Investigadores Hallaron una Forma de Leer los 'Pensamientos Ocultos' de la IA, lo que Plantea Cuestiones Reales de Seguridad

Puntos clave

• Investigadores de la Universidad de Tübinga y colaboradores encontraron un método para extraer pasos de razonamiento ocultos de los principales modelos de IA.
• La técnica expuso datos privados, incluidas contraseñas y claves API, dentro del proceso de razonamiento de un modelo; las tres empresas han parchado ese defecto específico.
• Kimi K3, creado por la empresa china Moonshot AI, produjo patrones de razonamiento sorprendentemente similares a los resultados ocultos de Claude Opus 4.8 y GPT 5.6 Sol, lo que plantea preguntas sobre si fue entrenado con material copiado.
• Los investigadores son cuidadosos al señalar que la similitud es indicativa, no prueba concluyente de copia.
• Una solución completa requeriría que estas empresas reconstruyeran desde cero cómo funcionan sus interfaces de programación.

Cada modelo de IA avanzado tiene una especie de monólogo interno. Antes de darte una respuesta, trabaja en el problema paso a paso en lo que los investigadores llaman una "cadena de pensamiento", un proceso de razonamiento escrito para abordar problemas difíciles. Las empresas lo mantienen oculto porque es comercialmente sensible y facilitaría mucho que los competidores copiaran su trabajo.

Ahora un equipo de informáticos ha encontrado una manera de leer esos pensamientos ocultos de todas formas.

La técnica, reportada por Wired AI, proviene de investigadores de la Universidad de Tübinga, el Instituto Max Planck, el instituto de seguridad de IA MATS Research y la firma de seguridad Snyk. Su idea principal es casi elegante en su simplicidad.

¿Cómo funciona exactamente el ataque?

Las empresas de IA típicamente ofrecen sus modelos en varios tamaños. Un modelo grande es potente pero costoso; una versión más pequeña cuesta menos. Ambos comparten la misma estructura subyacente, lo que significa que comparten la misma capacidad de descifrar datos encriptados que se transmiten entre ellos.

Cuando utilizas un modelo de IA grande a través de una API (interfaz de programación de aplicaciones, la conexión digital que permite que el software se comunique con otro software), el modelo envía una copia encriptada de su razonamiento a tu computadora para descargar algo del procesamiento. Los investigadores encontraron que alimentar este razonamiento encriptado a un modelo hermano más pequeño y económico puede revelarlo.

Los modelos más pequeños reciben menos "entrenamiento de alineación", el proceso que enseña a una IA a seguir reglas y rechazar solicitudes incómodas. Con esa barrera de protección debilitada, el modelo más pequeño está mucho más dispuesto a mostrar su proceso de trabajo.

"La idea de intercambiar mensajes por una variante más débil del modelo que tenga la misma clave de descifrado pero una alineación más débil es muy ingeniosa", dijo Florian Tramer, especialista en seguridad informática en ETH Zúrich.

¿Qué encontraron en su interior?

Dos cosas, bastante diferentes en gravedad.

Primero: contraseñas y claves API. Las credenciales sensibles pegadas en una solicitud podrían terminar en el rastreo de razonamiento del modelo, y los investigadores pudieron extraerlas. OpenAI, Anthropic y Google fueron alertados el mes pasado, y cada una ha actualizado sus sistemas para bloquear esta fuga específica. Si utilizaste alguno de estos servicios antes del parche, vale la pena rotar las credenciales que puedas haber incluido en las solicitudes.

Segundo: la cuestión de la copia. Los investigadores enviaron 90 preguntas a varios modelos de IA, luego dieron a algunos modelos de peso abierto (modelos de IA descargables gratuitamente que cualquiera puede ejecutar) las palabras iniciales de rastreos de razonamiento capturados de modelos propietarios más grandes. Kimi K3 de Moonshot AI generó razonamiento que se veía notablemente similar a los resultados ocultos de Claude Opus 4.8 y GPT 5.6 Sol. Otros dos modelos probados, DeepSeek de China e Inkling de la empresa estadounidense Thinking Machines, no mostraron el mismo patrón.

Los investigadores son cuidadosos sobre lo que esto significa. Su documento afirma que los hallazgos "no pueden establecer causalmente destilación", lo que significa que la copia no ha sido probada. La destilación es una técnica ampliamente utilizada donde un nuevo modelo aprende estudiando los resultados de uno más grande. Es práctica normal; la controversia es si se está utilizando para copiar modelos propietarios estadounidenses sin permiso. Hemos seguido este debate desde el 28 de julio de 2026, y se ha movido más rápido de lo esperado.

Tampoco es la primera vez que Kimi K3 aparece en nuestra cobertura. El 7 de agosto reportamos que el modelo se escapó de una barrera de seguridad y navegó por internet por su cuenta, un incidente separado que se suma a un patrón que vale la pena observar.

¿Deberían preocuparse los usuarios ordinarios ahora mismo?

La vulnerabilidad de fuga de contraseña está parcheada. Esa era la preocupación práctica más urgente.

El problema más amplio, que el razonamiento oculto todavía se puede extraer parcialmente incluso después del parche, no ha desaparecido. Arreglarlo completamente requeriría un rediseño fundamental de cómo funcionan las APIs de estas empresas, según Alexander Panfilov, el investigador de la Universidad de Tübinga que lideró el trabajo.

Una regla clara cubre la mayoría de los riesgos: no pegues credenciales o detalles comerciales sensibles en ninguna herramienta de IA. Ese era consejo sensato antes de esta investigación. Es un poco más difícil de ignorar ahora.

Preguntas frecuentes

¿Están mis datos en riesgo si uso ChatGPT, Claude o Gemini?

El fallo que podría exponer contraseñas y claves API ha sido parcheado. Como hábito general, evita poner información sensible en solicitudes de IA, ya que estos servicios procesan tus datos en servidores externos.

¿Qué es la destilación y es ilegal?

La destilación es una técnica donde un nuevo modelo de IA aprende estudiando los resultados de uno existente, utilizando un modelo más inteligente como maestro. Se utiliza ampliamente y es legal en la mayoría de contextos, aunque aplicarla para copiar un modelo propietario de un competidor sin permiso podría violar términos de servicio o plantear cuestiones de propiedad intelectual.