El ataque 'Pensamientos Robados': cómo los investigadores descifraron el razonamiento oculto de la IA y el escándalo de la destilación de Kimi K3

El ataque de repetición 'Pensamientos Robados' — Publicado entre el 10 y el 11 de agosto de 2026 en el artículo "Stealing Reasoning Traces from Proprietary LLM APIs" (arXiv:2608.09867), los investigadores Panfilov, Schmotz, Shumailov, Beurer-Kellner, Schaeffer, Prabhu, Geiping y Andriushchenko descubrieron un fallo arquitectónico crítico. Los bloques de 'pensamiento' cifrados que Anthropic, OpenAI y Google devuelven a los clientes de la API no están correctamente sellados a su origen. Estos bloques pueden extraerse de una conversación y reproducirse en un modelo 'hermano' más débil y menos protegido del mismo proveedor, que entonces imprime el razonamiento oculto del modelo de frontera en texto plano . El ataque funciona entre sesiones, entre cuentas de usuario y entre modelos del mismo ecosistema del proveedor . Los investigadores confirmaron que la técnica funciona en todas las grandes empresas de IA de frontera que probaron, y la longitud del razonamiento recuperado coincide casi 1:1 con el recuento de tokens de pensamiento ocultos que reporta la API .

Evidencias en la controversia de la destilación de Kimi K3

Las trazas de razonamiento extraídas proporcionan señales de entrenamiento de alta calidad para la destilación de modelos — la práctica de utilizar las salidas de un modelo más fuerte para entrenar un modelo competidor más pequeño y barato . Esta técnica está en el centro de una acalorada controversia en torno a los laboratorios de IA chinos:

• Anthropic declaró públicamente que laboratorios chinos de IA, incluyendo DeepSeek, Moonshot y MiniMax, utilizaron aproximadamente 24.000 cuentas fraudulentas para generar más de 16 millones de intercambios con Claude, evadiendo las restricciones de acceso .
• Kimi K3, lanzado en julio de 2026 por Moonshot AI, fue citado por la Fundación Jamestown como un modelo específico construido mediante destilación, con un rendimiento que se afirma es comparable al de Claude Fable 5 de Anthropic y GPT-5.6 Sol de OpenAI .
• Ryan Greenblatt (Redwood Research) publicó un análisis estadístico que muestra comparaciones de entropía cruzada que sugieren que las salidas de Kimi K3 se alinean estrechamente con los modelos Claude de Anthropic .
• El asesor científico de la Casa Blanca, Michael Kratsios, acusó públicamente a Moonshot de construir Kimi K3 mediante "destilación industrial encubierta" .

Sin embargo, la evidencia no es definitiva. Investigadores como Braden Hancock (Instituto Laude) y Nathan Lambert (Allen Institute for AI) argumentan que la destilación por sí sola no puede explicar todas las capacidades de Kimi K3. Un PDF ampliamente difundido que afirmaba probar la destilación de la cadena de pensamiento fue criticado por combinar un experimento limitado con afirmaciones sin respaldo .

Riesgos de seguridad que plantea la vulnerabilidad

El fallo introduce múltiples riesgos concretos más allá del robo de propiedad intelectual:

• Filtración de credenciales e información personal (PII): Los investigadores descifraron 315.320 bloques de razonamiento extraídos de repositorios públicos y recuperaron 367 artefactos de PII y 182 credenciales (incluyendo claves de API y contraseñas) que habían sido incrustados dentro de las trazas de razonamiento .
• Evasión de la protección anti-destilación: La misma vulnerabilidad que permite la extracción también derrota las propias protecciones anti-destilación de los proveedores .
• Transferencia de comportamiento dañino: Un artículo separado ("Hidden in Thought: Transferable Chain-of-Thought Artifacts Induce Harmful Behavior") encontró que las trazas de razonamiento transferidas pueden elevar las tasas de respuestas dañinas por encima del 80% en los modelos de código abierto más vulnerables .
• Exposición de instrucciones ocultas: Los campos de razonamiento opacos que los desarrolladores de agentes tratan como seguros para retener y publicar pueden contener instrucciones del sistema y credenciales ocultas .

Cómo respondieron OpenAI, Anthropic y Google

Las tres empresas fueron contactadas por los investigadores de 'Pensamientos Robados' antes de la publicación. Según los informes, OpenAI, Anthropic y Google bloquearon el ataque de razonamiento entre modelos después de ser notificados. No se revelaron detalles específicos de sus mitigaciones en las fuentes publicadas, pero se confirmó que la vulnerabilidad existía en las API de los tres proveedores antes de ser parcheada . Que el ataque fuera 'bloqueado' sugiere que las empresas implementaron correcciones en el lado del servidor — probablemente restringiendo la reutilización de bloques de razonamiento cifrados en diferentes contextos de modelo o cuentas .

Anthropic ya estaba lidiando públicamente con la destilación a gran escala, reportando las 24.000 cuentas fraudulentas y los 16 millones de intercambios utilizados por laboratorios chinos para extraer resultados de Claude .

La lección principal de los artículos REP y Pensamientos Robados es que ocultar o cifrar las trazas de razonamiento es una estrategia de seguridad fundamentalmente frágil — si el razonamiento existe en los pesos del modelo, se puede obtener .