La Agencia de Seguridad Nacional, la Agencia de Seguridad de Infraestructura y Ciberseguridad y la Oficina Federal de Investigación de Estados Unidos publicaron el 8 de septiembre de 2026 un aviso conjunto sobre lo que describen como campañas de destilación de conocimiento a escala industrial contra proveedores estadounidenses de modelos de IA de frontera. Las agencias acusan a seis empresas de IA con sede en China de usar cuentas distribuidas, rutas en la nube, agregadores de API y servicios proxy para recopilar salidas de modelos destinadas al entrenamiento.
La acusación es una evaluación gubernamental, no una decisión judicial. El valor operativo del aviso está en su guía de detección y mitigación. Trata la extracción de modelos como un problema de seguridad coordinado que no se puede resolver con un único límite de velocidad o un recordatorio de las condiciones de uso.
Lo que alega el aviso
Las agencias nombran a DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun y Z.AI. Afirman que extrajeron miles de millones de tokens desde finales de 2024, dirigidos al razonamiento, la ingeniería de software, las funciones de agente y el uso de ordenadores.
El aviso describe varias vías de acceso:
- API nativas y suscripciones prémium;
- plataformas en la nube y agregadores de terceros;
- grupos de cuentas con patrones compartidos de pago o registro;
- servicios proxy descritos como estaciones de transferencia;
- enrutamiento automático que desplaza el tráfico cuando se bloquea una vía; y
- controles de calidad diseñados para detectar respuestas degradadas o modificadas.
Son afirmaciones de las tres agencias autoras. El informe público no revela toda la inteligencia subyacente, y la responsabilidad de las empresas citadas no ha sido establecida por un tribunal. Reuters confirmó de forma independiente la publicación e informó sobre las acusaciones estadounidenses. Eso corrobora la existencia y el enfoque público del aviso, no cada atribución que contiene.
La detección debe conectar identidad, comportamiento e infraestructura
El informe recomienda vigilar patrones que adquieren significado cuando se combinan. Entre ellos se incluyen cuentas compartidas desde muchas direcciones IP o agentes de usuario, actividad continua sin periodos normales de inactividad, tráfico de escala empresarial en suscripciones individuales, consumo máximo inmediato en cuentas nuevas y cambios coordinados entre proveedores o vías de acceso.
También describe los cambios de metadatos como señal. Una campaña grande puede eliminar de repente marcadores organizativos estables después de que los defensores compartan su lógica de detección. Los datos genéricos o aleatorios pueden sustituir patrones anteriores. El uso puede estar optimizado de forma anómala para aciertos de caché, agotamiento de cuotas o dominios estrechos y repetidos, en lugar de una diversidad normal de tareas.
Ningún indicador demuestra por sí solo una destilación maliciosa. Un grupo de investigación, una evaluación empresarial, un servicio de accesibilidad o un revendedor de API puede producir señales parecidas. Los proveedores necesitan un proceso documentado que combine historial de la cuenta, vínculos de pago, similitud de prompts, horario del tráfico, modelos objetivo, enrutamiento y patrones de recopilación.
Tres acciones inmediatas estructuran la guía
El resumen ejecutivo ofrece tres prioridades a los proveedores de IA:
- Detectar prompts, cuentas, redes y comportamientos anómalos en suscripciones y API.
- Aplicar cambios dirigidos a las respuestas frente a intentos maliciosos de alta confianza para reducir su valor de entrenamiento.
- Compartir inteligencia entre proveedores de modelos, plataformas de nube, agregadores de API y servicios de infraestructura para hacer visible una campaña distribuida.
La sección detallada menciona controles de identidad, límites de velocidad, detección de entradas adversarias, conjuntos predictivos, respuestas variadas y privacidad diferencial.
Alterar respuestas es sensible. Requiere una regla de alta confianza, evidencia de auditoría, vigilancia de daños y una excepción para investigación legítima. El aviso pide informar a investigadores y evaluadores mientras se mantienen las salvaguardas.
Por qué es un acontecimiento de seguridad de IA
Los controles tradicionales contra abusos suelen centrarse en cuentas robadas, fraude de pagos, volumen de extracción o disponibilidad. La destilación añade otro activo protegido: el comportamiento y la capacidad especializada expresados en las salidas del modelo. Un actor puede distribuir la recopilación entre cuentas y rutas aparentemente normales para combinar los datos en otro lugar.
Por eso son importantes el inventario y la trazabilidad. Un proveedor debe saber qué versión respondió, qué política y salvaguardas se aplicaron, qué canal se utilizó y si las cuentas relacionadas tocaron otros modelos. La guía de Maetra para vigilar conductas de riesgo de agentes explica por qué los eventos deben conectarse entre identidades, herramientas y efectos. La guía de evidencia de auditoría de IA cubre los registros necesarios para reconstruir una decisión sin conservar contenido sensible innecesario.
Gobernanza de la respuesta defensiva
Un programa defendible debe separar observación, sospecha, restricción y aplicación confirmada. Cada fase necesita un umbral y un responsable.
| Fase | Evidencia mínima |
|---|---|
| Observar | Anomalía de uso vinculada a cuenta, ruta, modelo y periodo |
| Investigar | Señales correlacionadas de identidad, prompt, pago, tráfico o recopilación |
| Restringir | Umbral de política documentado y límite reversible de acceso o salida |
| Escalar | Revisión independiente de atribución, impacto al cliente y base jurídica |
| Compartir | Indicadores depurados con procedencia, confianza y vencimiento |
Esta estructura importa porque un falso positivo puede bloquear investigación o uso empresarial legítimos. Los controles deben conservar el motivo exacto, la versión del modelo, el conjunto de señales, la versión de política, el revisor, la acción y el resultado posterior. Los indicadores compartidos deben caducar o revalidarse para que un patrón antiguo no se convierta en acusación permanente.
Lo que sigue siendo incierto
El aviso ofrece tácticas detalladas y atribución nominal, pero poca visibilidad pública sobre la evidencia que sustenta cada conclusión empresarial. No cuantifica las tasas de falsos positivos de las señales propuestas ni demuestra la eficacia de alterar respuestas a escala de producción.
Un proveedor debe involucrar a responsables de seguridad, derecho, privacidad, confianza y producto antes de convertir una evaluación de inteligencia en medidas sobre una cuenta.
Análisis de Maetra
La lección principal es que la protección de modelos necesita un grafo de evidencia entre sistemas. La identidad de la cuenta es demasiado limitada, y revisar prompts por sí solo es fácil de eludir. Los proveedores deberían conectar origen de acceso, relaciones entre cuentas, versión del modelo, familias de prompts, volumen de respuestas, horario, señales de pago y comportamiento de recopilación.
La respuesta también necesita gobernanza. Una actividad maliciosa de alta confianza puede justificar controles más fuertes, pero la decisión debe ser revisable y reversible cuando sea posible. Hay que registrar por qué se alcanzó el umbral, qué restricción se aplicó, qué excepción de cliente o investigación se consideró y si la acción produjo el efecto esperado.
El aviso conjunto es un desarrollo importante porque convierte una preocupación amplia sobre la copia de modelos en prácticas concretas de detección y coordinación. Sus acusaciones todavía requieren una atribución cuidadosa, y sus mitigaciones necesitan medición independiente antes de convertirse en prueba de eficacia.