ChatGPT y Claude: ¿cómo lograron revelar su razonamiento oculto?

Una investigación internacional encontró una forma de recuperar partes del razonamiento interno que modelos avanzados de inteligencia artificial mantienen oculto mientras resuelven problemas. La técnica funcionó en sistemas vinculados con OpenAI, Anthropic y Google y, antes de ser mitigada, permitió incluso recuperar información sensible contenida en esos procesos. La preocupación no está solamente en saber qué “piensa” una IA: también en qué puede quedar atrapado ahí.

El trabajo, titulado Stealing Reasoning Traces from Proprietary LLM APIs, fue presentado en agosto de 2026 por Alexander Panfilov y otros siete investigadores relacionados con instituciones como la Universidad de Tubinga, el Instituto Max Planck, MATS Research y Snyk. El grupo estudió una característica técnica de los modelos de razonamiento que normalmente pasa completamente inadvertida para quien conversa con un chatbot. Y justo ahí estaba la rendija.

Modelos avanzados como Claude, ChatGPT y Gemini pueden realizar cálculos y pasos intermedios antes de entregar una respuesta visible. Las empresas mantienen ocultos esos rastros, conocidos técnicamente como cadenas o trazas de razonamiento, tanto para proteger propiedad intelectual como por razones de seguridad. El usuario recibe la respuesta final, pero no necesariamente todo el camino utilizado para llegar hasta ella.

El problema descubierto por los investigadores estaba relacionado con bloques cifrados de ese razonamiento utilizados por determinadas interfaces de programación, conocidas como API. Los autores encontraron que esos bloques podían ser trasladados entre sesiones y, en determinados casos, enviados a una variante más pequeña y menos protegida del modelo perteneciente al mismo proveedor. Dicho en chilango tecnológico: la puerta principal estaba cerrada, pero descubrieron que otra puerta del mismo edificio aceptaba la misma llave.

El procedimiento permitió hacer que modelos menos protegidos revelaran en texto algunos contenidos que un sistema más avanzado había generado internamente. Los investigadores reportaron que la técnica era aplicable a modelos pertenecientes a los ecosistemas de Anthropic, OpenAI y Google. No necesitaban romper directamente las protecciones del modelo más poderoso; aprovechaban la compatibilidad existente dentro de la familia de modelos. Ahí cambió el tamaño del problema.

La dimensión de privacidad apareció cuando el equipo revisó 315,320 bloques de razonamiento recopilados de repositorios públicos. El análisis permitió recuperar 367 elementos de información personalmente identificable y 182 credenciales, entre ellas datos relacionados con contraseñas o claves utilizadas para acceder a servicios mediante API. La investigación mostró así que algo aparentemente técnico podía terminar tocando información bastante más terrenal.

Esto no significa que cualquier persona pueda abrir ChatGPT esta noche y preguntarle por las contraseñas de otro usuario. Los investigadores notificaron el problema a las compañías involucradas y se implementaron mitigaciones para impedir la recuperación de información privada mediante el mecanismo descrito. Tampoco se reportó que los investigadores hubieran obtenido las claves de cifrado de los proveedores o penetrado directamente en sus infraestructuras.

Entonces, ¿por qué debería importarle esto a quien solamente usa un chatbot para redactar un documento, estudiar o resolver una duda? Porque recuerda una regla sencilla de seguridad digital: información introducida en un sistema informático puede terminar recorriendo más capas técnicas de las que observa el usuario. Por eso conviene evitar colocar contraseñas, claves API, secretos empresariales, bases de datos privadas o información personal innecesaria dentro de instrucciones enviadas a una IA.

El hallazgo tiene además una segunda dimensión: la competencia comercial por construir mejores modelos. Si alguien consigue obtener a gran escala los pasos de razonamiento producidos por una inteligencia artificial avanzada, ese material podría utilizarse para entrenar otro modelo mediante una técnica conocida como destilación. Es algo parecido a aprender de un chef no solamente probando el platillo terminado, sino llevándose también su libreta completa de recetas.

La destilación no es en sí misma una técnica irregular. Es un procedimiento utilizado ampliamente en inteligencia artificial para transferir capacidades de un modelo grande a otro más pequeño y eficiente. La controversia aparece cuando los datos utilizados para enseñar al segundo modelo proceden de sistemas propietarios y son obtenidos en condiciones que sus desarrolladores intentaron impedir. Y ahí entra China en la conversación.

Los investigadores compararon patrones recuperados con el comportamiento de modelos abiertos o descargables desarrollados por diferentes compañías. Encontraron semejanzas llamativas entre determinadas respuestas del modelo chino Kimi K3, desarrollado por Moonshot AI, y rastros relacionados con modelos avanzados estadounidenses. El trabajo señala que esos patrones son consistentes con la posibilidad de que haya existido destilación, pero deja claro un punto fundamental: la investigación no puede demostrar causalmente que haya ocurrido.

Ese matiz cambia toda la historia. Similitud no equivale automáticamente a copia. Dos estudiantes pueden resolver una ecuación utilizando pasos parecidos sin que uno haya mirado la libreta del otro. Para demostrar una transferencia deliberada serían necesarias evidencias adicionales sobre datos de entrenamiento, procedimientos utilizados y acceso a los modelos originales. Los autores no cuentan con esas pruebas.

De hecho, el análisis encontró diferencias entre sistemas. Otros modelos abiertos examinados no mostraron el mismo patrón de similitud con Claude que llamó la atención de los investigadores. Por esa razón, convertir el hallazgo en una afirmación general de que “las IA chinas copiaron a las estadounidenses” iría bastante más lejos de lo que permite concluir la evidencia disponible.

La investigación también pone sobre la mesa un problema para las propias compañías de inteligencia artificial. Cuanto más razonamiento interno desarrolla un modelo para resolver tareas complejas, mayor puede ser el valor de proteger esos procesos. El producto ya no es únicamente la respuesta que aparece en pantalla; también existe conocimiento comercial y técnico en la ruta empleada para construirla.

Para desarrolladores y empresas que trabajan con API de inteligencia artificial, la recomendación práctica es revisar qué información se introduce en prompts, registros y herramientas conectadas. Las credenciales deben mantenerse fuera de conversaciones y registros cuando no sean indispensables, utilizarse sistemas apropiados de gestión de secretos y limitar los permisos de cada clave. La vieja costumbre de pegarlo todo en una ventana de chat puede salir cara cuando entra información sensible.

Para el usuario común, la conclusión es todavía más simple: una inteligencia artificial puede parecer una libreta privada porque la conversación ocurre frente a una pantalla personal, pero técnicamente es un servicio informático. Contraseñas, números confidenciales y secretos laborales no deberían convertirse en material de conversación si no existe una razón necesaria para introducirlos.

El estudio deja finalmente una cifra difícil de ignorar: 315,320 bloques fueron suficientes para encontrar cientos de rastros de información privada y 182 credenciales. Las vulnerabilidades concretas notificadas ya recibieron mitigaciones, pero el episodio plantea una cuestión que acompañará a los modelos cada vez más capaces: si estamos enseñando a las máquinas a razonar durante más tiempo antes de contestarnos, ¿quién debe tener derecho a mirar todo lo que ocurre durante ese camino?