La NSA, el FBI y la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) acusaron el martes 8 de septiembre de 2026 a seis empresas chinas de inteligencia artificial de extraer de forma sistemática las capacidades de los modelos estadounidenses de frontera. El aviso conjunto, catalogado como AA26-251A, nombra a DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun y Z.AI, y sostiene que desde finales de 2024 obtuvieron miles de millones de tokens en millones de intercambios con variantes de Claude, GPT, Gemini y Grok, probablemente con conocimiento del Gobierno chino. El documento convierte en acusación oficial, con nombres y modelos concretos, lo que hasta ahora habían denunciado sobre todo las empresas afectadas, y aterriza poco más de dos semanas antes de la visita de Xi Jinping a Washington, prevista para el 24 de septiembre.
La destilación es una técnica común y legítima: un modelo pequeño se entrena con las respuestas de otro más grande para imitar su comportamiento sin replicar su arquitectura ni pagar su cómputo. Lo que las tres agencias cuestionan es el uso "agresivo, malicioso y dirigido" de esa técnica a escala industrial, con consultas diseñadas para sacar funciones restringidas y saltarse los términos de servicio. Según el aviso, esas campañas no complementan el desarrollo de los modelos chinos: son su núcleo.
Qué extrajo cada empresa, según el propio documento
DeepSeek aparece como el caso más documentado. Las agencias afirman que desde finales de 2024 generó datos sintéticos de entrenamiento para sus modelos R1, lanzado a principios de 2025, y V3, apuntando a razonamiento, optimización legal, tareas por reglas de API y escritura creativa y ocupacional. En ese punto el documento toca una cifra sensible: sostiene que los 5,6 millones de dólares que la empresa citó públicamente como costo de entrenamiento resultan engañosos porque no incluyen el costo real de los datos obtenidos por destilación.
Moonshot AI usó datos de Claude Fable 5, que CyberScoop describe como el modelo comercial más avanzado de Anthropic, para entrenar Kimi-K3, y datos de GPT-4o para Kimi-K2. MiniMax es la que deja el detalle más llamativo: además de destilar razonamiento en cadena e ingeniería de software, el aviso asegura que usó inyecciones de prompt para intentar convencer a Claude Code de que era un producto de MiniMax, y que redirigió sus consultas a un modelo nuevo de Claude dentro de las 24 horas posteriores a su lanzamiento.
Esta es la lista que el propio aviso publica, con las empresas señaladas, los modelos estadounidenses citados en cada caso y las capacidades que, según las agencias, buscaban.
| Empresa | Modelos de EE. UU. citados | Capacidades extraídas |
|---|---|---|
| DeepSeek | Claude Sonnet 3.7, 4 y 4.5; Claude Opus 4.1; Gemini 2, 2.5 Pro Preview y 2.5 Flash Preview; GPT-4, 4o, 4 Mini, 4 Nano y GPT-5; Grok 3 Mini y Grok 4 | Razonamiento, especialización legal, tareas por reglas de API, preguntas y respuestas, funciones agénticas, escritura creativa y ocupacional |
| Moonshot AI | Claude Opus 4.1; Claude Sonnet 3.7, 4, 4.5 y 4.5 Thinking; Claude Fable 5; GPT-3, 4o mini, 5, 5 Codex, 5 Pro y oss-20b; Gemini 2.5 Flash, 2.5 Flash-Image, 2.5 Pro y Nano Banana; Grok Code Fast-1 | Ajuste fino supervisado, aprendizaje por refuerzo, ingeniería de software y matemáticas |
| Alibaba | Claude 4, Claude Sonnet y GPT-5 | Diálogo de atención al cliente, creación de personajes virtuales, flujos agénticos completos, ingeniería de software y evaluación de datasets |
| MiniMax | Claude Code, Claude Sonnet 4, Claude Opus 4.5, Gemini 1, Gemini 2.5 Pro, Gemini 3 Pro y GPT-5 | Razonamiento en cadena, funciones agénticas, revisión de código y refinamiento de datasets |
| StepFun | Claude Opus 4.1 y 4.5, Claude Sonnet 4.5, Claude Haiku 4.5; GPT-5 Mini, 5 Pro, 5.1, 5.1 Codex, 5.1 Codex Mini y 5.2 | Desarrollo de código y funciones agénticas |
| Z.AI | GPT-5.5 y Claude Opus 4.8 | Razonamiento en cadena |
El mercado gris de "estaciones de transferencia"
Buena parte del aviso se dedica a explicar cómo se sostuvo el volumen. Las agencias describen un mercado gris de intermediarios de API, las llamadas estaciones de transferencia, que revenden acceso a los modelos de frontera por una fracción del precio oficial y permiten sortear las restricciones geográficas de los proveedores. A eso suman cuentas fraudulentas registradas a nombres que no corresponden a usuarios reales, compras en bloque de suscripciones premium repartidas entre equipos de desarrolladores, y el uso de agregadores externos y proveedores de nube que borran de forma automática los metadatos capaces de identificar al cliente.
También detallan la extracción de la cadena de razonamiento, el paso a paso interno que los modelos estadounidenses no muestran al usuario. Según el documento, DeepSeek pedía a los modelos que reconstruyeran ese razonamiento después de responder, un dato que enseña método y no solo respuestas. Entre los indicadores que las agencias piden vigilar hay algunos muy concretos: cuentas compartidas desde varias direcciones IP, uso sostenido las 24 horas sin las pausas propias de una persona y suscripciones nuevas que arrancan de inmediato en su tope de consumo.
La mitigación más incómoda: degradar respuestas sin avisar
Las tres agencias piden a las empresas estadounidenses tres cosas: detectar cuentas y patrones anómalos, compartir indicadores entre proveedores de modelos, nubes y agregadores, y alterar las respuestas cuando haya alta confianza de que se trata de una campaña de destilación. Esa tercera recomendación es la que más discusión abre. El aviso sugiere reducir la profundidad del razonamiento, dar información correcta con otro razonamiento o introducir inconsistencias de estilo, y pide de forma explícita no avisar al usuario sospechoso del cambio, porque advertirle le permitiría mejorar sus técnicas de evasión y saber cuándo revertir su entrenamiento. Los investigadores de seguridad y los evaluadores externos sí deben ser informados.
El documento también recoge mitigaciones del catálogo MITRE ATLAS y del NIST, entre ellas la privacidad diferencial, que añade ruido calibrado a las salidas del modelo. Ahí el propio aviso admite el costo: más ruido protege mejor, pero baja la precisión y la utilidad del modelo, y el equilibrio tiene que ajustarse caso por caso con auditorías empíricas. La defensa contra la destilación, en otras palabras, no sale gratis para el proveedor.
Sanciones sobre la mesa y una cumbre en puerta
El secretario del Tesoro, Scott Bessent, escribió en X que las sanciones y las designaciones en la Entity List estarán sobre la mesa si las firmas chinas cruzan la línea del robo de propiedad intelectual, según recogió CNN. La cadena informó que pidió comentarios a la embajada china en Washington, a DeepSeek y a Alibaba, sin reportar respuesta.
Pekín ya había rechazado acusaciones equivalentes. En julio, el ministro asistente de Exteriores, Liu Bin, consideró engañoso y contraproducente el debate sobre la destilación durante la Conferencia Mundial de Inteligencia Artificial de Shanghái, y días después el Ministerio de Comercio respondió que los señalamientos carecen de fundamento fáctico y de respaldo legal, además de acusar sin presentar pruebas públicas a empresas estadounidenses de destilar modelos chinos, de acuerdo con Infobae.
La secuencia privada es más larga que la oficial. En febrero de 2026 Anthropic documentó más de 16 millones de intercambios con Claude a través de unas 24.000 cuentas fraudulentas atribuidas a DeepSeek, Moonshot AI y MiniMax; en junio sumó a Alibaba con cerca de 28,8 millones de consultas y 25.000 cuentas. Un aviso de ciberseguridad, sin embargo, no es una resolución judicial: recoge la versión de tres agencias del Gobierno estadounidense y sus recomendaciones operativas, y ninguna de las empresas señaladas ha sido condenada por estos hechos.
Lo que sí cambia hoy es el terreno. La disputa dejó de ser un pleito entre laboratorios privados y pasó a un documento firmado por tres agencias federales, con seis nombres, una lista de modelos y una amenaza de sanciones a 16 días de que Xi Jinping llegue a Washington.
