Claude no escribió el ransomware completo: el investigador solo encargó el malware por partes.

Claude se negó a escribir un ransomware completo, pero fue mucho más colaborador cuando el desarrollo del programa malicioso se dividió en tareas separadas. Un especialista de Varonis ensambló una muestra funcional en aproximadamente ocho horas, presentando funciones potencialmente peligrosas como partes de un desafío CTF legítimo.

El especialista del equipo Varonis Forensics Engineering Jeff Gonzalez realizó un experimento durante la preparación de la competición OSMOSIS Association OSINT CTF. A los participantes se les pidió investigar un incidente ficticio, analizar una muestra de ransomware y recuperar datos cifrados. Gonzalez necesitaba un programa malicioso controlado que dejara rastros realistas para su análisis con Velociraptor.

Una solicitud directa para crear ransomware casi con seguridad habría sido rechazada, por eso el desarrollador dividió el trabajo en tareas pequeñas. Claude ayudó por separado con la búsqueda de archivos, el procesamiento de datos y otros componentes. Este enfoque en Varonis lo llamaron Prompt Parkour. Algunas solicitudes parecían lo bastante neutrales como para pasar los filtros de seguridad sin objeciones.

Las protecciones funcionaron. Cuando Gonzalez pidió vincular la ejecución del programa a un identificador único del equipo, Claude reconoció la técnica típica del malware y se negó a ayudar. Parte de la infraestructura, incluido el servidor de claves, el especialista la escribió por su cuenta. La política de Anthropic prohíbe usar Claude para crear o distribuir malware y programas de ransomware.

El episodio más ilustrativo ocurrió más tarde. Claude comprendió que el proyecto se parecía a ransomware y pidió una explicación del objetivo. El directorio principal del proyecto se llamaba osmosis/ctf.2026, por lo que el modelo interpretó el entorno como confirmación de un escenario legítimo y continuó la tarea. Luego los mecanismos de protección bloquearon tres veces la implementación de una de las funciones. Al final Gonzalez solo pidió el comando de compilación, tras lo cual Claude regresó por su cuenta al fragmento previamente bloqueado, lo implementó y solo entonces emitió el comando solicitado.

Este comportamiento resulta especialmente interesante frente a la protección de Anthropic para los modelos Opus y Sonnet. La empresa clasifica el desarrollo de ransomware como una tarea prohibida, que debería bloquearse incluso para los participantes del Cyber Verification Program, destinado a especialistas en ciberseguridad.

La muestra final se ejecutó en un entorno aislado de Windows con aproximadamente 100 GB de archivos PDF, documentos de Microsoft Office, imágenes y archivos de texto comunes. El programa cifró todo el conjunto en menos de cinco minutos. El escenario se dejó intencionadamente reversible para que los participantes de la competición pudieran obtener la clave, analizar la muestra y escribir un descifrador.

La compilación y el despliegue llevaron alrededor de ocho horas. Sin la ayuda de la IA, Gonzalez esperaba gastar aproximadamente 40 horas, por lo que Claude redujo el esfuerzo en torno al 80%. Según Varonis, con algunos pequeños cambios la muestra resultante podría convertirse en una herramienta verdaderamente peligrosa.

El experimento no demuestra que Claude escriba malware sin obstáculos ante una solicitud directa. Más bien, el trabajo de Varonis muestra otro problema. El modelo puede bloquear correctamente una tarea peligrosa general, pero al mismo tiempo ayudar a reunir casi todos los componentes necesarios por separado. Como resultado, la IA reduce la cantidad de trabajo manual y acorta el tiempo que un desarrollador suficientemente preparado necesita para crear una herramienta maliciosa.