grandes modelos de IA se está convirtiendo en un problema de seguridad industrial.
Anthropic asegura que Alibaba utilizó diferentes grupos de cuentas.
Uno de ellos llegó a reunir cerca de 5 000 cuentas fraudulentas, combinando proxies residenciales, correos electrónicos desechables y pagos mediante tarjetas virtuales para dificultar su identificación.
Cuando Anthropic bloqueó ese conjunto, el tráfico se desplazó hacia otra infraestructura.
La compañía sostiene además que algunas de esas cuentas también canalizaban solicitudes procedentes de DeepSeek y Xiaomi, lo que demostraría que determinados servicios proxy pueden ser utilizados simultáneamente por diferentes organizaciones.
Moonshot habría servido Claude a usuarios que creían utilizar Kimi
La acusación contra Moonshot AI, desarrolladora de Kimi, introduce un elemento todavía más delicado: la privacidad de los usuarios.
Anthropic afirma que Moonshot redirigió silenciosamente determinadas consultas de sus clientes hacia Claude, aunque esos usuarios pensaban estar interactuando con modelos de Kimi.
La campaña GTG-16002 habría generado más de 23 millones de intercambios entre mayo y julio de 2026.
Parte de esas conversaciones habría sido almacenada para obtener material destinado al entrenamiento de modelos de razonamiento.
Según Anthropic, entre la información reenviada aparecieron datos potencialmente sensibles de usuarios y organizaciones chinas.
El informe menciona, por ejemplo, a un ingeniero de una gran empresa estatal que introdujo código interno y credenciales activas, sin saber —según la investigación de Anthropic— que determinadas consultas estaban siendo canalizadas hacia Claude.
Si esta descripción es correcta, la controversia trasciende la propiedad intelectual: también plantea preguntas sobre qué ocurre con los datos introducidos por usuarios cuando un servicio de IA utiliza proveedores externos sin que esa intermediación resulte suficientemente transparente.
DeepSeek, acusada de una estrategia similar
DeepSeek aparece señalada por una operación denominada GTG-16001.
Anthropic afirma que la compañía utilizó una técnica similar a Moonshot para reenviar solicitudes hacia Claude y obtener trazas de razonamiento.
La investigación atribuye a DeepSeek más de 12,1 millones de intercambios en apenas 14 días de julio.
El objetivo habría sido acceder al razonamiento de los modelos Opus y utilizarlo posteriormente en sus propios procesos de desarrollo.
Anthropic sostiene que determinadas peticiones realizadas por clientes de DeepSeek mediante herramientas de programación de terceros fueron identificadas y redirigidas hacia Claude sin conocimiento o consentimiento de esos usuarios.
De nuevo, esta última afirmación procede de la investigación de Anthropic y debe presentarse como tal.
Z.ai habría utilizado más de 3,4 millones de intercambios
La cuarta operación relevante es GTG-16006, atribuida a Zhipu, conocida comercialmente fuera de China como Z.ai.
Anthropic calcula más de 3,4 millones de intercambios durante 17 días entre junio y julio.
La compañía sostiene que Z.ai creó un sistema destinado a extraer y posteriormente procesar razonamientos de Claude para mejorar sus modelos GLM.
Solo una parte del proceso de limpieza habría producido 770 609 intercambios en diez días, mientras los operadores rotaban a través de 273 cuentas fraudulentas para eludir restricciones.
Claude habría sido utilizado además para puntuar y filtrar datos de entrenamiento, normalizar transcripciones y generar tareas y soluciones destinadas al proceso de entrenamiento.
Xiaomi entra también en el informe de Anthropic
La operación GTG-16008 corresponde a Xiaomi.
Según Anthropic, la compañía china reprodujo en Claude conversaciones y sesiones de programación procedentes de usuarios de sus propios modelos MiMo.
La campaña habría superado las 400 000 solicitudes, distribuidas mediante más de 1 500 cuentas y diferentes servicios proxy.
En este caso, Anthropic señala que su investigación no indica que Xiaomi sirviera directamente las respuestas de Claude a sus clientes, como supuestamente habría ocurrido en otros casos.
Su hipótesis es diferente: las conversaciones se habrían utilizado para generar material de entrenamiento destinado tanto a ajuste supervisado como a aprendizaje por refuerzo.
SenseTime y MiniMax revelan un mercado secundario de conversaciones
Los casos de SenseTime y MiniMax apuntan hacia otro problema: la aparición de intermediarios dedicados a proporcionar acceso indirecto a los principales modelos estadounidenses.
Anthropic afirma que SenseTime obtuvo transcripciones de conversaciones con Claude adquiridas a proveedores externos de datos.
Esas conversaciones procederían de usuarios que habían accedido al modelo mediante aplicaciones o servicios intermediarios capaces de registrar las interacciones.
MiniMax, por su parte, habría creado su propia red proxy mediante una sociedad instrumental que ofrecía acceso a modelos desarrollados por Anthropic y OpenAI.
La conclusión de Anthropic es especialmente preocupante para la industria: alrededor de los modelos estadounidenses estaría apareciendo un mercado secundario donde intermediarios no solo venden acceso, sino potencialmente también conversaciones recopiladas de usuarios.
El verdadero tesoro es el razonamiento de los modelos
Las cifras impresionan, pero el aspecto estratégico está en qué intentaban obtener estos operadores.
No buscaban únicamente respuestas genéricas.
Anthropic sostiene que varias campañas estaban específicamente diseñadas para capturar capacidades de razonamiento, programación, utilización de herramientas y comportamiento agéntico.
Estos son precisamente algunos de los componentes que más inversión requieren para desarrollar modelos de frontera competitivos.
La destilación permite utilizar un sistema más avanzado como profesor y transferir parte de su comportamiento a otro modelo.
Anthropic advirtió recientemente que este procedimiento puede permitir que desarrolladores chinos reduzcan parte de la distancia tecnológica respecto a la frontera estadounidense utilizando muchos menos recursos computacionales que entrenando todas las capacidades desde cero.
La guerra tecnológica entre Estados Unidos y China cambia de terreno
El informe llega en plena competición tecnológica entre Estados Unidos y China.
Washington ha intentado limitar mediante controles de exportación el acceso chino a los chips más avanzados utilizados para entrenar grandes modelos.
Pero restringir semiconductores no resuelve completamente el problema si las capacidades desarrolladas mediante enormes inversiones estadounidenses pueden transferirse parcialmente mediante millones de consultas a los propios modelos.
Ese es el argumento estratégico de Anthropic.
La compañía ha defendido públicamente tanto controles estrictos sobre chips avanzados como medidas específicas contra las operaciones de destilación industrial.
No obstante, conviene separar dos planos: que las compañías señaladas tengan sede en China no demuestra que estas operaciones hayan sido dirigidas por Pekín. El informe atribuye campañas a laboratorios y operadores concretos; no acredita por sí solo una orden del Gobierno chino.
Anthropic endurece las defensas de Claude
La compañía asegura estar introduciendo cambios técnicos para reducir el valor de este tipo de extracción.
Entre las medidas figura limitar la exposición del razonamiento interno de Claude y endurecer las posibilidades de manipular el contexto utilizado por los modelos.
También bloquea cuentas vinculadas a regiones donde Claude no está oficialmente disponible cuando no superan los controles de identidad y persigue las redes de revendedores utilizadas para sortear esas restricciones.
China figura entre las jurisdicciones no admitidas directamente por Anthropic. La empresa reforzó además sus restricciones para impedir el acceso de determinadas organizaciones controladas desde países no compatibles aunque operen formalmente desde otras jurisdicciones.
La IA abre una nueva batalla por el espionaje industrial digital
El informe de Anthropic muestra que la carrera por la inteligencia artificial ya no consiste únicamente en comprar GPU, contratar investigadores y construir centros de datos.
El propio acceso a los modelos rivales se ha convertido en un recurso estratégico.
Si las conclusiones de Anthropic son correctas, algunas compañías están intentando convertir millones de interacciones con Claude en una vía rápida para adquirir capacidades que sus competidores han necesitado enormes cantidades de capital y computación para desarrollar.
El caso de Alibaba —151 millones de intercambios atribuidos en apenas tres meses— muestra la escala que puede alcanzar esta nueva competición.
Pero existe un segundo frente posiblemente todavía más delicado: los datos de los usuarios. Las acusaciones sobre redirección silenciosa de conversaciones y compra de transcripciones a intermediarios plantean interrogantes sobre privacidad, confidencialidad empresarial y control efectivo de la información enviada a servicios de IA.
Anthropic presenta sus conclusiones como una operación de defensa frente a la destilación ilícita de Claude. Las compañías señaladas deberán poder responder a unas acusaciones que, por su escala, tienen implicaciones comerciales y geopolíticas.
Lo que ya parece evidente es que la carrera entre Estados Unidos y China por dominar la IA de frontera está entrando en una nueva fase: ya no basta con proteger los chips y los centros de datos; también hay que proteger las capacidades que los propios modelos revelan cada vez que responden.
