Edición en Markdown

AI-translated from English; not yet reviewed by a fluent editor.

# Anthropic afirma que las nuevas defensas de Claude reducen entre un 90% y un 99% la extracción de razonamiento

> Anthropic informa que los presuntos destiladores extraen entre un 90% y un 99% menos razonamiento de Claude en su plataforma. Las defensas también cambian la integración con la API y el cobro de solicitudes bloqueadas.

By BIG CHANGE Editorial

Published: 2026-10-13T08:42:18.603Z
Updated: 2026-10-13T08:42:18.603Z
Canonical: https://bigchange.ai/blog/anthropic-claude-distillation-defenses-reasoning

![Conceptual charcoal illustration of an unbranded desktop monitor seen from the side with a dark privacy filter attached over its blank screen.](https://bigchange.ai/api/media/file/anthropic-preserved-reasoning-hero-v1.png)
AI-generated conceptual illustration by BIG CHANGE. No Anthropic device, software interface, attack or test result is depicted.

Anthropic afirma que los cambios en Claude han reducido drásticamente la cantidad de razonamiento protegido que pueden extraer quienes presuntamente destilan modelos. En un [recuento del 12 de octubre sobre sus defensas](https://www.anthropic.com/research/distillation-defenses), la empresa calcula que, tras introducir un nuevo clasificador, los tokens de razonamiento obtenidos por destiladores en su propia plataforma cayeron entre 10 y 100 veces. La medición se basa en el tráfico y la identificación de ataques de Anthropic; la empresa no ha publicado una evaluación independiente de la reducción total.

## El gran cambio

- **Qué cambió:** Anthropic combina ahora controles sobre dónde se puede reutilizar un bloque de razonamiento de Claude, un clasificador que bloquea los intentos de exponer razonamiento oculto y límites para las cuentas que siguen intentándolo. Su estimación interna muestra que llega mucho menos razonamiento a los destiladores identificados a través de su plataforma.
- **Por qué importa:** Las transcripciones completas de razonamiento pueden servir como material de entrenamiento para copiar el comportamiento de un modelo. Restringir esa fuente aumenta el trabajo necesario para extraerla sin autorización, mientras que los desarrolladores de API deben conservar algunos historiales de conversación y podrían pagar por ciertas solicitudes bloqueadas.
- **Qué observar:** La duración de la reducción depende de los próximos métodos de los atacantes y del tráfico fuera de la plataforma directa de Anthropic. La empresa dice que aún no ha visto un intento muy sofisticado y persistente contra las nuevas defensas, y espera seguir cambiándolas.

## Tres controles para distintas vías de extracción

La destilación de modelos permite entrenar un sistema más pequeño con respuestas de otro más capaz. La preocupación de Anthropic aquí es la recopilación no autorizada del razonamiento completo y oculto de Claude, que, según la empresa, resulta más útil para quien intenta copiarlo que el texto de las respuestas por sí solo. Antes, Anthropic resumía el razonamiento antes de mostrárselo a los usuarios. En una prueba de programación realizada por la empresa, un modelo entrenado con transcripciones completas de Claude Opus 4.8 obtuvo un 80,4% en SWE-bench Verified, frente al 71,8% con transcripciones resumidas. El experimento respalda el valor de las trazas más completas en esa configuración; no mide cuánto mejoró un modelo externo concreto.

El primer control nuevo limita el movimiento de los bloques de razonamiento. Anthropic dice que los atacantes intentaron mover bloques entre conversaciones, modelos y cuentas para que Claude revelara texto protegido. Con Claude Fable 5.1 y Opus 5.5, “preserved thinking” vincula un bloque al contexto de la conversación anterior en las nuevas cuentas de API. Anthropic también restringe qué modelos pueden leer bloques de otros modelos y vincula el razonamiento de Sonnet 5.5 con la organización que lo produjo.

La [documentación actual de la API de Claude](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking) concreta la consecuencia para la integración: una solicitud de API que devuelve un bloque de pensamiento anterior debe conservar el mensaje del sistema, las herramientas y los mensajes precedentes pertinentes. Para las cuentas creadas el 31 de agosto de 2026 o después, la comprobación del prefijo se aplica de forma predeterminada. Las aplicaciones que reescriben el contexto anterior o reconstruyen una conversación guardada quizá deban cambiar la forma de reproducirla. La documentación dice que no hace falta modificar los historiales ordinarios a los que solo se agregan mensajes.

El segundo control de Anthropic es un clasificador de dos etapas, entrenado y probado frente a intentos de extraer razonamiento oculto. La empresa dice que funciona en sus modelos más capaces de disponibilidad general, incluidos Sonnet 5.5, Opus 5 y 5.5, y Fable 5 y 5.1. Informa de una tasa de falsos positivos inferior al 0,1% para estas salvaguardas. También afirma que corrigió técnicas como pedir el razonamiento previo en otro idioma o dentro de etiquetas de salida. La publicación no ofrece una prueba independiente de esa tasa ni demuestra que se bloquearán todos los métodos de extracción futuros.

El tercer control actúa en el nivel de la cuenta. Anthropic afirma que los intentos repetidos de extracción pueden activar límites de uso más estrictos o prohibiciones. Desde el 24 de septiembre, también ha vuelto a cobrar por solicitudes bloqueadas antes de que Claude responda en determinadas categorías con baja tasa de falsos positivos, incluida la destilación. Por ello, los usuarios legítimos pueden sufrir tanto un bloqueo equivocado como un cargo; Anthropic reconoce además que el pensamiento preservado ha obligado a algunos desarrolladores a actualizar sus integraciones.

## Qué mide la reducción comunicada

Anthropic calcula la cantidad de tokens de razonamiento de Claude que extraen los destiladores **en su propia plataforma**. Tras introducir el clasificador, afirma que la cifra se mantuvo entre 10 y 100 veces por debajo de la anterior y que el clasificador detecta las técnicas descritas en su informe de septiembre contra sus modelos de disponibilidad general más potentes. La estimación depende de la capacidad de Anthropic para identificar el tráfico de destilación y no puede medir por sí sola la extracción a través de otros proveedores ni métodos de ataque que no haya reconocido.

La empresa dice que ha prohibido decenas de miles de cuentas asociadas con la destilación, a menudo en las dos horas posteriores al inicio de una campaña. También afirma que los destiladores encauzan tráfico mediante plataformas de nube de terceros y otros proveedores de inferencia. Esas afirmaciones hacen relevante el límite de la plataforma: la caída de tokens extraídos observada por Anthropic demuestra un cambio en el tráfico que puede medir, no el total de datos de entrenamiento no autorizados recopilados de Claude en todas partes.

Anthropic afirma que aún no ha observado un esfuerzo muy sofisticado y persistente para eludir las defensas actuales. Esa salvedad importa más que una afirmación de éxito que parezca permanente. La empresa ha documentado una reducción interna sustancial y un enfoque operativo para proteger el razonamiento del modelo; los resultados futuros dependerán de cómo se adapten los atacantes y de si otras vías de acceso detectan el mismo comportamiento.

## Fuentes y lecturas complementarias

- [Anthropic, “Reforzamos nuestras defensas contra los ataques de destilación”](https://www.anthropic.com/research/distillation-defenses), 12 de octubre de 2026. El relato principal de la empresa describe los controles, la estimación interna de extracción, la afirmación sobre falsos positivos y las contrapartidas para los usuarios. Esta medición de la plataforma no se ha replicado de forma independiente para este artículo.
- [Claude Platform, “Preserved thinking”](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking), consultado el 13 de octubre de 2026. La documentación actual de la API especifica las reglas de bloques y prefijos, las fechas de las cuentas afectadas y los patrones de integración que quizá deban cambiar. Revisamos la documentación; BIG CHANGE no realizó solicitudes a la API.
- [Anthropic, informe de inteligencia de amenazas de septiembre de 2026](https://www.anthropic.com/threat-intelligence-report-september-2026), septiembre de 2026. El informe anterior de la empresa aporta contexto sobre los métodos de extracción a los que Anthropic dice haber respondido; es el relato de la propia empresa sobre esas campañas.

## Sources

- [Anthropic, Reforzamos nuestras defensas contra los ataques de destilación](https://www.anthropic.com/research/distillation-defenses) — Relato principal de la empresa sobre controles, mediciones internas y contrapartidas reconocidas; las estimaciones se atribuyen y no se verifican de forma independiente.
- [Claude Platform, Preserved thinking](https://platform.claude.com/docs/en/build-with-claude/preserved-thinking) — Documentación actual de primera parte sobre la vinculación de bloques, las comprobaciones de prefijo y los cambios de integración; BIG CHANGE no realizó ninguna solicitud a la API.
- [Anthropic, informe de inteligencia de amenazas de septiembre de 2026](https://www.anthropic.com/threat-intelligence-report-september-2026) — Relato anterior de primera parte sobre los métodos; aporta contexto, no una corroboración independiente de los resultados de octubre.