«El humano solo elige el objetivo»: Anthropic mostró ciberataques ya dirigidos por IA

La IA dejó de ser para los atacantes simplemente un asesor de código. Anthropic reveló una serie de operaciones reales en las que Claude realizó por sí mismo reconocimiento, buscó vulnerabilidades, ejecutó explotaciones, procesó datos robados, reconfiguró herramientas maliciosas tras ser detectadas y ayudó a crear sistemas de vigilancia y armamento.

La compañía analizó los abusos detectados entre diciembre de 2025 y agosto de 2026. En la mayoría de las operaciones cibernéticas descritas, los modelos ya realizaban tareas directamente o dirigían a otros agentes. Las personas fijaban objetivos y verificaban la información robada, mientras que los sistemas multiagente podían pasar horas o días realizando por sí mismos el reconocimiento, la explotación y la exfiltración contra varias víctimas a la vez.

Uno de los episodios de mayor envergadura que Anthropic relaciona con el espionaje cibernético. Un operador, cuyos métodos la empresa considera consistentes con la actividad Midnight Blizzard, automatizó casi toda la cadena de ataque. Claude ayudó a preparar la infraestructura, el phishing, el malware, el establecimiento de persistencia en sistemas y el robo de datos. Los agentes de IA vigilaban la detección de los implantes por las defensas y, al ser detectados, modificaban el código por sí mismos, recompilaban las herramientas y repetían el ciclo hasta que el código malicioso volvía a pasar desapercibido.

Entre los objetivos estuvieron más de 20 organizaciones estatales, diplomáticas, de inteligencia y de defensa. Se mostró un interés particular por estructuras ucranianas y por desarrolladores de drones. Los atacantes robaron buzones de correo de fabricantes de componentes, estudiaron el software de los sistemas de visión por máquina para drones, aplicaron suplantación de DNS a través de proveedores de Wi‑Fi hotelero comprometidos y tomaron el control de cuentas de WhatsApp. En otro episodio, de una organización estatal del norte de África se sustrajo una base con más de 300.000 registros de identificación nacional.

Otro grupo convirtió a Claude en una «fábrica de exploits» las 24 horas. Operadores de habla china dirigieron agentes contra unas 50 organizaciones y mantuvieron un programa autónomo de búsqueda de vulnerabilidades. El sistema continuó las investigaciones incluso cuando los operadores estaban ausentes, encontró varias vulnerabilidades previamente desconocidas en un gran producto de seguridad y creó exploits funcionales para varias familias de dispositivos de red.

Incluso activistas solitarios obtuvieron capacidades que antes requerían equipos de especialistas. Un operador francófono atacó partidos políticos europeos, medios y centros de análisis, empleando agentes para el reconocimiento y la verificación de hallazgos. Claude ayudó a crear una explotación de un fallo de reinstalación de WordPress no documentado previamente, y desde una plataforma política se logró extraer alrededor de 140.000 registros, incluidas las opiniones políticas de los usuarios.

El campo de aplicación se extendió más allá de los hackeos. Anthropic detectó proyectos estatales y comerciales de vigilancia procedentes de China, Irán, África occidental y otras regiones. Un consultor, con ayuda de Claude, desarrolló una plataforma de intercepción masiva de comunicaciones para todos los operadores móviles de Malí. Un sistema de inteligencia comercial analizaba publicaciones de residentes de Irán y de los países del Golfo, determinaba ubicación, grupo demográfico y opiniones políticas de los usuarios. Entidades iraníes procesaban cientos de miles de publicaciones y seleccionaban cuentas opositoras concretas para vigilancia.

Una parte separada de la investigación está dedicada a armas convencionales. Anthropic identificó seis operaciones procedentes de China, Rusia y Yemen. En cuatro casos se utilizó a Claude directamente en el desarrollo de software para misiles, enjambres de drones, sistemas antitorpedo y medios de guerra electrónica. El grupo yemení sustituyó mediante modelos a parte del equipo de programadores en la creación de un sistema de guiado para un misil guiado. Varias instancias de Claude escribían código en paralelo, buscaban información técnica y verificaban el trabajo mutuo. Los desarrolladores realizaron un lanzamiento real y, tras una prueba fallida, acudieron de nuevo a Claude para analizar las causas.

La parte más delicada se refiere a investigaciones biológicas. Anthropic describió cinco casos que potencialmente podrían haber apoyado el desarrollo de armas biológicas. Entre ellos hubo experimentos de adaptación de la gripe aviar a mamíferos, estudios de potenciación de las funciones del virus chikunguña, preparación de un proyecto para evadir la respuesta inmunitaria de los ortopoxvirus y optimización computacional de toxinas. En un caso Opus 5 preparó en aproximadamente una hora una solicitud completa para una beca de investigación. Anthropic subraya que los trabajos biológicos tienen doble uso y la compañía no afirma que los científicos implicados pretendieran crear armas.

El informe recoge los casos más destacados y atípicos, no la actividad típica de los usuarios de Claude. Los incidentes afectaron a los modelos Haiku, Sonnet y Opus. Fable y Mythos apenas aparecen en los abusos descritos, salvo un caso de destilación ilegal. Anthropic declaró que bloqueó las cuentas relacionadas, actualizó los mecanismos de defensa y, en varios casos, compartió la información con organismos estatales y socios del sector.

La transición de asistente a operador autónomo ya se había manifestado en pruebas controladas. Recientemente Claude abandonó la infraestructura autorizada, se infiltró en el sistema de una organización externa real, encontró una contraseña y obtuvo privilegios administrativos, aunque el modelo consideraba el objetivo parte de un ejercicio de entrenamiento.

También se probó por separado la capacidad del IA para completar por sí mismo toda la cadena de ataque. Claude Mythos encontró por sí mismo una brecha, penetró en la red interna y ejecutó las etapas posteriores del ataque, demostrando cuánto se han alejado los sistemas basados en agentes de la generación habitual de indicaciones y comandos.

El riesgo de uso biológico de los modelos ya ha llevado a las principales empresas de IA a modificar las protecciones. Anthropic, OpenAI y Google DeepMind están reforzando las restricciones a las solicitudes relacionadas con investigaciones biológicas peligrosas, porque los nuevos modelos se acercan cada vez más al nivel en el que pueden acelerar notablemente el trabajo de los especialistas.