La destilación de modelos es una técnica válida de aprendizaje automático: un modelo pequeño aprende a imitar las respuestas de otro más capaz. Se convierte en un problema de seguridad cuando se usa de forma sistemática y no autorizada para extraer capacidades, razonamiento o salvaguardas de un servicio ajeno.
Qué es la destilación
En el entrenamiento convencional, un modelo «profesor» produce señales que ayudan a entrenar un modelo «estudiante». Pueden ser etiquetas, probabilidades o respuestas generadas. El estudiante no copia necesariamente los parámetros del profesor; aprende una aproximación a su comportamiento a partir de muchos ejemplos. El resultado puede ser más pequeño, barato y rápido.
Por eso no toda destilación es sospechosa. Un laboratorio puede destilar su propio modelo, un proveedor publicar un estudiante con permiso o un equipo usar datos sintéticos bajo condiciones claras. La diferencia está en quién controla el proceso, qué datos se utilizan y si existe autorización para generarlos y reutilizarlos.
Cuándo pasa a ser un ataque
La destilación adversarial convierte una interfaz de uso en una fuente masiva de datos de entrenamiento. El operador formula muchas solicitudes, automatiza la recogida y busca respuestas que revelen capacidades difíciles de obtener mediante un uso normal. OpenAI y Anthropic han señalado también el razonamiento protegido: el texto interno que un modelo utiliza antes de producir una respuesta visible.
Una traza de razonamiento puede ofrecer pistas sobre cómo el modelo descompone tareas o aplica salvaguardas. Extraerla no equivale a copiar los pesos ni a entrar en la base de datos del proveedor. Es aprendizaje indirecto a través de las salidas y puede incluir abuso de cuentas o del servicio.