OpenAI afirmó en una publicación de su blog que personas asociadas a Moonshot AI, empresa con sede en China, estuvieron en el centro de un intento por extraer el razonamiento oculto de sus modelos, informó Tom's Hardware. Según el texto, la "campaña coordinada" para obtener el "razonamiento protegido" de sus modelos ocurrió en julio y fue "consistente con destilación adversaria". OpenAI no tiene certeza de que todos los operadores que detectó fueran un mismo actor.

La actividad partió el 1 de julio, "inicialmente con bajo volumen". Después llegaron "picos de alto volumen" el 24 y el 25 de julio, con 16.000 solicitudes que usaban un patrón de extracción y venían de más de 4.000 usuarios. La actividad intentó la extracción, pero "no necesariamente con éxito", y la campaña quedó "completamente desarticulada al 28 de julio". La publicación no precisó ninguna tasa de éxito, qué modelos fueron el blanco ni cuántos de los usuarios estaban vinculados a Moonshot.

¿Qué es el razonamiento protegido?

OpenAI define el razonamiento protegido como "el registro interno del modelo para resolver una tarea", y la destilación adversaria como el "uso sistemático y no autorizado de las respuestas o el razonamiento de un modelo" para entrenar o mejorar otro. Esos datos se cifran para ocultar la cadena de pensamiento del modelo y se entregan al cliente como un bloque cifrado. El cliente devuelve ese bloque con cada solicitud, así el proveedor no tiene que almacenarlo.

Uno de los métodos que probaron los operadores tomaba el razonamiento cifrado de una conversación y le pedía a un modelo, en otra conversación, que lo descifrara.

Lo que cambió OpenAI

Según OpenAI, en este caso el cifrado no se rompió. No hubo acceso directo a conversaciones almacenadas de usuarios ni se comprometió ninguna base de datos. La empresa aplicó varias medidas.

  • Cerró una vía que permitía, a quien ya tuviera el razonamiento cifrado de otro usuario, reproducirlo y recuperar su contenido.
  • Agregó controles para detectar y retener la salida transmitida en vivo que pudiera exponer razonamiento.
  • Reforzó la protección del razonamiento oculto entre usuarios, espacios de trabajo, organizaciones y familias de modelos.
  • Trabajó con proveedores externos para desarticular cuentas cuya actividad pasaba por sus servicios.

Investigadores de seguridad independientes también le habían reportado a OpenAI, por divulgación responsable, "vulnerabilidades relacionadas entre modelos y de compactación de conversaciones", y la empresa confirmó que las vías de ataque que encontraron eran reales. La publicación enlaza el paper Stealing Reasoning Traces from Proprietary LLM APIs, fechado el 10 de agosto. Los investigadores probaron OpenAI, Anthropic y Google, y le entregaron el razonamiento cifrado de un modelo de frontera a un modelo más débil de la misma familia, que lo escribió en texto plano. Hicieron la prueba a comienzos de julio y, después de que los proveedores acusaron recibo del reporte, quedaron "sin poder lanzar los mismos ataques".

¿Qué dijo Anthropic sobre Moonshot?

OpenAI no es el único que enfrenta estas amenazas. A comienzos de este mes, el informe de Anthropic Detecting and countering misuse of AI: September 2026 describió un periodo de diez días en que Moonshot retransmitió casi 300.000 solicitudes de clientes a Anthropic mediante una red de proxies con 5.380 cuentas fraudulentas. El informe agrega que Moonshot guardó las firmas de razonamiento de Claude y, en sesiones nuevas, logró que Claude las convirtiera de vuelta en trazas de razonamiento completas, lo que Anthropic llama "ataques de reproducción entre sesiones".

En julio, Moonshot negó que Kimi K3 se hubiera creado mediante destilación. En ese momento, el presidente de OpenAI, Greg Brockman, dijo que era "demasiado pronto" para saber si Moonshot había destilado los modelos de OpenAI.

Los próximos pasos

El siguiente paso de OpenAI es asegurar que los despliegues alojados por socios tengan las mismas protecciones que sus herramientas propias. También hacen falta controles adicionales para prevenir ataques a través de la salida de herramientas. La empresa compartió sus hallazgos con el Frontier Model Forum y con canales gubernamentales de intercambio de información, y advirtió que "los sistemas que admiten artefactos de razonamiento portables o reproducibles pueden enfrentar riesgos relacionados". OpenAI espera que los intentos de destilación se vuelvan más sofisticados a medida que mejoren los modelos de frontera y que los atacantes busquen formas más baratas de imitarlos.