Agencias de inteligencia y ciberseguridad de EE. UU. acusan a empresas chinas de extraer sistemáticamente capacidades de modelos de IA estadounidenses mediante ataques de destilación a escala industrial. Estas firmas utilizan métodos fraudulentos y cuentas premium para reducir costos y tiempos de desarrollo, violando los términos de uso. Para combatir esto, se recomienda a las empresas de IA implementar medidas de detección avanzadas y coordinar la mitigación de estas campañas.

 Las agencias de inteligencia y ciberseguridad de EE. UU. han acusado a empresas de inteligencia artificial (IA) basadas en China de llevar a cabo una "extracción sistemática" de funcionalidades y capacidades patentadas de los modelos frontera estadounidenses a través de ataques de destilación.

La actividad ha sido descrita como ocurrida a escala industrial y como el "núcleo" de su estrategia de desarrollo de IA, según un boletín publicado por la Agencia de Seguridad Nacional (NSA), la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) y la Oficina Federal de Investigación (FBI).

"Si bien la 'destilación' se reconoce como una técnica legítima y útil en la investigación de IA, las empresas de IA basadas en China están participando en actividades de destilación agresivas, maliciosas y dirigidas a escala industrial que extraen funcionalidades y capacidades patentadas restringidas de los modelos de IA frontera de EE. UU.", afirmaron las agencias autoras en su aviso.

El aviso conjunto señaló que firmas de IA chinas como DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun y Z.AI han extraído miles de millones de tokens a través de millones de intercambios/solicitudes de modelos de IA frontera de EE. UU., incluyendo variantes de Anthropic Claude, OpenAI GPT, Google Gemini y SpaceXAI Grok, desde al menos finales de 2024, probablemente con la bendición del gobierno chino.

"Las empresas de IA basadas en China logran ahorros de costos para sus campañas de destilación a escala industrial mediante la adquisición masiva de suscripciones premium de las empresas de IA de EE. UU. compartidas entre equipos de desarrolladores", señalaron las agencias.

"Las táctácticas avanzadas de destilación a escala industrial incluyen la extracción de razonamiento de cadena de pensamiento (CoT), la conmutación por error automatizada entre rutas durante los intentos de bloqueo y marcos de evaluación de calidad sofisticados para detectar contramedidas defensivas. Las empresas de IA basadas en China que realizan destilaciones a escala industrial contra los modelos de IA de EE. UU. ven plazos de desarrollo de IA significativamente más cortos y menores gastos financieros en el entrenamiento de un modelo frontera".

Algunas de las alegaciones específicas

Algunas de las alegaciones específicas presentadas por la NSA, CISA y el FBI son las siguientes:

* DeepSeek, que llevó a cabo campañas organizadas entre finales de 2024 y mediados de 2025 dirigidas a capacidades de razonamiento, optimizaciones especializadas y funciones específicas de dominio para entrenar sus modelos R1 y V3
* Moonshot AI, que extrajo datos significativos de Claude Fable 5 para entrenar su modelo Kimi-K3 y datos de GPT-4o para entrenar su modelo Kimi-K2
* Alibaba, que destiló Claude-4, Claude Opus, Claude Sonnet y GPT-5 para mejorar las habilidades de ingeniería de software de sus modelos de IA, la funcionalidad de diálogo de servicio al cliente, la creación de imágenes/personajes y la integración de capacidades de RL, SFT y destilación a finales de 2025
* MiniMax, que destiló el razonamiento CoT, RL, SFT y capacidades de ingeniería de software para mejorar su modelo M2 a partir de Claude Code, Claude Sonnet 4, Claude Opus, Gemini 1, Gemini 2.5 Pro y Gemini 3 Pro a finales de 2025
* StepFun, que destiló datos de Claude Opus 4.1 y 4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT-5 Mini, GPT-5 Pro, GPT-5.1, GPT-5.1 Codex y GPT-5.2 entre finales de 2025 y principios de 2026 para mejorar las funciones de codificación y agentes de su modelo Step 4
* Z.AI, que destiló miles de millones de tokens de datos de GPT-5.5 y datos de Claude Opus 4.8 para desarrollar capacidades de razonamiento CoT de su modelo a mediados de 2025

Estas solicitudes de destilación se enrutan a través de varios métodos para obtener acceso no autorizado a los modelos de EE. UU., violando sus términos de uso. Estos incluyen interfaces de programación de aplicaciones (API), proveedores de nube remotos y agregadores de terceros que ofuscan los metadatos del usuario para evitar la detección.

Cabe destacar que los modelos frontera de EE. UU. están oficialmente restringidos y no se ofrecen en China. Esto ha obligado a los desarrolladores chinos a depender de sistemas nacionales o métodos de acceso alternativos como redes privadas virtuales, cuentas ofuscadas y agentes automatizados para eludir estos controles geográficos.

Los esfuerzos se complementan con un mercado gris de proxies que sirven como estaciones de relevo o transferencia para obtener acceso ilícito a través de servidores alojados fuera de China continental. Dichos servicios se han comercializado en los mercados en línea chinos Taobao y Xianyu.

Además, las empresas de IA basadas en China toman deliberadamente medidas para distribuir estas operaciones entre múltiples proveedores y plataformas para pasar desapercibidas, centrándose en destilar las mejores capacidades y características patentadas de cada modelo frontera de EE. UU. para entrenar sus propios modelos.

Para contrarrestar esta amenaza, las agencias han recomendado que las empresas de IA de EE. UU. implementen medidas integrales de detección y mitigación, alteren sutilmente las respuestas ante sospechas de intentos de destilación maliciosa y correlacionen la actividad entre proveedores de modelos, plataformas de nube y agregadores de API para revelar campañas distribuidas.

Esta no es la primera vez que se señala a las firmas chinas por participar en ataques de destilación ilegales. A principios de este febrero, Anthropic afirmó que identificó campañas a escala industrial realizadas por DeepSeek, Moonshot AI y MiniMax para extraer ilícitamente las capacidades de Claude y mejorar sus propios modelos.

Tan recientemente como esta semana, el Grupo de Inteligencia de Amenazas de Google dijo que ha observado un aumento en las campañas de destilación dirigidas a los modelos de IA de Google, algunas de las cuales han superado los 100 millones de prompts y se han centrado en la comprensión visual y auditiva, la generación de imágenes y la generación de vídeo.

"Los atacantes despliegan infraestructura de proxy para orquestar ataques automatizados a gran escala, rotando consultas a través de miles de credenciales comprometidas y cuentas fraudulentas en diferentes canales de productos para ocultar su origen y eludir los controles de seguridad estándar", afirmó Google.

Ismael Valenzuela, vicepresidente de Labs, Investigación de Amenazas e Inteligencia en Arctic Wolf, señaló que el boletín de seguridad debe interpretarse como un abuso de acceso legítimo, subrayando la necesidad de una respuesta coordinada contra adversarios sofisticados y con abundantes recursos.

"Si bien la destilación no es nada fuera de lo común en un entorno de investigación, la advertencia establece que las empresas infractoras están distribuyendo deliberadamente las operaciones a través del vasto ecosistema global de IA, similar a las tácticas de evasión que los equipos de seguridad han visto en adversarios que participan en el relleno de credenciales distribuidas o el fraude de pagos", dijo Valenzuela.

"Cuando los adversarios pueden replicar el razonamiento avanzado y los comportamientos de agente de los modelos de las empresas de IA de EE. UU. sin respetar las leyes y regulaciones que vinculan a esas empresas, los defensores tendrán dificultades para distinguir su actividad de las plataformas legítimas, dejando la puerta abierta para operaciones cibernéticas ofensivas, campañas de influencia o herramientas autónomas que pueden pasar desapercibidas".

"Las empresas que no están asociadas directamente con modelos de IA frontera pueden verse tentadas a ignorar estas campañas por considerarlas irrelevantes al ser un problema de seguridad nacional, pero la exposición del acceso al modelo a clientes o socios convierte a las claves API y las cuentas de servicio en objetivos valiosos, haciendo que el abuso del acceso a esos modelos parezca legítimo", añadió Valenzuela.

Fuente:
THN