Preguntar a un chatbot es gratis. Hacerlo cientos de miles de veces con un objetivo muy concreto, no. Google asegura que su modelo Gemini ha sido sometido a campañas masivas de consultas diseñadas no para usar el servicio, sino para desentrañar cómo funciona por dentro. En al menos un caso, el sistema recibió más de 100.000 prompts con un único propósito: aprender a imitar su comportamiento.

No se trata de un ataque clásico en el sentido de robar datos o tumbar servidores. Es otra cosa. Una forma de ingeniería inversa aplicada a la inteligencia artificial que apunta al activo más valioso de estas compañías: la “receta” que hace que sus modelos razonen como lo hacen.

Qué significa “destilar” una IA

En el sector se habla de ataques de destilación o de extracción de modelo. La idea es relativamente simple en concepto y compleja en la práctica: bombardear a un sistema con preguntas cuidadosamente diseñadas para inferir patrones internos. No se accede al código ni a los pesos del modelo, pero se observa cómo responde ante miles de variaciones de un mismo problema.

Con suficiente volumen de datos de entrada y salida, es posible entrenar otro modelo que reproduzca parte de ese comportamiento. No es un clon perfecto, pero sí una forma de “copiar la forma de pensar” sin haber invertido los miles de millones que cuesta entrenar un sistema desde cero. En un mercado donde la ventaja competitiva se mide en pequeñas mejoras de razonamiento, eso es oro.

Por qué Gemini es solo el primer aviso

Google reconoce que, por su tamaño y visibilidad, se ha convertido en una especie de banco de pruebas involuntario. Si un modelo tan expuesto es objetivo de campañas masivas, el mensaje implícito es que cualquier empresa que ponga una IA potente en internet entra automáticamente en la lista de posibles víctimas.

Esto es especialmente delicado para compañías que desarrollan modelos entrenados con datos sensibles o con conocimiento estratégico propio. No hace falta imaginar escenarios de espionaje industrial muy sofisticados: basta con que un competidor automatice miles de consultas para intentar extraer “cómo razona” un sistema entrenado con décadas de know-how interno.

La debilidad estructural de la IA abierta al público

El problema de fondo es que los grandes modelos de lenguaje están diseñados para ser interrogados. Su interfaz es, literalmente, una puerta abierta. Aunque las empresas implementen sistemas de detección de patrones anómalos y bloqueen cuentas, el vector de ataque no desaparece. Mientras un modelo responda a peticiones públicas, siempre existirá la posibilidad de usar esas respuestas como materia prima para otro sistema.

En otras palabras, no es un fallo puntual de seguridad, sino una tensión estructural entre apertura comercial y protección de propiedad intelectual. Cuanto más accesible es una IA, más fácil es aprender de ella sin permiso.

La carrera ya no es solo por ser el mejor, sino por no ser copiado

Durante años, la narrativa de la carrera de la IA se centró en quién entrenaba el modelo más grande, con más datos y más parámetros. Este tipo de ataques añade otra capa al conflicto: ahora también importa quién es capaz de proteger mejor el “comportamiento” de su sistema frente a la ingeniería inversa.

Esto puede tener consecuencias directas en cómo se despliegan las próximas generaciones de modelos. Más restricciones de uso, APIs más cerradas, controles más agresivos sobre el volumen de consultas y, probablemente, una mayor fragmentación entre modelos “abiertos al público” y herramientas de alto nivel reservadas para clientes corporativos.

El mensaje incómodo que deja el caso Gemini

El episodio de Gemini no va solo de Google. Es una señal de madurez del sector. Cuando una tecnología se vuelve lo bastante valiosa, deja de ser solo una herramienta y pasa a convertirse en un objetivo. Y cuando copiar su comportamiento se vuelve rentable, la pregunta ya no es si habrá intentos de extracción, sino cuántos y con qué nivel de sofisticación.

La IA ha entrado en una fase en la que el riesgo no es solo que falle, sino que otros aprendan demasiado bien de cómo funciona. Y eso, para una industria basada en modelos propietarios, es un problema que todavía no tiene una solución clara.