OpenAI dice que cerró una campaña de extracción de razonamiento; investigadores: Azure siguió abierto más tiempo

OpenAI dijo que detectó y cerró una campaña coordinada de destilación adversaria dirigida a copiar el razonamiento protegido en cadena de pensamiento que los usuarios normalmente no ven. THE DECODER (1 de octubre de 2026) resume el blog de OpenAI: la actividad empezó a bajo volumen el 1 de julio, subió el 24–25 de julio a unos 16.000 pedidos de más de 4.000 usuarios, y OpenAI asoció una red de más de 15.000 cuentas que dice haber cerrado por completo el 28 de julio. Una nota aclara que fueron extracciones intentadas, no necesariamente exitosas.

Cómo funcionaba el truco

Según OpenAI e investigadores a los que acredita (incluido Joachim Schaeffer), los atacantes reutilizaban paquetes de razonamiento cifrados de una conversación y pedían a otro modelo en otra sesión descifrarlos e imprimirlos. Modelos más débiles de la misma familia podían actuar como oráculo de descifrado. OpenAI vincula un núcleo a personas asociadas con Moonshot AI (Kimi) y dice que no está claro si todos los actores observados vienen de una sola fuente. La compañía afirma haber prohibido cuentas fraudulentas, endurecido altas y cerrado la reutilización de razonamiento cifrado ajeno.

La brecha de Azure

El 13 de septiembre, al volver a probar, el ataque estaba bloqueado en las API propias de OpenAI y Anthropic, pero en Microsoft Azure aún funcionaba contra todos los modelos OpenAI probados —incluido GPT-6 Astra— y Anthropic hasta Sonnet 5. THE DECODER sitúa salvaguardas de OpenAI en Azure hacia el 27 de septiembre, y en Anthropic en Azure la extracción dejaba de reproducirse desde el 28 de septiembre. Un segundo método (bloc de notas virtual, demo de Can Bölük) también reveló razonamiento. OpenAI reconoce que los modelos alojados por socios necesitan la misma protección. Este artículo informa; no es un tutorial.