Anthropic publicó en 10 de septiembre el informe de inteligencia de amenazas más detallado hasta ahora. La empresa dice haber identificado y detenido operaciones que usaron Claude entre diciembre de 2025 y agosto de 2026 en siete áreas: ciberoperaciones, influencia, vigilancia, estafas y fraudes, uso biológico, desarrollo de armamento convencional y destilación de modelos. Cuentas fueron bloqueadas, indicadores compartidos con autoridades y socios y los hallazgos incorporados en las salvaguardas de la plataforma.
El punto central no es la fantasía de una IA que decidió atacar el mundo sola. Es más concreto: grupos humanos están conectando modelos capaces a herramientas, credenciales, datos y rutinas persistentes. El modelo puede escribir, analizar, traducir, priorizar y, en algunos flujos, orquestar acciones. Eso comprime tiempo y costo para quien ataca — y obliga a quien defiende a tratar cada agente como parte de una operación, no como una caja de conversación aislada.
Lo que el informe afirma — y lo que no prueba
El informe es una publicación propia de Anthropic, basada en investigaciones de su equipo de Threat Intelligence. Documenta casos que la empresa dice haber detectado y detenido; no es una auditoría independiente de todos los usos de Claude ni una medición universal del riesgo de IA. La distinción es importante porque la empresa tiene acceso privilegiado a las señales de la propia plataforma, pero también incentivos para explicar públicamente por qué sus controles son necesarios.
Hay tres verbos diferentes en el documento: identificar, detener y compartir. Identificar significa encontrar patrones sospechosos en interacciones y sistemas asociados. Detener incluye bloquear cuentas, bloquear flujos y crear detecciones para intentos futuros. Compartir significa proveer indicadores o contexto a autoridades y otras empresas cuando la actividad excede la plataforma. Ninguno de estos verbos significa que todos los daños potenciales fueron evitados o que los actores no tenían otras herramientas.
Esta es la primera lección para una empresa que usa IA: un reporte de detección no es sinónimo de riesgo eliminado. La gobernanza debe acompañar lo ocurrido antes de la alerta, qué permisos estaban disponibles, qué datos fueron expuestos y si el mismo patrón puede reaparecer en otra herramienta.
De asistente a operador de partes de la cadena
En el frente cibernético, Anthropic describe un cambio de papel. En lugar de solo pedir una explicación o un fragmento de código, operadores conectaron Claude a estructuras multiagente para reconocimiento, exploración, análisis y exfiltración. En muchos casos, personas siguieron eligiendo objetivos y revisando resultados, pero la ejecución de pasos se volvió más rápida y paralela.
Esto no convierte a todo modelo en un invasor autónomo. El informe también señala que autonomía y gravedad son ejes diferentes: algunas de las intrusiones más graves fueron conducidas por humanos paso a paso. La autonomía, sin embargo, cambia la economía del ataque. Menos trabajo manual por campaña significa que objetivos antes costosos o lentos pueden volverse viables, y la defensa debe detectar comportamiento distribuido en el tiempo.
Para el equipo de seguridad, la consecuencia es operativa. Los registros de prompts son insuficientes cuando el riesgo está en la combinación entre modelo, herramienta e identidad. Es necesario observar permisos, llamadas externas, cambios de contexto, acceso a secretos, intentos de eludir controles y el resultado producido. Este es el mismo principio de un Ciclo de Inteligencia: contexto previo, acción actual y registro del siguiente paso deben permanecer conectados.
Vigilancia e influencia: el riesgo no comienza con el malware
Los casos de vigilancia descritos por Anthropic muestran usos que pueden parecer “solo software”. La empresa reporta herramientas para recolectar identidades en redes sociales, organizar expedientes, analizar grandes volúmenes de publicaciones y operar sistemas de monitoreo. También describe actores estatales y proveedores de vigilancia usando Claude para transformar requisitos dispersos en interfaces, extensiones y rutinas de recolección.
El problema para organizaciones no es solo impedir un código malicioso. Es identificar cuándo una secuencia de tareas aparentemente neutrales — recolectar, correlacionar, clasificar, traducir y distribuir — produce un sistema de vigilancia o influencia. Controles de privacidad, propósito, retención, consentimiento y revisión humana deben existir antes de la automatización, no solo después de un incidente.
La misma lógica aplica para campañas de influencia. Un modelo puede adaptar mensajes, simular interlocutores y producir variaciones a escala. El daño no depende de una pieza viral aislada; puede surgir de la combinación entre segmentación, repetición y apariencia de autenticidad. Para quienes operan Empleados Digitales, identidad, memoria y límites de acción son parte del producto — no detalles cosméticos.
Biología y armas: por qué el “uso dual” requiere más contexto
La sección de biología es deliberadamente cautelosa. Anthropic presenta cinco casos en que actores usaron modelos en actividades que podrían apoyar desarrollo de armas biológicas. La empresa no afirma que cada interacción resultó en un arma, ni que un modelo solo haya producido capacidad operacional. La alerta es que solicitudes aparentemente legítimas pueden formar un proyecto peligroso cuando se observan en conjunto, especialmente si hay señales de evasión de controles y acceso a recursos externos.
El informe también cubre armas convencionales: software de orientación, drones, interceptación e inteligencia de suministros. En algunos casos, la empresa dice que hubo prueba de campo o simulación; en otros, solo trabajo de diseño y adquisición. La diferencia entre “ayudó a escribir” y “construyó un arma funcional” no puede ser borrada por un titular — ni debe usarse para minimizar la importancia de la asistencia técnica en etapas intermedias.
Aquí la discusión sale del laboratorio y entra en la gobernanza empresarial. Los sistemas de IA necesitan clasificación de riesgo, controles por función, registros auditables, límites de herramienta y escalamiento humano. El objetivo no es impedir toda investigación sensible; es garantizar que la organización sepa quién puede pedir qué, con qué datos, para qué propósito y bajo qué revisión.
Lo que cambia la destilación en la carrera de los modelos
La séptima categoría, destilación ilícita, trata de la tentativa de extraer y reproducir capacidades de un modelo mediante grandes volúmenes de interacciones. Este vector es menos cinematográfico que un ataque, pero estratégico: puede transferir meses de investigación e infraestructura a un competidor o intermediario sin reproducir la misma inversión.
Para empresas que contratan IA, la consecuencia es doble. Primero, credenciales y datos enviados a un proveedor deben ser tratados como activos con propósito y retención definidas. Segundo, no basta preguntar qué modelo se usa; es necesario saber qué integraciones, exportaciones y mecanismos de observabilidad existen alrededor. La Memoria a Largo Plazo de un Empleado Digital, por ejemplo, debe tener alcance, retención y acceso coherentes con el riesgo del proceso.
La respuesta práctica para quien opera IA ahora
El informe de Anthropic no pide pánico. Ofrece un mapa de trabajo. Una empresa que usa agentes debe:
- Diseñar permisos por tarea, no por conveniencia: lectura, escritura, ejecución y acceso externo deben separarse.
- Registrar contexto y resultado, no solo prompts: identidad, herramienta, dato accedido, decisión y escalamiento deben formar una ruta.
- Probar abuso con escenarios realistas, incluyendo evasión, persistencia y combinación de acciones benignas.
- Mantener un paso humano claro para fraude, vigilancia, datos sensibles, seguridad y decisiones irreversibles.
- Medir qué evitó el control y qué dejó pasar, sin confundir ausencia de alerta con ausencia de riesgo.
Este diseño se acerca a una gobernanza de IA orientada a la decisión: cada capacidad debe tener dueño, límite, evidencia y camino de revisión. El objetivo es permitir que la IA haga trabajo útil sin convertir la velocidad en invisibilidad.
Anthropic cierra el informe pidiendo que otras empresas compartan señales y fortalezcan defensas colectivas. La solicitud es legítima, pero no sustituye el escrutinio. Los proveedores deben explicar cómo detectan abuso; los clientes deben exigir controles verificables; investigadores y autoridades deben cuestionar métodos, evidencias e incentivos. La seguridad en IA no es una promesa de marketing. Es una propiedad operativa que debe sobrevivir al primer caso fuera del guion.
Lee el informe completo de Anthropic y la publicación original en X. Para transformar este debate en un diagnóstico de tu proceso, usa el Diagnóstico XMACNA.
Preguntas frecuentes
¿Anthropic afirma que Claude creó armas solo?
No. El informe describe personas y organizaciones usando Claude en etapas de investigación, desarrollo, inteligencia y software. Algunos casos incluyen simulaciones o pruebas, pero la publicación no prueba que el modelo solo haya producido un arma operacional.
¿Significa esto que cualquier empresa que usa IA está bajo ataque?
No. Los casos presentados son ejemplos seleccionados de abuso sofisticado. Muestran patrones de riesgo — autonomía, escala, evasión y combinación de herramientas — que deben incorporarse en el modelo de amenaza de cada organización.
¿Funcionaron las salvaguardas de Anthropic?
Según la empresa, las cuentas fueron identificadas, expulsadas y usadas para mejorar las detecciones. La propia publicación también reconoce que los controles no bloquearon todas las solicitudes. Por eso, las salvaguardas deben evaluarse continuamente, con monitoreo y revisión independiente.
¿Qué debe hacer primero un líder de negocio?
Mapear qué agentes acceden a datos, herramientas y sistemas externos; definir permisos mínimos; registrar decisiones y resultados; y crear una ruta humana para excepciones. Empezar por inventario y evidencia es más útil que elegir una herramienta por titular.