La compañía detectó 16 000 solicitudes sospechosas en solo dos días y atribuye el núcleo de la operación a personas vinculadas con Moonshot AI, la empresa china responsable de Kimi.
OpenAI desarticula una campaña de extracción de razonamiento
OpenAI ha anunciado que logró interrumpir una campaña coordinada que pretendía extraer el razonamiento protegido de sus modelos de inteligencia artificial. La compañía atribuye el núcleo de la actividad a personas vinculadas con Moonshot AI, una empresa tecnológica china con sede en Pekín y desarrolladora de los modelos Kimi.
La operación comenzó el 1 de julio de 2026 y alcanzó su mayor intensidad los días 24 y 25 de ese mes, cuando OpenAI detectó 16 000 solicitudes de extracción procedentes de más de 4 000 usuarios. Tras ampliar la investigación, la compañía identificó patrones relacionados con la campaña en más de 15 000 usuarios.
OpenAI asegura que consiguió desarticular por completo la actividad el 28 de julio y que posteriormente reforzó sus mecanismos de protección para impedir que se repitieran técnicas similares.
La empresa sostiene que los responsables no vulneraron su cifrado ni accedieron directamente a sus bases de datos o a las conversaciones almacenadas de los usuarios. En su lugar, manipularon las interacciones con los modelos para intentar obtener información interna que no debería aparecer en las respuestas visibles.
La atribución a personas relacionadas con Moonshot AI procede de la investigación de OpenAI. La compañía no ha publicado pruebas técnicas detalladas que permitan verificar de forma independiente esa vinculación.
Qué es la extracción adversaria de modelos de inteligencia artificial
OpenAI describe la actividad como destilación adversaria, una técnica que consiste en utilizar de manera sistemática y no autorizada las respuestas o el razonamiento de un modelo para entrenar, reproducir o mejorar otro.
La destilación puede utilizarse legítimamente en el desarrollo de inteligencia artificial. Sin embargo, se convierte en una práctica problemática cuando se obtienen resultados protegidos sin autorización para aprovechar las capacidades de otro sistema.
En este caso, el objetivo habría sido acceder al razonamiento interno de los modelos de OpenAI. Esa información puede revelar cómo procesa una tarea un sistema avanzado y proporcionar datos útiles para reproducir parte de sus capacidades.
La compañía considera que la extracción de estos contenidos supone un riesgo tanto para su propiedad intelectual como para la seguridad de sus modelos.
16 000 solicitudes en dos días y más de 15 000 usuarios investigados
La campaña comenzó con un volumen reducido de actividad, pero experimentó un aumento significativo a finales de julio.
Según los datos publicados por OpenAI, los investigadores observaron los siguientes hitos:
- 1 de julio de 2026: comienzo de la actividad sospechosa.
- 24 y 25 de julio: pico de 16 000 solicitudes que seguían un patrón de extracción, procedentes de más de 4 000 usuarios.
- Investigación ampliada: identificación de actividad relacionada con patrones similares en más de 15 000 usuarios.
- 28 de julio: interrupción de la campaña, según la compañía.
Estas cifras corresponden a intentos de extracción y no demuestran que todas las solicitudes consiguieran obtener información protegida. OpenAI tampoco ha detallado públicamente qué proporción de los intentos tuvo éxito.
La diferencia es importante: detectar una solicitud diseñada para extraer información no significa necesariamente que el atacante haya conseguido recuperar el contenido que buscaba.
Cómo intentaron obtener el razonamiento protegido
La campaña no se basó, según OpenAI, en romper el cifrado de sus sistemas ni en acceder a conversaciones almacenadas. Los operadores habrían manipulado las interacciones con los modelos para conseguir que información protegida apareciera en formatos visibles.
Una de las técnicas identificadas consistía en copiar un bloque de razonamiento cifrado de una conversación y utilizarlo en otra, solicitando a un modelo que lo descifrara y reprodujera su contenido en texto.
Esta estrategia aprovechaba una vía que permitía reutilizar determinados bloques de razonamiento cifrado. La compañía afirma que los atacantes podían intentar recuperar información que no estaba destinada a mostrarse al usuario.
OpenAI asegura que ha cerrado esa vía y ha incorporado comprobaciones adicionales para detectar y retener respuestas en streaming que puedan exponer razonamiento protegido.
La empresa también bloqueó las cuentas que identificó como fraudulentas y desplegó nuevas medidas de mitigación.
OpenAI refuerza la protección de sus modelos
Tras detectar la campaña, OpenAI adoptó medidas para dificultar la extracción de información interna y evitar que los mismos patrones pudieran utilizarse de nuevo.
Entre las actuaciones comunicadas por la compañía figuran:
- Bloqueo de cuentas relacionadas con la actividad sospechosa.
- Cierre de una vía de reproducción que permitía intentar recuperar razonamiento cifrado de otras conversaciones.
- Nuevas comprobaciones para identificar respuestas que pudieran exponer información protegida.
- Colaboración con otras empresas e investigadores para mejorar las defensas frente a campañas similares.
OpenAI también ha compartido información sobre el incidente con socios del sector a través del Frontier Model Forum, una iniciativa de colaboración entre desarrolladores de modelos avanzados.
La compañía sostiene que el método detectado no constituye una vulnerabilidad exclusiva de sus sistemas. Por ello, considera necesario que otros proveedores también refuercen sus mecanismos de protección.
Una investigación académica alertó de riesgos similares
El incidente se produce después de que un estudio publicado en agosto de 2026 analizara una vulnerabilidad arquitectónica relacionada con el razonamiento cifrado de modelos de inteligencia artificial.
Los investigadores, vinculados a MATS Research, ELLIS Institute Tübingen y Synk, estudiaron sistemas de Anthropic, Google y OpenAI. Según sus conclusiones, determinados rastros de razonamiento cifrado podían ser compatibles e intercambiables entre sesiones, usuarios y modelos de un mismo proveedor.
El trabajo describió una técnica mediante la cual un atacante podía introducir un bloque de razonamiento cifrado en un modelo menos protegido y conseguir que este lo reprodujera en texto legible.
Este procedimiento podría facilitar la extracción de información a gran escala y permitir que se eludieran algunas medidas diseñadas para proteger el razonamiento interno.
Los investigadores también advirtieron de otros riesgos, como la posibilidad de ocultar instrucciones maliciosas dentro de bloques cifrados o de exponer información peligrosa que no aparece en la respuesta final del modelo.
El estudio no demuestra que todos esos escenarios se hayan producido durante la campaña detectada por OpenAI. Sí describe problemas técnicos relacionados con la protección y reutilización de los rastros de razonamiento.
Por qué el razonamiento interno es un activo estratégico
Los modelos avanzados de inteligencia artificial pueden generar respuestas a partir de procesos internos complejos. En algunos sistemas, parte de ese proceso se mantiene protegida para evitar que se exponga directamente al usuario.
La extracción de ese razonamiento puede proporcionar información valiosa sobre cómo funciona un modelo y cómo aborda determinadas tareas.
Para una empresa que desarrolla inteligencia artificial, esa información representa una ventaja tecnológica. Obtenerla sin autorización podría ayudar a otros desarrolladores a reproducir capacidades sin asumir los mismos costes de investigación y entrenamiento.
OpenAI advierte de que la destilación adversaria también puede tener consecuencias para la seguridad. Si un modelo alternativo se entrena con razonamientos extraídos de otro sistema, podría no conservar las mismas salvaguardas aplicadas a las respuestas visibles del modelo original.
La preocupación aumenta, según la compañía, a medida que los modelos adquieren capacidades que pueden utilizarse tanto con fines legítimos como perjudiciales.
Moonshot AI ya había sido señalada por Anthropic
La acusación de OpenAI no es el primer episodio en el que Moonshot AI aparece relacionada con prácticas de extracción de información de modelos rivales.
En septiembre de 2026, Anthropic acusó a la empresa china de enviar de forma encubierta solicitudes de sus clientes a Claude, en lugar de procesarlas con su propio modelo Kimi. Según esa denuncia, Moonshot habría mostrado después a sus usuarios las respuestas generadas por Claude.
Anthropic también sostuvo que una parte de esas interacciones se habría conservado para entrenar su modelo de razonamiento, conocido como chain of thought o cadena de pensamiento.
La actividad fue identificada con el nombre GTG-16002.
Estas acusaciones son distintas de la campaña detectada por OpenAI y deben tratarse como investigaciones separadas. En ambos casos, las empresas afectadas sostienen que se habría utilizado información generada por sus modelos para desarrollar o mejorar sistemas de terceros.
La seguridad de la inteligencia artificial, un desafío para todo el sector
La campaña revela que proteger un modelo de inteligencia artificial no consiste únicamente en impedir accesos no autorizados a sus servidores o bases de datos. También es necesario controlar cómo se utilizan sus respuestas y qué información puede recuperarse mediante interacciones repetidas.
La destilación es una técnica habitual en el desarrollo de modelos, pero el acceso no autorizado a información protegida plantea problemas de propiedad intelectual y seguridad.
El caso también evidencia la importancia de proteger los datos internos que acompañan a las respuestas de los modelos. Aunque una conversación no haya sido robada directamente, una manipulación de las interacciones podría permitir que parte de su información protegida terminara expuesta.
OpenAI afirma que la campaña quedó interrumpida en julio y que ha reforzado sus defensas. Sin embargo, la compañía no ha publicado todos los detalles técnicos de la investigación ni ha cuantificado cuánta información consiguió extraer el grupo.
La investigación deja una cuestión abierta para el conjunto de la industria: cómo impedir que las capacidades de los modelos más avanzados puedan reproducirse mediante la extracción no autorizada de sus resultados y razonamientos protegidos.
Ahora mismo no se pueden mostrar productos de esta tienda.