El 30 de septiembre de 2026 OpenAI publicó un informe de seguridad en el que afirma haber identificado y desmantelado una campaña coordinada de destilación adversarial. El objetivo no era romper el cifrado de conversaciones almacenadas, sino manipular interacciones para extraer el razonamiento protegido —el registro interno con el que el modelo trabaja un problema— y usarlo para entrenar o mejorar otros sistemas sin autorización.
Según la compañía, la actividad más temprana se observó en la primera semana de julio. El volumen se mantuvo bajo hasta picos del 24 y 25 de julio: unas 16.000 solicitudes con un patrón de extracción desde más de 4.000 usuarios. La investigación amplió el foco a un clúster de más de 15.000 cuentas con patrones relacionados, que OpenAI dice haber restringido por completo hacia el 28 de julio. Una nota aclara que se trata de intentos de extracción, no necesariamente de éxitos confirmados en todos los casos.
OpenAI vincula un núcleo de operadores a personas asociadas con Moonshot AI, la empresa detrás del modelo Kimi. Añade que no está claro si toda la actividad observada remonta a una sola fuente. El propio informe menciona que Anthropic ha reportado intentos similares atribuidos a compañías de IA chinas, lo que sitúa la destilación adversarial como un riesgo de ecosistema, no como un incidente aislado de un solo proveedor.
El mecanismo descrito encaja con trabajo académico del investigador Joachim Schaeffer y su equipo: los proveedores envían el razonamiento a los clientes como paquetes cifrados que deben reenviarse en turnos siguientes. Como las claves son compartidas dentro de la familia de modelos, esos paquetes pueden moverse entre sesiones, usuarios e incluso modelos distintos del mismo proveedor. Un modelo más barato actúa entonces como «oráculo de descifrado» y escribe el pensamiento oculto del modelo caro.
OpenAI afirma haber cerrado la vía que permitía reutilizar y leer razonamiento cifrado ajeno, haber reforzado altas de cuenta, haber añadido filtrado de salidas en streaming cuando podrían revelar razonamiento, y haber compartido hallazgos con el Frontier Model Forum y canales gubernamentales. El mensaje institucional es que el problema no se limita a sus APIs propias.
THE DECODER, el 1 de octubre de 2026, añade la pieza más delicada para clientes enterprise: cuando el equipo de Schaeffer reprobó el 13 de septiembre, el ataque ya estaba bloqueado en las APIs propias de OpenAI y Anthropic, pero seguía funcionando en Microsoft Azure contra todos los modelos OpenAI probados —incluido GPT-6 Astra— y contra modelos Anthropic hasta Sonnet 5. Una sola petición bastaba para recuperar el razonamiento literal.
La asimetría de protecciones entre la API del laboratorio y el mismo modelo servido por un hiperescalador convierte la seguridad del razonamiento en un problema de cadena de suministro. Schaeffer lo resume con claridad: mismos modelos, distintas protecciones según quién los hospeda. Los investigadores califican muchos parches de parciales y basados en coincidencia frágil de patrones de petición.
La cronología que citan es especialmente dura para el lanzamiento de GPT-6 Astra en plataformas de terceros: habría llegado sin las salvaguardas que OpenAI ya aplicaba en su propio perímetro. Según esa línea temporal, las protecciones en el endpoint de Azure para OpenAI no habrían llegado hasta el 27 de septiembre; para modelos Anthropic, la extracción dejó de reproducirse en Azure a partir del 28.
Existe además un segundo vector más simple, demostrado públicamente por el desarrollador Can Bölük: dar al modelo un bloc de notas virtual como herramienta y pedirle que escriba allí su razonamiento. Los investigadores dicen que funcionó en todos los modelos OpenAI probados y en Opus 4.8 y Sonnet 5; solo Opus 5, Fable 5 y Fable 5.1 no revelaron el razonamiento de esa forma.
Para compradores de IA en la nube, la lección operativa es exigir paridad de salvaguardas entre el proveedor frontier y cada región o partner que sirva el mismo modelo. Contratos, evaluaciones de riesgo y pruebas de penetración de prompts deben cubrir Azure, Bedrock u otras nubes, no solo el playground oficial. Un RFP que ignore el hospedaje está midiendo el modelo equivocado.
Geopolíticamente, la atribución parcial a Moonshot y el paralelo con informes de Anthropic refuerzan la narrativa de competencia por capacidades vía destilación barata. OpenAI anticipa que estos intentos se sofisticarán a medida que los modelos líderes mejoren. Compartir indicadores a través del Frontier Model Forum es un paso; homogeneizar protecciones en partners es el que aún falta.
Neural Pulse lee el episodio como aviso de madurez del mercado agentic: el razonamiento portable o rejugable es un activo de propiedad intelectual y un riesgo de proliferación. Mientras los laboratorios cierran agujeros en su API y los hiperescaladores van a remolque, la ventana de exposición la pagan los clientes que asumieron que «mismo modelo» significaba «mismas defensas».
