El 1 de octubre de 2026, The Decoder amplió el relato de la campaña de destilación adversarial que OpenAI dice haber cortado: el mismo día, investigadores liderados por Joachim Schaeffer actualizaron su estudio con un hallazgo inquietante —«We stole reasoning. Again»—: proteger la API propia no basta si la nube de terceros sigue abierta.
OpenAI afirma haber detectado y desmantelado una campaña coordinada para copiar el razonamiento protegido de sus modelos: los pasos internos que la IA elabora antes de la respuesta final. En destilación, un modelo aprende del output completo de otro, incluidas las cadenas de pensamiento, no solo la respuesta visible.
Según OpenAI, la actividad comenzó con bajo volumen el 1 de julio. El 24 y 25 de julio hubo picos de unas 16.000 solicitudes desde más de 4.000 usuarios con un patrón típico de extracción. La investigación identificó una red de más de 15.000 cuentas relacionadas, restringida por completo hacia el 28 de julio. Una nota aclara que se trata de intentos, no necesariamente de extracciones exitosas.
La compañía vincula un grupo central a personas asociadas con Moonshot AI, creadora de Kimi, sin afirmar que todos los actores compartan una sola fuente. Anthropic había reportado intentos similares por empresas chinas. OpenAI dice haber compartido aprendizajes vía Frontier Model Forum y canales gubernamentales.
El mecanismo técnico, documentado por Schaeffer y colegas, aprovecha paquetes de razonamiento cifrados que el proveedor envía al cliente para continuar la conversación. Como las claves son compartidas en la familia de modelos, esos paquetes pueden moverse entre sesiones, usuarios e incluso modelos distintos del mismo proveedor. Un modelo barato actúa entonces como «oráculo de descifrado» del pensamiento del modelo caro.
OpenAI dice haber prohibido cuentas fraudulentas, endurecido altas y cerrado el agujero que permitía reutilizar y leer razonamiento cifrado ajeno. También filtra salidas en streaming y las retiene si podrían revelar razonamiento. Credita a los investigadores por acelerar contramedidas.
Cuando el equipo reprobó el ataque el 13 de septiembre, estaba bloqueado en las APIs propias de OpenAI y Anthropic. En Microsoft Azure, funcionó contra todos los modelos OpenAI probados —incluido GPT-6 Astra— y contra modelos Anthropic hasta Sonnet 5. Un solo intento bastó para extraer el razonamiento palabra por palabra. «Los mismos modelos, distintas protecciones según la plataforma», escribió Schaeffer.
Hay un segundo método, aún más simple, demostrado públicamente por el desarrollador Can Bölük: dar al modelo un bloc de notas virtual como herramienta y pedirle que escriba allí su razonamiento. Según los investigadores, funcionó en todos los modelos OpenAI probados y en Opus 4.8 y Sonnet 5; solo Opus 5, Fable 5 y Fable 5.1 no revelaron el razonamiento de esa forma.
Los investigadores califican los parches de fragmentarios y superficiales. Muchos dependen de coincidir patrones frágiles de petición, y algunos llegaron a las nubes días después. GPT-6 Astra se lanzó en plataformas de terceros sin esas protecciones. Según su cronología, OpenAI no añadió salvaguardas al endpoint de Azure hasta el 27 de septiembre; para modelos Anthropic, la extracción dejó de reproducirse en Azure a partir del 28.
Schaeffer sostiene que los parches deben cubrir cada tipo de ataque y cada nube que hospede los modelos; si no, el atacante elige la ruta más débil. El paper llega a argumentar que los proveedores cloud sin protecciones equivalentes no deberían servir modelos de razonamiento, porque esas puertas traseras eludirían controles de exportación a nivel de API.
OpenAI reconoce que los modelos hospedados por socios necesitan la misma protección que sus propios servicios y afirma que el trabajo no ha terminado. Para clientes enterprise que eligen Azure por cumplimiento o latencia, el episodio muestra un riesgo de configuración: la marca del modelo no garantiza el mismo endurecimiento en cada endpoint.
Neural Pulse lee el caso como complemento —no repetición— del informe de campaña de Moonshot: aquí el foco es la brecha de plataforma. Hasta que las protecciones viajen con el modelo a cada cloud, la destilación adversarial seguirá siendo un problema de ecosistema, no solo de un laboratorio.
