Menos material para copiar, según la empresa
Anthropic anunció el 12 de octubre que sus nuevas defensas contra la destilación no autorizada de Claude redujeron aproximadamente entre un 90% y un 99% los datos recogidos por atacantes. Habla de indicios preliminares, no de una garantía de que todo intento fracasará. El objetivo son los datos de razonamiento, que pueden servir para entrenar otro modelo que imite sus capacidades, no solo la respuesta final visible.
La destilación transmite capacidades entre modelos mediante sus resultados. La técnica no equivale por sí misma a un ataque: importan la autorización, las condiciones de uso y la forma de acceso. Anthropic aborda campañas sistemáticas no autorizadas. Para quien no programa, la diferencia es sencilla: utilizar una respuesta para trabajar y utilizar el servicio para copiar sus capacidades a escala industrial no son necesariamente la misma actividad ni tienen las mismas condiciones.
La diferencia entre respuesta y razonamiento explica el enfoque. La documentación de Claude dice que el texto de un bloque de pensamiento es un resumen, no la transcripción interna completa. Un campo con apariencia de explicación no revela todo lo que precedió a la respuesta. Se puede pedir una explicación breve, pruebas o un resumen de acciones sin exigir reconstruir íntegramente el razonamiento protegido.
Anthropic combina restricciones al traslado del razonamiento, clasificadores de intentos de extracción y límites a cuentas persistentes. Declara una tasa de falsos positivos inferior al 0.1%, también medida por la empresa. Eso no implica que nunca se bloquee una petición inocua ni que una aplicación con otras tareas y formulaciones experimente exactamente esa tasa.
Cambiar el historial puede alterar el resultado
Un componente es preserved thinking, ya existente para determinados modelos y cuentas. El centro de ayuda de Claude lo aplica a cuentas API creadas desde el 31 de agosto de 2026 que utilicen Claude Fable 5.1, Claude Opus 5.5, Claude Sonnet 5.5 o Claude Haiku 5.5. La publicación explica las defensas; no relanza esos modelos ni anuncia un cambio simultáneo para todas las cuentas anteriores.
El mecanismo comprueba que un bloque de pensamiento vuelva con el contexto que lo generó: mensajes, instrucciones del sistema y herramientas. Modificarlo puede provocar un error. En el modo no estricto documentado, la solicitud puede continuar tras eliminar los bloques afectados. Seguir con el material previo y hacerlo sin parte de él son situaciones distintas, aunque la conversación visible parezca similar.
Una integración que acorte el historial, cambie herramientas durante la conversación o inserte instrucciones en mensajes anteriores puede necesitar ajustes. Anthropic documenta opciones de compactación y cambio de herramientas que evitan editar el pasado de esa forma. No debe asumirse que están disponibles en todas las plataformas y modos: la implementación debe seguir la documentación del entorno concreto.
Según el centro de ayuda, los usuarios de Claude.ai, Claude Code y Claude Cowork no tienen que gestionar esos bloques. El trabajo afecta principalmente a quienes mantienen una integración propia. Una prueba de una sola pregunta no basta: conviene probar conversaciones, uso de herramientas y compactación, porque el fallo puede aparecer tras un cambio intermedio y no en la primera solicitud.
Un rechazo no siempre es un error ni es gratuito
La documentación API explica que el rechazo de un clasificador puede llegar como respuesta HTTP normal, con un motivo de parada de rechazo. Es diferente de un error de validación del contexto. La aplicación debe distinguirlos para explicar y gestionar el resultado. Un rechazo no demuestra un uso indebido ni debe tratarse automáticamente como un fallo de red que se resuelve reintentando sin criterio.
También afecta al presupuesto. Anthropic indica que el 24 de septiembre reanudó el cobro de solicitudes bloqueadas antes de generar contenido en ciertas categorías, incluida la extracción de razonamiento. Es una política existente, no una nueva tarifa del 12 de octubre. La documentación distingue categorías y bloqueos anteriores o posteriores a una salida parcial; no todos los rechazos son gratuitos ni se facturan igual.
Operativamente, conviene medir por separado respuestas correctas, rechazos y errores de integración, y revisar el uso declarado antes de fijar reintentos. Una petición legítima bloqueada repetidamente necesita diagnóstico, no solo más intentos. El identificador de solicitud puede ayudar al soporte. La interfaz puede explicar con claridad qué funcionó y qué requiere atención sin mostrar detalles internos innecesarios.
El significado de menos del 0.1% también depende de la pregunta. Una tasa agregada no garantiza igual experiencia en todos los idiomas y ámbitos. El equipo de producto debería probar solicitudes representativas y comprobar si los usuarios alcanzan su objetivo. Es una recomendación práctica, no la afirmación de que la empresa haya demostrado calidad uniforme en toda aplicación y población.
El éxito inicial no termina la disputa
Anthropic reconoce que no sabe cuánto durarán las mejoras y espera nuevos intentos de elusión. También dice que aún no ha visto un ataque especialmente sofisticado y persistente contra el conjunto de defensas. La reducción es, por tanto, la evaluación de la empresa sobre su sistema, no una prueba independiente de solución permanente o protección equivalente de todos los modelos.
El caso distingue proteger capacidades de prometer seguridad general al usuario. Menos extracción no demuestra que toda respuesta sea correcta, todo agente predecible o todos los datos empresariales cumplan los requisitos de la organización. Cada cuestión exige su evaluación. Agruparlas bajo «seguridad» puede dar más confianza de la que permiten estas cifras y conducir a controles mal elegidos.
En Israel, la consecuencia directa también afecta al diseño de integraciones, no a nueva disponibilidad ni a un compromiso sobre la calidad del hebreo. Los equipos que trabajen en hebreo deben probar sus propias solicitudes y procesos en ese idioma. Un porcentaje alto no obliga por sí solo a cambiar un proceso: hay que determinar si el mecanismo afecta a la cuenta y al modelo y cómo encaja en el sistema existente.
La novedad es que protegerse frente a la copia de capacidades influye cada vez más en cómo se conservan, comprueban y facturan las conversaciones de IA. Para el usuario puede quedar entre bastidores; para el desarrollador ya es comportamiento del producto. La medida final no es solo cuántos datos se bloquearon, sino si el usuario autorizado puede trabajar de forma constante, comprensible y con un coste previsible.