La NSA, la CISA y el FBI han señalado este martes a seis empresas chinas por destilar de forma “sistemática” los modelos de IA frontera de Estados Unidos. El aviso conjunto describe una campaña industrial de extracción de miles de millones de tokens desde al menos finales de 2024. Y no es un episodio aislado: es doctrina.
Lo que Washington denomina knowledge distillation no es un simple raspado de respuestas. Es una técnica deliberada para clonar capacidades avanzadas de sistemas como Claude, ChatGPT, Gemini o Grok. Las agencias lo llaman “agresivo, malicioso y dirigido a escala industrial”.
El aviso pone nombre y apellidos: DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun y Z.AI. Todas habían invertido miles de millones de tokens en millones de intercambios contra los grandes laboratorios estadounidenses.
La lectura confidencial es otra. No estamos ante espionaje clásico de planos robados, sino ante una forma nueva de transferencia de capacidades. Más rápida, más barata y mucho más difícil de atribuir.
La destilación se ha convertido en la vía preferente del salto tecnológico chino. Genera datos sintéticos de alta calidad sin necesidad de pagar por ellos. Y convierte cada interacción con un modelo líder en un activo reutilizable.
Anatomía de una campaña de destilación industrial
El advisory de NSA, CISA y FBI detalla cómo operaban las empresas chinas. No se limitaban a formular preguntas. Diseñaban campañas dirigidas a extraer capacidades concretas: razonamiento agéntico, codificación, análisis de datos, visión por computador, marcos lógicos amplios y procesamiento visual.
DeepSeek es el caso más explícito del informe. Según las agencias, utilizó la destilación de modelos frontera estadounidenses para generar datos sintéticos con los que entrenó sus modelos R1 y R3.
La lista de objetivos de DeepSeek impresiona: cuatro versiones diferentes de Claude, dos de Gemini, cinco de ChatGPT y Grok 4. Todo ese material se incorporó a la lógica interna de sus propios sistemas.
Moonshot AI fue aún más lejos. Habría destilado 18 modelos estadounidenses distintos, incluido el más avanzado disponible comercialmente de Anthropic. El aviso lo presenta como una operación de alto rendimiento basada en millones de consultas diseñadas para clonar competencias específicas.
La campaña no dejaba rastro fácil. El uso de cuentas distribuidas, plataformas distintas y proveedores en la nube diluía cualquier patrón evidente. Así se evita la detección algorítmica.
Entre las técnicas observadas figuran la propagación de peticiones entre múltiples cuentas, modelos y plataformas; el empleo de APIs nativas, proveedores remotos y agregadores de terceros para ofuscar metadatos de usuario; y la utilización de proxies y mercados grises para sortear restricciones geográficas, términos de uso y salvaguardas.
Puro tradecraft digital. La vieja disciplina del espionaje aplicada a las tuberías de la inteligencia artificial.
El historial de Pekín y la lógica del Estado
Verá usted que esta acusación no nace de la nada. Durante décadas, servicios de inteligencia y funcionarios occidentales han señalado a China por ciberataques, amenazas internas y espionaje económico contra empresas estadounidenses.
En junio, el jefe de la Oficina de Política Científica y Tecnológica de la Casa Blanca ya había hecho una acusación similar contra Moonshot AI. La describió como un sistema “sofisticado” para eludir barreras y restricciones de uso.
La diferencia ahora es la claridad del mensaje. Las agencias sitúan la destilación en el núcleo de la política industrial china, no como un complemento puntual. El aviso habla de “el núcleo, no meramente un suplemento”.
También es revelador el matiz político. Según las agencias, estas prácticas son alentadas tácitamente pero no dirigidas por los líderes políticos de Pekín. Esa distinción deja espacio para la negación plausible, una constante en las operaciones encubiertas chinas.
La paradoja es inevitable. Estados Unidos acusa a empresas chinas de destilar IA mientras sus propios laboratorios enfrentan demandas de autores, artistas y medios por entrenar modelos con material protegido por derechos de autor.
El ecosistema estadounidense tampoco es ajeno a la práctica. Empresas y comunidades de código abierto comparten pesos y medidas, e incluso destilan sistemas en el curso de investigaciones legítimas. Las propias agencias lo reconocen.
La frontera entre la colaboración legítima y la extracción hostil ya no es técnica: es una cuestión de escala y de intención.
Pero la escala industrial de la que habla Washington cambia la naturaleza del fenómeno. Ya no es un investigador ingenioso probando límites. Es una red de actores coordinados y financiados por el partido-Estado.
Llevo años siguiendo la relación entre inteligencia y economía digital. Ya advertí en El quinto elemento que el próximo 11S empezará con un clic. Hoy ese clic podría ser una consulta de destilación dirigida contra un modelo frontera.
Dossier Moncloa: Ojos en la Sombra
Para España, este aviso importa. No porque el CNI vaya a arrestar a DeepSeek en Madrid, sino porque define el campo de juego de los próximos años. La competición por la IA se está trasladando al terreno del espionaje económico y la contrainteligencia tecnológica.
Vector de amenaza: la destilación maliciosa es una variante de SIGINT aplicado a sistemas de IA. No se interceptan comunicaciones, se extraen capacidades. La infraestructura es lícita en apariencia, lo que complica cualquier contramedida técnica. A juzgar por la naturaleza del material extraído, estimo nivel Secreto para el detalle operativo y Uso Restringido para los informes técnicos asociados.
Las agencias implicadas son tres, según el propio aviso. La NSA aporta la capacidad señales y de atribución técnica; la CISA coordina la respuesta con la industria y los aliados; el FBI asume la investigación y la persecución. El tercer actor que mira es la alianza Five Eyes, con GCHQ y el CNI monitorizando de cerca.
El CNI y el CCN-CERT no han publicado un alerta específico sobre esta campaña. Pero me consta por fuentes en la administración española que la destilación adversaria es una preocupación recurrente en los análisis de riesgo tecnológico desde 2025.
Aquí hay un precedente del oficio que conviene recordar: la Operación Aurora. Entre 2009 y 2010, actores chinos comprometieron los sistemas de Google y de decenas de grandes tecnológicas estadounidenses. Entonces se trataba de robar código fuente. Hoy el objetivo es más abstracto: el conocimiento destilado de modelos que cuestan cientos de millones entrenarse.
La lectura que hago en este Dossier es clara. Mientras Europa discute regulación de IA, Estados Unidos señala una campaña de extracción hostil que afecta a la soberanía tecnológica occidental. Madrid debería prestar atención: la próxima reunión técnica entre CCN-CERT y NCSC británico tiene este asunto en agenda.
Lo que no comparto es el tono de superioridad unilateral. El aviso de la NSA, la CISA y el FBI ofrece atribución técnica y patrones de conducta, sí. Pero Estados Unidos también extrae valor de fuentes cuestionables. Esa doble vara reduce la eficacia del mensaje ante aliados que observan con escepticismo.
El próximo informe público del ODNI sobre amenazas a la inteligencia artificial será la prueba de cómo evoluciona esta acusación. Si la destilación pasa a considerarse una técnica de espionaje regulada, las consecuencias para la industria serán profundas.
Cosas que pasan en 2026.
El espionaje ya no necesita agentes dobles ni maletines con dinero en efectivo. Basta una buena campaña de consultas contra un modelo líder, una red de proxies y la paciencia de un Estado. El silencio no es ausencia de operación: es la operación misma.
