Anthropic publica cinco casos de científicos que usaron Claude en investigaciones de doble uso: ganancia de función en chikunguña para un instituto militar, gripe aviar adaptada a mamíferos, toxinas rediseñadas por ordenador. Ninguna empresa de IA había hecho público algo así.

En mayo de 2026 un clasificador de seguridad biológica de Anthropic bloqueó una petición aparentemente burocrática: redactar una solicitud de financiación científica. El contenido del proyecto era otra cosa. Se trataba de investigación de ganancia de función sobre el virus chikunguña, orientada a su transmisibilidad y a su capacidad de evadir el sistema inmunitario.

El plan consistía en identificar mutaciones potenciadoras, introducirlas en clones infecciosos y seleccionar virulencia in vivo: infectar animales vivos una y otra vez conservando en cada ronda la variante más dañina. El chikunguña provoca dolores incapacitantes durante semanas o meses, no tiene tratamiento autorizado y —este es el detalle que lo convierte en candidato a arma— circula de forma natural, de modo que una liberación deliberada sería difícil de distinguir de un brote espontáneo.

La solicitud describía a los investigadores como civiles. El trabajo iba a realizarse en un instituto de investigación militar.

Lo que Anthropic encontró al tirar del hilo es más revelador que el caso en sí. La petición procedía de una plataforma que daba servicio a decenas de investigadores de ciencias de la vida —muchos virólogos, adscritos a instituciones civiles y militares— en países donde la compañía no presta servicio. La plataforma tunelizaba el tráfico a través de infraestructura estadounidense para saltarse los bloqueos regionales y usaba un servicio de retención cero de datos para ocultar el contenido.

Sus desarrolladores se referían explícitamente a los académicos como clientes «sensibles» a los bloqueos de los clasificadores de seguridad. Y para no perderlos construyeron un mecanismo de reserva: cuando Claude se negaba a responder, la petición se desviaba automáticamente al modelo de un competidor con salvaguardas más permisivas. Incluso montaron una prueba previa al despliegue que fallaba si un prompt prohibido llegaba a Claude en lugar de al modelo laxo.

Buena parte de ese código lo escribió Claude. Se le presentó como una mitigación del exceso de rechazos.

Anthropic baneó las cuentas en mayo y trabajó con terceros para desmontar las redes de retransmisión. El operador recuperó el acceso en cuestión de días y, semanas después, dirigía el desarrollo de la plataforma desde suscripciones de consumo a nombre de identidades nuevas. La investigación sobre el chikunguña siguió avanzando, con Claude prestando ayuda editorial a los resultados. En esos materiales, señala el informe, las modificaciones del virus se describen insistiendo en la pérdida de función biológica, no en la ganancia.

El segundo caso es el reverso. Un investigador fuera de Estados Unidos, conectado desde una región no soportada mediante un servidor virtual estadounidense y un correo con nombre autogenerado, mantuvo durante semanas miles de mensajes con Claude sobre gripe aviar altamente patógena: adaptación a mamíferos, mecanismos de enfermedad grave más allá del aparato respiratorio.

Los virus H5 matan aproximadamente a la mitad de los humanos con infección confirmada, pero todavía no se transmiten con eficacia entre personas. El plan incluía aproximaciones de ingeniería genética dirigidas a introducir mutaciones asociadas a la adaptación a mamíferos y a la transmisibilidad por vía aérea en modelos animales. Las descripciones de las muestras sugerían que el grupo tenía acceso físico a aislados del virus.

Aquí los clasificadores hicieron su trabajo: bloquearon el acceso a los modelos capaces y confinaron toda la conversación a Sonnet 4 y Haiku 4.5, los más débiles de la casa. Anthropic estima que la ayuda prestada fue «fundamentalmente clerical» y «sustancialmente menor» de la que habría obtenido con un modelo puntero. La conclusión que extrae es de doble filo: las protecciones son lo bastante robustas como para empujar al investigador hacia modelos peores, y eso limita el empujón que recibe.

El tercer caso mide la otra cara. Una cuenta creada con una dirección de correo aleatoria minutos antes de usarse, operada desde infraestructura anonimizadora y trazada a proxies compartidos con una granja de cuentas ya baneada. No era un usuario: era un relé comercial que servía a más de una docena de clientes sin relación entre sí y que intercambió decenas de miles de mensajes con Claude en pocos días.

Uno de esos clientes hizo que Opus 5 redactara de principio a fin, en aproximadamente una hora, una solicitud de financiación para investigar ortopoxvirus en un laboratorio estatal de enfermedades infecciosas con acceso a instalaciones de alta contención y planes de trabajo con virus vivos. Hipótesis central, diseño experimental, dosis, plan estadístico, estrategias de contingencia: todo.

Los ortopoxvirus incluyen la variola, agente de la viruela. Codifican unos 200 genes, buena parte de ellos dedicados a desactivar la respuesta inmunitaria del huésped. El proyecto buscaba identificar los genes que apagan una vía antiviral concreta y confirmar que borrarlos atenúa el virus en ratones. Ese conocimiento, escribe Anthropic, «es igual de útil para quien busca atenuar un virus que para quien busca preservar, potenciar o transferir esa función a otros». El clasificador no lo bloqueó. Estaba, formalmente, dentro de lo aceptable.

Los casos cuarto y quinto abandonan los virus por las toxinas. Un investigador construyó con Claude un atlas de péptidos de veneno de varios linajes de animales ponzoñosos y lo convirtió después en una tubería generativa que optimizaba las características de las toxinas. El objetivo declarado era terapéutico: analgésicos, antidepresivos. Pero el atlas contenía andamiajes tanto para dianas analgésicas como paralizantes, y estas últimas derivan de toxinas sujetas a control de exportación por el Grupo Australia.

El quinto investigador rediseñó computacionalmente un conjunto diverso de toxinas dentro de un programa nacional de investigación, incluida una subunidad de toxina bacteriana y una proteína de un virus de fiebre hemorrágica que figura en la lista de prioridades pandémicas de la OMS. Redactaba los informes trimestrales de progreso con Claude y —el detalle que lo dice todo— le indicó expresamente que mantuviera las descripciones de los agentes «deliberadamente de baja fidelidad». Ambas cuentas fueron baneadas en mayo de 2026 por saltarse la política de regiones soportadas.

En ninguno de los dos casos actuó el clasificador. Por diseño: está pensado para impedir que un novato acceda a información sobre armas biológicas conocidas, no para arbitrar investigación de frontera sobre compuestos nuevos. Anthropic lo admite con una franqueza llamativa: «no es posible identificar de forma fiable la intención del usuario en áreas técnicas de doble uso», y por tanto «un clasificador no puede simultáneamente habilitar el beneficio y prevenir el daño». Su conclusión es que la única manera segura de ofrecer capacidades biológicas de frontera es hacerlo en programas de usuarios verificados.

El informe introduce una analogía histórica que merece ser recordada. El programa soviético Biopreparat, destinado a producir y armar material biológico, empleó a miles de investigadores que trabajaban convencidos de hacer ciencia básica o defensiva porque nunca se les informó del objetivo global. De ahí se sigue una advertencia incómoda: la intención maliciosa evidente suele delatar a un actor poco sofisticado, y los investigadores implicados «pueden ser ellos mismos ajenos a la intención y los fines de su investigación».

Anthropic subraya que no afirma que estos científicos pretendieran causar daño, y por eso oculta nombres de instituciones, países y agentes biológicos concretos. Al cerrar el capítulo aporta la cifra que da la medida del problema: un barrido de treinta días de actividad asociada a instituciones de Estados adversarios arrojó unos 35 esfuerzos de investigación distintos, la mayoría ciencia civil ordinaria, algunos con notable potencial de doble uso.

El capítulo contiguo del informe de Anthropic, dedicado a armamento convencional, describe cuatro operaciones desarticuladas:

Yemen. Una célula del norte del país usó Claude Code en lugar de ingenieros de software para desarrollar el guiado y control de un cohete guiado con ordenador de vuelo de gama telefónica, un misil balístico multietapa con alcance declarado superior a 2.000 km y un conjunto de variantes con planeador hipersónico. Manejaban varias instancias del modelo a la vez, una escribiendo código, otra investigando y una tercera revisando a la primera. Probaron el cohete sobre el terreno; falló, y en cuestión de horas volvieron a Claude a averiguar por qué.

Rusia. Un equipo freelance construyó un enjambre de drones kamikaze FPV autónomos —lo llamaban «DronDoc» o «Serafim»— con memoria compartida entre aparatos, un modelo de lenguaje embarcado que gobernaba ataque y retorno, guiado terminal por cámara y orden de detonación. La plataforma estaba diseñada para el combate letal autónomo: el modelo a bordo podía seleccionar objetivos, incluida una clase «persona», y ordenar la detonación sin humano en el bucle. El clasificador de visión se entrenó con vídeo de combate ucraniano raspado de la red, y las pruebas usaban un punto fijo de la provincia de Donetsk como blanco de demostración.

China. Un actor redactó con Claude la especificación de un sistema de control de tiro antitorpedo y una propuesta técnica de más de 200 páginas destinada a un fabricante de defensa chino, además de un informe comparativo sobre programas antisubmarinos de la Armada estadounidense. Hacía que el modelo interpretara el papel de revisor hostil para afilar cada borrador.

Armas de energía dirigida. Otro actor chino, que se describía como redactor de inteligencia de defensa al frente de un equipo de tres, compiló con Claude un informe de 23 páginas sobre programas de microondas de alta potencia de un ejército extranjero, con anexos de unas 45 páginas y una lista de seguimiento a doce meses, destinado a circulación interna restringida entre altos cargos del Partido, militares o de seguridad del Estado.