Destilación de IA: EEUU acusa a Moonshot de robar a Anthropic

Quince días. Ese es el margen que la Casa Blanca necesita para sostener que Moonshot AI robó el modelo más avanzado de Anthropic y construyó con él a Kimi K3. Los investigadores independientes que han revisado la cronología dicen que en quince días no se destila un modelo de casi tres billones de parámetros, y punto. Entre ambas posturas se libra, desde el 22 de julio de 2026, una de las disputas jurídico-geopolíticas más densas que ha producido la carrera de la inteligencia artificial: acusaciones sin pruebas públicas, un régimen de secreto comercial que no sabe qué hacer con los pesos de un modelo, y una laguna en el control de exportaciones que pasa, literalmente, por Tailandia.

El estrechamiento que puso nerviosa a Silicon Valley

Para entender por qué una publicación en X de un funcionario del Gobierno estadounidense desató sanciones sobre la mesa en cuestión de horas, hay que mirar primero el marcador. Estados Unidos encabeza el índice global de innovación en IA con 78,44 puntos sobre 100; China ocupa el segundo lugar con 60,49, más de veinte puntos por delante del tercer clasificado¹. La distancia sigue siendo amplia en el papel. Pero el dato que de verdad importa no es ese: es el que mide la brecha entre los mejores modelos de cada país, y esa brecha, según el índice de referencia de Stanford, se ha reducido a un 2,7 %². Estados Unidos sigue liderando en número de modelos de primer nivel e inversión privada; China domina en volumen de investigación, patentes y citaciones académicas².

El Reino Unido lo confirma desde un ángulo más operativo. El AI Security Institute británico ha documentado que los modelos chinos de peso abierto alcanzan a los sistemas fronterizos estadounidenses cada vez más rápido: la ventana temporal ha pasado de un intervalo de 6-10 meses a otro de 4-7 meses³. En ese contexto llegó, el 16 de julio de 2026, Kimi K3: un modelo de Mixture-of-Experts con aproximadamente 2,8 billones de parámetros totales, ventana de contexto de un millón de tokens y visión nativa, que Moonshot presentó como el primer sistema de peso abierto que se aproxima a los tres billones de parámetros⁴. La compañía prometió liberar los pesos completos el 27 de julio, lo que lo convertiría en el mayor modelo de código abierto jamás publicado⁵.

Kimi K3 no llegó solo. Compite directamente con Claude Fable 5, el modelo insignia de Anthropic, y con los sistemas más recientes de OpenAI⁶. Y aquí conviene una precisión que las fuentes periodísticas del caso tienden a simplificar y que resulta decisiva para todo lo que sigue: Claude Fable 5 no se lanzó el 1 de julio de 2026, como suele repetirse. Anthropic lo lanzó originalmente el 9 de junio de 2026 junto con Claude Mythos 5; tres días después, el 12 de junio, el Gobierno estadounidense impuso un control de exportación de emergencia que obligó a Anthropic a suspender el acceso a ambos modelos para todos los usuarios, al carecer de un mecanismo fiable para verificar la nacionalidad en tiempo real; el 30 de junio esos controles fueron levantados, y el 1 de julio Anthropic restableció el acceso global a Fable 5⁷. Es decir: el 1 de julio no es la fecha de nacimiento del modelo, sino la fecha en que volvió a estar disponible tras diecinueve días de apagón regulatorio. La distinción no es cosmética, porque el argumento central de la defensa técnica de Moonshot —que no hubo tiempo material para destilar Fable 5 antes de lanzar K3— se apoya precisamente en esa ventana de disponibilidad pública, y conviene tenerla bien fechada antes de juzgar su plausibilidad.

Las acusaciones, palabra por palabra

La acusación tiene nombre y hora. El 22 de julio de 2026, Michael Kratsios, director de la Oficina de Política Científica y Tecnológica de la Casa Blanca (OSTP), escribió en X: «Tenemos información de que Moonshot AI destiló el Fable de Anthropic para el desarrollo de su modelo K3»⁸. Añadió que la compañía había desarrollado «una sofisticada plataforma interna para realizar destilación a gran escala contra modelos estadounidenses, permitiéndoles cambiar rápidamente entre múltiples métodos de acceso para evitar la detección»⁹. Kratsios distinguió expresamente entre la destilación legítima —«parte vital del ecosistema de innovación abierta»— y lo que llamó «destilación industrial encubierta a gran escala destinada a robar tecnología patentada estadounidense», calificándola de «inaceptable»⁸ ⁹.

Un día después, el secretario del Tesoro Scott Bessent subió el tono en una entrevista en Fox Business: la administración estaba «encontrando marcas de agua de nuestros grandes modelos de lenguaje estadounidenses en muchos de los modelos chinos»¹⁰, sin especificar en qué consistían esas marcas ni qué metodología las detectó. Bessent fue explícito sobre las consecuencias: «apoyamos el código abierto y la innovación que aporta. Pero el código abierto no es una temporada de caza abierta»; «las sanciones y la inclusión en la lista de entidades están sobre la mesa»¹¹.

A esto se sumó una segunda acusación, distinta y más verificable en su naturaleza porque remite a hardware físico, no a patrones estadísticos: Moonshot habría «adquirido servidores equipados con GB300 y accedido a GB300 en Tailandia, probablemente para entrenar sus modelos de IA»¹². Los chips GB300 pertenecen a la plataforma Blackwell de Nvidia y su venta a empresas chinas está prohibida por la normativa de control de exportaciones vigente¹³. El Buró de Industria y Seguridad (BIS) del Departamento de Comercio confirmó que el presunto acceso está bajo investigación formal¹⁴.

Pekín respondió por dos vías. El portavoz del Ministerio de Asuntos Exteriores, Lin Jian, declaró en rueda de prensa que «el desarrollo de la IA en China proviene de una mayor autosuficiencia y fortaleza en ciencia y tecnología», y advirtió que politizar estas cuestiones «solo sofocará los avances mundiales en IA»¹⁵. La Embajada china en Washington fue más directa: calificó las acusaciones de «completamente infundadas»¹⁶. Moonshot AI, por su parte, no emitió una respuesta institucional formal¹⁷, aunque dos empleados sí hablaron a título personal: Randy Xian respondió con una ironía que se ha convertido en la frase más citada del caso —«entrenamos un modelo fronterizo completamente nuevo en SOLO 15 DÍAS. Cuestión de récord Guinness»¹⁸— y Huang Zhenxin, responsable de negocio de la compañía, sostuvo que el salto de rendimiento de K3 procede de «innovaciones arquitectónicas originales en la base, no de la replicación por destilación de modelos existentes»¹⁹.

Lo que la destilación puede y no puede hacer en quince días

La destilación de conocimiento (knowledge distillation) no es una técnica nueva ni sospechosa por definición. Nació en 2006, cuando Caruana y sus colaboradores comprimieron un conjunto de cientos de clasificadores en una única red neuronal mil veces más pequeña y rápida, sin perder rendimiento²⁰. Aplicada a los grandes modelos de lenguaje, consiste en usar un modelo «profesor» para entrenar a un modelo «estudiante» más eficiente, y es una práctica que los propios laboratorios fronterizos emplean de forma rutinaria para producir versiones económicas de sus propios sistemas²¹.

El problema no es la técnica: es la escala y el método de acceso. Lo que Anthropic denuncia —y esto conviene separarlo con precisión del episodio de Kimi K3, porque son dos acusaciones distintas aunque conectadas— es una campaña anterior, publicada el 23 de febrero de 2026, en la que identificó a DeepSeek, Moonshot AI y MiniMax como responsables de generar más de 16 millones de intercambios con Claude a través de aproximadamente 24.000 cuentas creadas fraudulentamente, en violación de sus términos de servicio y de las restricciones de acceso regional²². De ese total, MiniMax concentró el mayor volumen, con más de 13 millones de intercambios²³. El mecanismo descrito por Anthropic consiste en inundar el modelo objetivo con volúmenes masivos de prompts diseñados para extraer capacidades específicas, recopilar las respuestas y usarlas para entrenar o refinar modelos propios a una fracción del coste y del tiempo que exigiría un desarrollo independiente²². Es la misma lógica que, según Google, sufrió Gemini cuando atacantes le enviaron más de 100.000 prompts en un intento de clonarlo²⁴, y la razón por la que Anthropic, OpenAI y Google acordaron en abril de 2026 compartir información para combatir lo que denominan «destilación adversarial»²⁵.

Pero la acusación de julio es otra cosa: no habla de una campaña sostenida durante meses, sino de destilar un modelo del calibre de Fable 5 en el tiempo que separa su disponibilidad pública —contando desde el 1 de julio, fecha del restablecimiento del acceso global tras la suspensión— y el lanzamiento de K3 el 16 de julio. Ahí es donde la comunidad técnica se planta. Braden Hancock, investigador del Laude Institute y cofundador de Snorkel AI, lo resumió sin rodeos: «no creo que se obtenga un modelo tan fuerte y tan rápido tras el lanzamiento de Fable haciendo exclusivamente destilación. Sencillamente no hay tiempo […] no se pueden destilar tantos datos, entrenar un modelo y lanzarlo en dos semanas»²⁶. Nathan Lambert, del Allen Institute for AI, añade un matiz relevante sobre la tendencia general del sector: «la destilación es cada vez menos impactante con el tiempo, a medida que los modelos chinos se acercan a la frontera y el régimen de entrenamiento se desplaza hacia el aprendizaje por refuerzo»²⁶. Y un tercer indicio, más específico, apunta en la misma dirección: según el comentarista ChrisGPT, Kimi K3 ya estaba en evaluación interna en abril o mayo de 2026, antes incluso de que Fable 5 llevara disponible el tiempo suficiente para ser destilado de forma plausible²⁷.

La evaluación comparativa de rendimiento aporta un dato adicional, ambiguo pero no irrelevante. La valoración conjunta preliminar del UK AI Security Institute y el U.S. Center for AI Standards and Innovation, publicada el 23 de julio de 2026 y centrada en capacidades cibernéticas, sitúa a K3 «significativamente por debajo de los modelos fronterizos más recientes»²⁸: en la prueba ExploitBench obtuvo un 32 % frente al 24 % de GLM-5.2, pero no logró ejecución de código arbitrario en ninguna de las 41 muestras, mientras los modelos estadounidenses más avanzados sí la lograron en 20²⁸. Si K3 fuera un producto de destilación directa de Fable 5, cabría esperar un perfil de rendimiento más cercano al del supuesto modelo profesor; el hecho de que lo supere en algunas áreas y quede claramente por debajo en otras es, como señaló Dean W. Ball, responsable de estrategia de futuro en OpenAI, un indicio de que el resultado «probablemente no pueda atribuirse simplemente a la destilación o medios similares»²⁹. Michael Chau, profesor de la HKU Business School, resume la posición del sector académico con una frase que debería presidir cualquier análisis jurídico del caso: «generalmente es difícil demostrar si un modelo de lenguaje grande ha sido destilado de otro, y actualmente no hay pruebas suficientes para demostrar si Kimi K3 fue destilado de Fable 5»³⁰.

¿Puede el secreto comercial proteger los pesos de un modelo?

Aquí es donde el caso deja de ser un debate técnico y se convierte en un problema jurídico sin resolver. El instrumento más prometedor para proteger un modelo de IA frente a la destilación no autorizada es el secreto comercial, articulado en Estados Unidos por la Defend Trade Secrets Act de 2016 (DTSA) y, a nivel estatal, por la Uniform Trade Secrets Act (UTSA)³¹. Para que una información sea secreto comercial, el demandante debe probar tres elementos: que es realmente secreta, que deriva de ahí un valor económico y que se han adoptado medidas razonables para protegerla³¹. La cuestión que ningún tribunal ha resuelto todavía es si los patrones de razonamiento, las representaciones aprendidas y las distribuciones de capacidad de un modelo entrenado pueden calificarse como ese tipo de secreto, y si extraerlos mediante destilación constituye una apropiación indebida³².

Michael Ng, abogado de Kobre & Kim especializado en secreto comercial, sostiene que los proveedores de modelos «no están indefensos» aunque las salidas del modelo sean ampliamente accesibles: «la viabilidad técnica por sí sola no hace lícita la destilación»³³. Las empresas pueden reforzar su posición prohibiendo explícitamente la destilación en los términos de servicio, incluso cuando el acceso es público³³. Pero la aplicación práctica de la DTSA tropieza con dos obstáculos serios. Primero, la propia IA complica probar que el secreto existía: el uso generalizado de herramientas de IA por empleados e investigadores puede generar filtraciones inadvertidas que socavan la reclamación³⁴. Segundo, y más de fondo, la ingeniería inversa a través de interfaces públicas es presumiblemente lícita³²: si cualquiera puede inferir el comportamiento de un modelo interrogándolo por una API abierta al público, resulta difícil sostener que ese comportamiento seguía siendo secreto en sentido estricto.

El precedente más cercano —OpenEvidence v. Pathway, presentado el 26 de febrero de 2026— alega precisamente que la extracción de datos de una IA generativa constituye apropiación indebida de secretos comerciales y violación de contrato³⁵, pero el litigio está en fase inicial y no ha producido todavía doctrina jurisprudencial firme. El derecho de autor ofrece una vía alternativa igual de incierta: la Oficina de Copyright de Estados Unidos concluyó en su informe de 2025 sobre IA generativa que el entrenamiento «a menudo será transformativo», pero matizó que «la transformatividad es una cuestión de grado del modelo y de cómo se despliega»³⁶, sin fijar un estándar claro aplicable a la destilación. Y conviene no perder de vista, en aras de la coherencia argumentativa, que la propia Anthropic ha sido demandada por adquirir más de siete millones de libros protegidos por copyright sin autorización, descargándolos de sitios piratas³⁷ —un antecedente que la propia industria estadounidense invoca en su contra cuando defiende un uso amplio del fair use para el entrenamiento, y que complica su posición moral, aunque no necesariamente su posición jurídica, al reclamar protección frente a la destilación de sus propios modelos.

Los términos de servicio siguen siendo, con todo, el instrumento más inmediato: Anthropic ya invocó su violación en la campaña de 24.000 cuentas fraudulentas de febrero de 2026²². Pero su eficacia frente a empresas chinas que operan a través de servicios proxy y sin presencia en Estados Unidos es limitada, y su valor como prueba de mala fe en una reclamación de secreto comercial es, en el mejor de los casos, indiciario³⁸.

El vacío de Tailandia y la carrera legislativa para cerrarlo

La segunda acusación —el acceso a chips GB300 a través de Tailandia— apunta a un problema estructural del régimen de exportaciones más fácil de verificar que la destilación, pero no por ello más probado en este caso concreto. Desde 2022 Estados Unidos restringe la exportación de procesadores de IA de alto rendimiento a China³⁹; en diciembre de 2025, la administración Trump autorizó la venta a China de los chips NVIDIA H200 y AMD MI325X, una generación por detrás de la línea Blackwell, cambiando la revisión de licencias de una presunción de denegación a un examen caso por caso⁴⁰. Los chips GB300, en cambio, permanecen estrictamente prohibidos para exportación directa a China⁴¹.

El problema es que la prohibición solo cubre la exportación directa. La normativa actual no impide, en términos generales, que una empresa china acceda de forma remota a procesadores avanzados alojados en un tercer país —una laguna conocida como «vacío en la nube»⁴². Tailandia es, según los analistas, un centro de producción y distribución de servidores de IA donde la presencia de chips GB300 no resulta extraordinaria por sí misma⁴³; la cuestión jurídicamente relevante no es que existan servidores allí, sino si Moonshot tuvo acceso a ellos y si ese acceso violó los controles de exportación estadounidenses, algo que la investigación del BIS, todavía en curso, no ha confirmado públicamente⁴⁴.

El Congreso ya había identificado esta laguna antes del caso Moonshot. El 12 de enero de 2026, la Cámara de Representantes aprobó el Remote Access Security Act (RASA, H.R. 2683) con una votación de 369 a 22⁴⁵, tras haber sido aprobado por unanimidad (51-0) en el Comité de Asuntos Exteriores⁴⁶. El proyecto modificaría la Export Control Reform Act de 2018 para extender la autoridad del BIS al «acceso remoto» de elementos sujetos al EAR —incluyendo software como servicio e infraestructura como servicio— cuando el secretario de Comercio determine que ese uso «podría suponer un riesgo grave para la seguridad nacional»⁴⁷. El texto sigue pendiente en el Senado, donde una versión paralela (S. 3519) espera turno en el Comité de Banca⁴⁸. De aprobarse, RASA cerraría formalmente el vacío que la acusación contra Moonshot ha puesto en evidencia; hasta entonces, el régimen de exportaciones convive con una asimetría notable entre lo que prohíbe sobre el papel y lo que puede efectivamente impedir en la práctica.

Una administración dividida y una industria que no habla con una sola voz

Uno de los elementos más reveladores del caso, y el que menos atención ha recibido en la cobertura inicial, es que la propia administración estadounidense no está unida. Según Politico, Kratsios no presentó pruebas documentales que respaldaran sus acusaciones, y existe escepticismo interno, con una división entre el enfoque de línea dura de Kratsios y Bessent y la postura más moderada del secretario de Comercio, Howard Lutnick⁴⁹. Esa división se refleja también en el sector privado: casi 200 fundadores de startups e inversores han pedido a la Casa Blanca que no bloquee el acceso a los modelos chinos de peso abierto⁵⁰, y el propio consejero delegado de Nvidia, Jensen Huang, se ha opuesto a las prohibiciones totales, argumentando que las empresas estadounidenses deberían poder usar los modelos abiertos que desarrolla China⁵¹.

El asesor de IA de la Casa Blanca, David Sacks, ha ido más lejos al señalar el trasfondo comercial del debate: «los principales laboratorios cerrados, ya un duopolio en términos de ingresos por modelos de IA, quieren que el gobierno elimine su competencia de código abierto»⁵². Es una hipótesis, no un hecho probado, pero explica por qué el caso Moonshot no puede leerse solo como un problema de cumplimiento normativo: hay un interés comercial directo de los laboratorios estadounidenses cerrados en que la competencia china de peso abierto quede jurídicamente estigmatizada, en un momento en que la diferencia de precio entre ambos ecosistemas es difícil de ignorar. DeepSeek-V4-Pro cobra 0,87 dólares por millón de tokens de salida, frente a los 50 dólares de Claude Fable 5: un descuento superior al 98 %⁵³. Empresas estadounidenses como Coinbase ya ejecutan modelos chinos de peso abierto en producción para reducir casi a la mitad su gasto en IA⁵⁴.

Qué está realmente en juego con la Entity List

La sanción que se baraja no es simbólica. La inclusión en la Entity List del BIS cortaría a Moonshot AI el acceso a hardware, software y servicios en la nube estadounidenses sin licencia específica⁵⁵, y según la prensa el Gobierno estudia extender esa medida también a DeepSeek y al equipo Qwen de Alibaba⁵⁶. El precedente existe: en marzo de 2026 el BIS ya había añadido 80 entidades a esa lista por actividades de IA y computación avanzada vinculadas a China⁵⁷.

Pero la eficacia práctica de una prohibición sobre modelos de peso abierto es dudosa por razones técnicas más que jurídicas. Los modelos abiertos existen como archivos descargables, replicados en repositorios públicos y torrents independientes, lo que los hace extraordinariamente difíciles de retirar una vez publicados⁵⁸. Las empresas los ajustan, cuantifican o destilan de forma rutinaria, mezclando la base china con datos corporativos propios hasta que la procedencia se difumina⁵⁸. Incluso con prohibiciones estrictas de descarga, cabría alojar los modelos a través de filiales extranjeras, aunque ese vector choca con las normas de know-your-customer de los proveedores de nube y con el alcance extraterritorial de los propios controles de exportación⁵⁸. La paradoja de fondo es que cuanto más se endurezca el marco normativo, más se empujará a la industria estadounidense —la misma que las sanciones pretenden proteger— hacia soluciones de cumplimiento cada vez más costosas y porosas.

La carga de la prueba, antes que el veredicto

Conviene cerrar donde debería haber empezado el debate público: con la pregunta de quién tiene que probar qué. En materia de secreto comercial, la carga recae íntegramente sobre el demandante, que debe acreditar mediante la preponderancia de la prueba que la información era secreta, que generaba valor de ese secreto y que hubo medidas razonables de protección, además de que la adquisición se produjo por medios impropios⁵⁹. En el ámbito administrativo, en cambio, el estándar es más laxo: el BIS puede incluir entidades en la Entity List basándose en «información creíble» de un riesgo para la seguridad nacional, un umbral considerablemente inferior al de un procedimiento judicial⁶⁰.

Esa diferencia de estándares explica por qué la administración puede actuar —y amenazar con sanciones— sin haber hecho pública una sola prueba documental de la destilación ni del acceso a los GB300⁶¹, mientras que un eventual litigio por secreto comercial exigiría un umbral de prueba mucho más exigente que, a día de hoy, ninguna de las partes ha satisfecho públicamente. La cronología cuestiona la plausibilidad técnica de la acusación de destilación; la ausencia de pruebas documentales cuestiona su solidez probatoria; y la existencia de una laguna real en el control de exportaciones —el «vacío en la nube» que RASA pretende cerrar— presta credibilidad estructural, aunque no fáctica, a la segunda acusación. Son tres planos distintos que conviene no confundir, y que la cobertura periodística del caso ha tendido a mezclar en un único relato de culpabilidad o inocencia que la evidencia disponible, sencillamente, todavía no permite sostener en ningún sentido.

Lo que este caso deja planteado

• La distinción entre destilación legítima y apropiación indebida sigue sin resolución jurisprudencial en Estados Unidos; el caso OpenEvidence v. Pathway podría sentar el primer precedente relevante, pero está en fase inicial.
• La cronología pública —Fable 5 disponible desde el 1 de julio tras su restablecimiento, K3 lanzado el 16— hace técnicamente implausible, según el consenso de los expertos citados, que la destilación por sí sola explique el rendimiento de Kimi K3.
• El «vacío en la nube» que permite el acceso remoto a chips restringidos desde terceros países es real y anterior al caso Moonshot; el RASA lleva desde enero de 2026 aprobado en la Cámara y pendiente en el Senado.
• La Entity List permite sancionar con un estándar probatorio mucho más bajo que un litigio civil, lo que separa la consecuencia práctica —posible corte de acceso a hardware y nube estadounidenses— de la solidez jurídica de la acusación que la motiva.
• La división dentro de la propia administración estadounidense, y entre esta y buena parte del sector tecnológico, sugiere que el desenlace del caso responderá tanto a intereses comerciales de los laboratorios cerrados como a una valoración jurídica objetiva de los hechos.
• Mientras el BIS no haga públicas sus conclusiones, la presunción de inocencia exige tratar la acusación de destilación y la de acceso ilícito a los GB300 como lo que son hoy: hipótesis con apoyo circunstancial, no hechos probados.

---

Fuentes principales: declaraciones públicas de Michael Kratsios (OSTP) y Scott Bessent (Departamento del Tesoro) en X y Fox Business, 22-23 de julio de 2026; comunicados de Anthropic sobre las salvaguardas de Fable 5 y sobre la campaña de destilación identificada en febrero de 2026; evaluación conjunta preliminar del UK AI Security Institute y el U.S. CAISI sobre capacidades cibernéticas de Kimi K3 (23 de julio de 2026); cobertura de TechCrunch, Reuters, AP News, Politico, CNBC, Bloomberg y South China Morning Post; análisis jurídico de Lawfare sobre secreto comercial y destilación; informe de la Oficina de Copyright de EEUU sobre IA generativa (2025); texto del Remote Access Security Act (H.R. 2683, Congress.gov).