EEUU califica de amenaza nacional la destilación masiva de IA

Una alerta conjunta de NSA, CISA y FBI vincula a seis empresas chinas con extracción masiva de las respuestas de Claude, GPT y Gemini. CSA Labs advierte que la contramedida recomendada —degradar el servicio sin avisarle al usuario— exige capacidades que hoy casi ninguna organización tiene operativas.

Qué pasó

El 8 de septiembre de 2026, la NSA, CISA y el FBI publicaron una alerta conjunta de ciberseguridad (AA26-251A) que nombra a seis empresas chinas de IA —DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun y Z.AI— y describe campañas de knowledge distillation contra modelos de Anthropic, OpenAI, Google y xAI que suman, según la alerta, miles de millones de tokens en millones de intercambios desde al menos fines de 2024.

La destilación consiste en entrenar un modelo propio ("alumno") a partir de las respuestas de un modelo ajeno ("maestro"), aprovechando sus salidas como datos de entrenamiento. Es una técnica estándar de la industria. Lo que la alerta describe no es la técnica, sino la forma: operaciones organizadas que routean consultas a través de decenas de miles de cuentas creadas fraudulentamente, servicios proxy de mercado gris —algunos anunciados en plataformas de consumo chinas como Taobao y Xianyu, según la alerta— y agregadores de API de terceros, con el objetivo específico de extraer salidas a volumen industrial evadiendo los límites de uso y las restricciones geográficas de cada proveedor.

Esta no es una acusación nueva: es la ratificación interagencial de un patrón que Anthropic reportó por primera vez en febrero de 2026, cuando documentó más de dieciséis millones de intercambios sospechosos generados desde unas veinticuatro mil cuentas fraudulentas, atribuidos a DeepSeek, Moonshot AI y MiniMax. Google Threat Intelligence Group reportó después un patrón equivalente contra Gemini, incluyendo un caso de "coerción de rastro de razonamiento" identificado a través de más de cien mil prompts en varios idiomas, diseñados para forzar la exposición del razonamiento interno del modelo.

La alerta mapea la actividad a MITRE ATLAS y, de forma más contenciosa, recomienda a los proveedores de IA no banear directamente las cuentas sospechosas sino degradar silenciosamente sus respuestas —menor profundidad de razonamiento, rutas de razonamiento alternativas, ruido calibrado tipo privacidad diferencial— sin notificar al titular de la cuenta.

El Ministerio de Comercio de China respondió calificando la acusación de "infundada" y describiendo la destilación como "un medio técnico neutral usado por empresas de modelos de todo el mundo, incluidas las de EE.UU.", y advirtió "contramedidas resueltas" si la alerta se usa como pretexto para nuevas restricciones. El intercambio ocurre en el marco de negociaciones comerciales bilaterales en curso, lo que sitúa el documento tanto en el terreno técnico como en el diplomático.

Esta alerta llega menos de tres meses después de que el Departamento de Comercio de EE.UU. usara por primera vez su autoridad de control de exportaciones para suspender globalmente el acceso a un modelo de frontera comercial (el caso Fable 5/Mythos 5), lo que CSA Labs interpreta como parte de un mismo patrón de postura regulatoria: el gobierno estadounidense está dispuesto a intervenir directamente sobre el acceso y el uso de modelos de IA de frontera cuando estima que hay interés de seguridad nacional en juego.

Por qué importa acá

Para una organización en Chile o LATAM no hay, hasta donde sabemos, una entidad local nombrada en esta alerta ni evidencia de que alguna de las seis empresas chinas haya apuntado a infraestructura regional. El ángulo local no es un incidente: es una exposición de gobernanza que probablemente ya existe en la mayoría de las empresas chilenas que usan IA generativa de frontera.

Tres implicancias concretas:

• Shadow AI vía agregadores. Muchas empresas en Chile acceden a Claude, GPT o Gemini no directamente sino a través de agregadores de API o revendedores que ofrecen tarifas más bajas. La alerta describe exactamente ese tipo de infraestructura —agregadores, proxies, cuentas rotadas— como el vector de evasión que los proveedores ahora están entrenados para detectar. Una empresa chilena que use un agregador legítimo para abaratar costos puede terminar con el mismo perfil de comportamiento que el que la alerta pide bloquear: esto es un riesgo de falso positivo de negocio, no un riesgo de intrusión, y hoy casi nadie lo está monitoreando desde el lado del cliente.
• Ley 21.719 (datos personales). Si una organización chilena procesa datos personales a través de un agregador de API de IA que no es el proveedor directo, la cadena de subencargados de tratamiento se vuelve más larga y más opaca justo en el tramo que esta alerta describe como el menos auditable. Vale la pena revisar los contratos de esos agregadores con la misma exigencia de trazabilidad que ya se les pide a los proveedores directos.
• Ley 21.663 y ANCI. Evaluación Vantis, confianza alta: este hecho, por sí solo, no activa el deber de reporte a ANCI para una organización chilena, porque no hay un incidente de seguridad concreto que afecte a una entidad local. La relevancia para el marco de ciberseguridad aparece solo si una organización obligada (OIV) detecta en su propia infraestructura el patrón descrito —credenciales de IA compartidas, tráfico saliente anómalo hacia APIs de modelos, uso no autorizado de claves corporativas— y eso deriva en un incidente de seguridad de la información propiamente tal.

Lo que sí vale la pena llevarse de esta alerta, independiente de su disputa geopolítica, es que las salidas de un modelo de IA ya son tratadas por un gobierno como un activo de propiedad intelectual protegible, con la misma maquinaria institucional que una intrusión patrocinada por un Estado. Cualquier empresa chilena que construya productos sobre un modelo de frontera (fine-tuning, RAG, agentes) debería preguntarse si sus propios términos de servicio con clientes y proveedores contemplan ese escenario.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• AML.T0040 — Es el vector base de toda la campaña descrita: acceso autorizado nominal (cuenta de API válida) usado para extraer volumen industrial de respuestas, ocultando el origen mediante proxies y agregadores.
• AML.T0051 — La alerta describe prompts diseñados para forzar al modelo a exponer contenido que normalmente no entregaría, como paso previo a la extracción de razonamiento.
• AML.T0054 — Usado específicamente para forzar la exposición de la cadena de razonamiento interna (chain-of-thought), que es el activo de mayor valor para replicar la capacidad del modelo maestro.
• AML.T0024.002 — La extracción masiva de tokens y trazas de razonamiento a través de la API de inferencia, reempaquetada luego como datos de entrenamiento del modelo alumno.

title: Volumen anomalo de consultas a APIs de modelos de IA de frontera
id: a47c1e92-6b3d-4f81-9c05-2e8f71d4b3a6
status: experimental
description: Detecta un volumen de consultas por host de origen hacia endpoints de APIs de modelos de IA de frontera inconsistente con uso humano normal, util tanto para shadow AI interno como para credenciales comprometidas o reutilizadas por terceros.
logsource:
    category: proxy
detection:
    selection:
        c-uri-host|contains:
            - 'api.anthropic.com'
            - 'api.openai.com'
            - 'generativelanguage.googleapis.com'
            - 'api.x.ai'
    timeframe: 1h
    condition: selection | count(c-uri-host) by src_ip > 2000
fields:
    - src_ip
    - c-uri-host
    - user
falsepositives:
    - Gateways internos de IA que consolidan trafico de muchos usuarios detras de una sola IP
    - Trabajos batch legitimos de integracion o evaluacion de modelos
level: medium

let threshold = 2000;
CommonSecurityLog
| where DestinationHostName has_any ("api.anthropic.com","api.openai.com","generativelanguage.googleapis.com","api.x.ai")
| summarize ReqCount = count() by SourceIP, bin(TimeGenerated, 1h)
| where ReqCount > threshold
| order by ReqCount desc

index=proxy dest_host IN ("api.anthropic.com","api.openai.com","generativelanguage.googleapis.com","api.x.ai")
| bin _time span=1h
| stats count as req_count by src_ip, _time
| where req_count > 2000
| sort - req_count

Fuentes

• CSA LabsIndustrial-Scale Model Distillation as a National Security Problem · 2026-09-10
• NSA / CISA / FBIJoint Cybersecurity Advisory AA26-251A sobre destilación de modelos de IA (citada por CSA Labs, no verificada de forma independiente por Vantis) · 2026-09-08
• AnthropicDisclosure de Anthropic sobre cuentas fraudulentas vinculadas a destilación (citada por CSA Labs) · 2026-02-01
• Google Threat Intelligence GroupReporte de Google Threat Intelligence Group sobre extracción de rastro de razonamiento en Gemini (citado por CSA Labs) · 2026-06-01
• CSA LabsAnálisis previo de CSA sobre la suspensión por control de exportaciones de Fable 5 / Mythos 5 · 2026-07-01

Relacionado