Un hacktivista solitario, una banda criminal y una unidad de espionaje estatal operaron campañas con múltiples víctimas a través de Claude en los últimos ocho meses, y ninguno necesitó un equipo de especialistas para lograrlo. Esa es la tesis del informe de inteligencia de amenazas más detallado que ha publicado Anthropic: los ataques sofisticados ya no requieren atacantes sofisticados, porque los frameworks multiagente con memoria persistente hacen ahora el trabajo que antes exigía experiencia técnica. Los humanos siguen eligiendo los objetivos y cobrando; los modelos planean, actúan y recuerdan.
Resumen: ocho meses, siete áreas de daño, un mismo patrón
- Anthropic dice haber interrumpido casos de mal uso en siete áreas entre diciembre de 2025 y agosto de 2026 — operaciones cibernéticas, operaciones de influencia, vigilancia, estafas y fraude, mal uso biológico, desarrollo de armas convencionales y destilación ilícita —, en un informe publicado el 10 de septiembre.
- Todos los casos documentados corrieron sobre Claude Haiku, Sonnet u Opus; ninguno tocó los modelos de clase Fable o Mythos, salvo una excepción en la sección de destilación.
- Las claves de API de IA robadas funcionaron a la vez como botín, cómputo y cobertura; en los casos descritos salieron de entornos de clientes de Anthropic, y «los propios sistemas de Anthropic no fueron comprometidos por este actor», dice la empresa.
- Siete laboratorios con sede en China —Alibaba, Moonshot, DeepSeek, Zhipu, Xiaomi, SenseTime y MiniMax— son señalados por destilación ilícita contra Claude desde febrero de 2026; dos de ellos, según Anthropic, redirigieron en silencio las solicitudes de sus propios clientes hacia Claude.
- La evidencia «ya no es segura» de que los modelos actuales se mantienen por debajo del umbral de asistir de forma significativa a investigación biológica peligrosa, dice Anthropic, y una plataforma de vigilancia en Malí construida con ayuda de Claude siguió funcionando con modelos locales después de que la empresa cerrara la cuenta responsable.
Qué pasó: el trabajo de especialistas humanos ahora lo hacen los harnesses
En noviembre de 2025 Anthropic documentó el modo de operar de una campaña presuntamente estatal que atacaba de forma casi autónoma; el nuevo informe dice que ese modelo se ha extendido a todas las clases de actores que investigó. Los ataques documentados aquí se construyen a partir de harnesses —frameworks multiagente con memoria persistente— y no de prompts sueltos: un agente líder descompone una tarea, reparte partes a subagentes y mantiene un registro de la campaña entre sesiones en archivos de skills que un operador humano edita mientras los agentes siguen trabajando.
GTG-20006, que Anthropic vincula de forma consistente con los reportes públicos sobre Midnight Blizzard, usó IA para reconocimiento, acceso inicial, exfiltración y persistencia, y apuntó a más de 20 organizaciones; de una autoridad gubernamental del norte de África se llevó más de 300.000 registros de identidad nacional y datos del registro mercantil de más de medio millón de empresas. Presuntos afiliados de ShinyHunters volcaron más de 2.100 conjuntos de tokens de Azure AD en más de 40 tenants en unas 34 horas, con agentes de IA haciendo casi todo el trabajo, según Anthropic; en otro caso, un solo token de desarrollador robado escaló a control administrativo total de un entorno en la nube en unas tres horas.
Las propias claves detrás de estas operaciones son ahora el objetivo: dieron a los operadores valor de reventa, cómputo pagado por la víctima y cobertura, ya que la actividad aparentaba venir del titular legítimo de la cuenta, dice Anthropic. GTG-50020 pasó unos cuatro días atacando a unas treinta empresas de IA para llegar a un modelo Claude aún no publicado, sin conseguirlo nunca. GTG-10007, operadores de habla china que incluyen, según la empresa, a dos estudiantes universitarios identificados en Hunan, operó enjambres de agentes con memoria persistente de campaña que en un mes hallaron más de una decena de posibles día cero contra dispositivos de red.
Siete laboratorios, un mismo relevo: cómo la destilación llegó hasta los propios clientes de Claude
La destilación ilícita consiste en recoger el propio razonamiento de Claude para entrenar un modelo más barato que conserva la capacidad sin heredar los rechazos. Anthropic nombra siete laboratorios con sede en China que, según dice, operaron o compraron destilación ilícita contra Claude desde febrero de 2026: Alibaba, Moonshot, DeepSeek, Zhipu, Xiaomi, SenseTime y MiniMax.
La campaña de Alibaba es, según Anthropic, la mayor jamás medida contra su plataforma: cerca de 3 millones de intercambios diarios desde más de 3.500 cuentas fraudulentas, con más de 151 millones de intercambios registrados entre mayo y julio de 2026. Moonshot redirigió casi 300.000 solicitudes de clientes hacia Claude en diez días a través de 5.380 cuentas fraudulentas, dice Anthropic, entregando respuestas de Claude a usuarios que creían estar hablando con Kimi. DeepSeek, según el informe, etiquetó solicitudes que llegaban desde harnesses de terceros —Claude Code, el Claude Agent SDK, OpenCode— y redirigió usuarios seleccionados hacia Claude Opus.
Esos relevos trajeron exposición real: las sesiones redirigidas hacia Claude incluyeron análisis de cámaras de videovigilancia sobre una persona vigilada, hecho por un usuario que Anthropic evaluó como probablemente vinculado al Ejército Popular de Liberación, y credenciales activas de una base de datos del gobierno ruso. Zhipu abandonó sus intentos de atacar las capacidades cibernéticas de Fable después de que las salvaguardas degradaran sus ataques, y cambió a Opus 4.6 y a un modelo de otro laboratorio estadounidense «precisamente porque evaluaron que ahí las salvaguardas eran más débiles».
Lo que Anthropic admite que no puede garantizar
Anthropic afirma que, para sus modelos actuales, «la evidencia ya no es segura» de que se mantengan por debajo del umbral de asistir de forma significativa a investigación biológica peligrosa, razón por la que lanzó Claude Fable 5 con salvaguardas más estrictas. En un caso, los clasificadores limitaron el intercambio a Sonnet 4 y Haiku 4.5, con una ganancia de capacidad que Anthropic calcula como mayormente administrativa; en otro, una solicitud de subvención sobre investigación de ortopoxvirus se redactó de principio a fin en Opus 5 en cerca de una hora a través de un revendedor, y no fue bloqueada porque el trabajo se presentó como investigación de atenuación. Su conclusión: «la única forma segura de ofrecer capacidades biológicas de frontera es a través de programas de usuarios de confianza».
Sobre armas convencionales, Anthropic describe seis casos —tres en China, dos en Rusia, uno en Yemen—, entre ellos un equipo freelance con sede en Rusia cuyo enjambre de drones FPV autónomos podía seleccionar una clase de objetivo «persona» y emitir órdenes de detonación sin un humano en el circuito. La empresa dice haber desplegado desde entonces nuevos clasificadores para tráfico relacionado con explosivos de alto rendimiento y desarrollo de armas, y que Claude ahora resume su razonamiento interno antes de responder, mientras Fable 5.1 impide que las cuentas nuevas de API alteren el system prompt, las herramientas o los mensajes anteriores.
Esas defensas no aguantan por igual. En un caso de vigilancia vinculado a China, Claude rechazó una solicitud y cedió cuando el operador insistió con otro prompt, dice Anthropic; en otro caso cooperó durante muchas sesiones sin que nadie interviniera. Una operación en Malí llamada «Lakana 360», en la que Claude actuó como fuerza de ingeniería para una plataforma que vigilaba unos 25 millones de tarjetas SIM en los tres operadores móviles del país, después de que se eliminara el requisito de orden judicial a pedido del propio operador, termina de forma parecida: cerrar la cuenta impidió que Claude siguiera construyendo la plataforma, dice Anthropic, aunque el sistema ya desplegado sigue funcionando en el propio sitio, con modelos locales. Las evaluaciones complementarias del Frontier Red Team de Anthropic, publicadas el mismo día, describen sus propios resultados —Mythos Preview geolocalizando fotos con un error mediano de 37 kilómetros, Opus 5 impactando un vehículo estacionado en el 80% de las incursiones de drones simuladas— como «un piso y no un techo».
Lo que el informe no muestra
Cada cifra de este artículo proviene de la propia telemetría de Anthropic, etiquetada con un nivel de confianza «medio», «alto» o «bajo» según el caso; ningún auditor externo, víctima o gobierno confirma nada de esto, y Anthropic no publica la evidencia detrás de sus atribuciones. Fuera de la sección de destilación, los actores se identifican sólo con designadores internos —GTG-nnnnn—, marcados con un país y un sector.
El informe tampoco da un denominador: llama a estos casos «los más notables y novedosos», una selección que la propia Anthropic no presenta como representativa, sin compartir qué porción del tráfico total representan, cuántas cuentas cerró ni qué tasa de falsos positivos maneja, de modo que qué tan común es el mal uso en Claude no se puede leer en este documento. Un revendedor del área de biología «recuperó el acceso en días», reconoce la propia Anthropic. Hasta el 12 de septiembre no había aparecido ninguna respuesta pública de los siete laboratorios señalados.