Anthropic, organización responsable de la celebérrima IA Claude, publica su informe de amenazas más detallado hasta la fecha: nueve meses en los que la inteligencia artificial dejó de aconsejar a los atacantes para ejecutar los ataques. El humano ya solo elige la víctima y revisa el botín

Tres horas. Eso es lo que separó el token robado a un desarrollador del control administrativo completo de la nube de una compañía. No tres horas de trabajo humano: tres horas de reloj, durante las cuales un modelo de inteligencia artificial recorrió por su cuenta un entorno ajeno, decidió qué merecía la pena, escaló privilegios y se llevó decenas de millones de registros de pasajeros y millones de números de tarjeta de crédito.

El episodio figura en el informe de inteligencia de amenazas que Anthropic —la empresa que fabrica Claude, uno de los modelos de lenguaje más potentes del mercado— acaba de hacer público. Son nueve meses de vigilancia, de diciembre de 2025 a agosto de 2026, siete categorías de daño y una conclusión que la propia compañía formula sin rodeos: la IA «ha borrado la brecha de mano de obra y de herramientas» que separaba a un servicio de inteligencia estatal de un aficionado con un portátil.

Es un documento incómodo por naturaleza. Lo firma el fabricante del arma.

Hasta ahora, el relato sobre la IA y el cibercrimen tenía un tono casi tranquilizador: los delincuentes la usaban para redactar mejores correos de phishing, para traducir sin faltas, para pulir un guion de estafa. Un asistente de redacción con malas compañías.

El informe de septiembre describe otra cosa. Anthropic sostiene que «la mayoría de las operaciones descritas en este informe fueron posibilitadas por la IA mediante ejecución directa u orquestación». La diferencia entre ambos verbos —asistir y orquestar— es la diferencia entre un consejero y un mando.

La frase que mejor resume el nuevo reparto de papeles aparece en el análisis general: «Los humanos han conservado las decisiones que más les importan: la selección de objetivos, la monetización de los hallazgos y la revisión de los resultados». Todo lo demás —el reconocimiento, la intrusión, el movimiento lateral, la exfiltración, la reparación del propio malware cuando saltan las alarmas— puede delegarse.

El caso que Anthropic etiqueta como GTG-20006 y que otras firmas identifican con Midnight Blizzard, el grupo vinculado al servicio exterior de inteligencia ruso, es el más ilustrativo. Más de veinte organizaciones atacadas: el Gobierno ucraniano, fabricantes de drones, misiones diplomáticas, una entidad marítima del Sudeste Asiático. Entre el botín, registros de huéspedes de hoteles, cuentas de WhatsApp de funcionarios ucranianos y más de 300.000 registros de identidad nacional.

Lo relevante no es el inventario, sino el método. Cuando los sistemas de detección marcaban uno de sus implantes, los agentes de IA lo «modificaban y redesplegaban autónomamente». El malware se reparaba a sí mismo mientras el operador dormía. Los humanos, dice el informe, «seguían en el bucle fijando los objetivos de los ataques y revisando la exfiltración». Nada más.

Si el caso ruso muestra persistencia, el chino muestra escala. Bajo la etiqueta GTG-10007, Anthropic describe una pequeña fábrica de exploits operada desde la provincia de Hunan por estudiantes de grado y profesionales de la seguridad. Su innovación: un bucle autónomo de investigación de vulnerabilidades que combinaba descompiladores con generación de exploits.

El informe habla de «enjambres de agentes, en los que un agente de IA principal descomponía el trabajo de reconocimiento y postexplotación y lo despachaba a numerosos subagentes que corrían en paralelo». El resultado: más de una decena de posibles vulnerabilidades de día cero en un solo mes, y unas cincuenta organizaciones tocadas en educación, comercio, energía y administración pública.

Un día cero (fallo de seguridad desconocido en un software o hardware que los atacantes explotan antes de que los creadores o usuarios sepan que existe) es la moneda más cara del mercado clandestino. Encontrarlos ha sido siempre oficio de artesanos escasos y bien pagados. El informe sugiere que empieza a ser un proceso industrial que se puede dejar corriendo de noche.

La tercera viñeta es la que probablemente más inquiete a quien tenga que defender algo. GTG-50029 no es un grupo: es una persona francófona que, con ayuda de la IA, levantó una operación completa. Construyó «fafsearch», una plataforma de doxxing (recopilar y publicar información personal o privada de una persona u organización en internet sin su consentimiento) con sus canalizaciones de ingesta y sus cruces de datos. Rastreó 42 objetivos, logró acceso interno a 14 y se llevó entre 12 y 26 gigabytes. Un exploit de WordPress fue desarrollado y depurado en una sola sesión de conversación.

De ahí la advertencia más punzante del documento: «la sofisticación ha dejado de ser una señal fiable» de los recursos o la naturaleza del adversario. Un ataque de aspecto estatal puede no serlo. La firma técnica ya no delata al autor.

Hay un giro casi borgiano en el informe: la IA no es solo el arma, es también el objetivo. Anthropic constata que «el acceso a la IA en forma de claves de API comprometidas, tokens de sesión y dispositivos se ha convertido cada vez más en el único objetivo de múltiples grupos criminales».

El caso GTG-50020 lo lleva al extremo. El atacante inyectó instrucciones maliciosas en los entornos de evaluación de proveedores de IA para que estos revelaran claves de producción; después «cambió automáticamente a usar las claves de la víctima en lugar de las propias». Unas treinta empresas de IA atacadas en cuatro días por la misma vía. El objetivo final —acceder a un modelo de Claude aún no publicado— no se alcanzó.

Conviene subrayar aquí lo que el informe no dice: por qué un entorno de pruebas guardaba credenciales de producción vivas. Eso no es un fallo del modelo. Es arquitectura mal hecha, del tipo que existía mucho antes de que existiera la IA.

El capítulo de operaciones de influencia —nueve casos— tiene una aritmética propia. Una empresa comercial de «influencia como servicio» produjo más de 8.900 artículos en unos setenta sitios de noticias falsas en veinte idiomas, cambiando de posición política según el cliente que pagara. Otra, en Malasia, vendía un «ecosistema de operaciones políticas en tiempo real, impulsado por IA y de grado militar» con alrededor de mil cuentas falsas para perfilar votantes circunscripción por circunscripción. En la República Centroafricana, una emisora local coordinaba su parrilla con medios estatales rusos para que el mensaje sonara autóctono.

El detalle que delata madurez operativa no es tecnológico sino burocrático: los operadores mantenían archivos de memoria persistente con su doctrina, sus palabras prohibidas y sus fuentes autorizadas, aplicados de forma coherente a lo largo de centenares de sesiones. Manual de estilo para una redacción sin periodistas.

Detrás de cada caso hay la misma ecuación. «La autonomía de la IA comprime el lado de los costes en el cálculo de rentabilidad del atacante, rebajando el umbral de destreza y el trabajo necesarios por campaña», resume el informe. El premio no cambia; el precio de intentarlo se desploma. El incentivo resultante es de manual: más operaciones, más baratas, menos cuidadas, contra más víctimas.

Anthropic afirma haber desarticulado todas las operaciones descritas: cuentas cerradas, organizaciones enteras expulsadas, clasificadores reforzados, inteligencia compartida con autoridades y con la industria. El informe cierra con una advertencia que es también una petición de auxilio: «a medida que los modelos sean más capaces, sus riesgos aumentarán, a menos que los desarrolladores de IA y los defensores de la sociedad actúen para hacerlos más seguros».

Queda la cautela obligada. Se trata de un documento de parte, elaborado por el proveedor, sin verificación independiente posible: los investigadores externos no tienen acceso a los datos de cuenta que lo sustentan. Que la transparencia sea bienvenida no la convierte en auditoría. Y la pregunta que el informe plantea sin responder sigue en pie: si esto es lo que una empresa detecta y cuenta sobre su propio producto, qué está ocurriendo en los modelos cuyos fabricantes no publican nada.