Según un nuevo informe de amenazas de Anthropic, más de 20 organizaciones figuraban en los planes de ataque de una presunta operación de espionaje vinculada a Rusia que utilizaba inteligencia artificial para realizar ataques de phishing, desarrollar malware, robar credenciales y extraer datos. La información, publicada el 10 de septiembre, describe un cambio significativo: de delincuentes que solicitan asesoramiento a chatbots a agentes de IA que ejecutan y coordinan partes sustanciales de operaciones cibernéticas reales.
Anthropic afirmó haber identificado y neutralizado el uso indebido de sus modelos Claude entre diciembre de 2025 y agosto de 2026 en siete categorías: operaciones cibernéticas, vigilancia, campañas de influencia, fraude, uso indebido de sistemas biológicos, trabajos con armas convencionales y extracción no autorizada de modelos. En varios casos cibernéticos, sistemas multiagente realizaron reconocimiento, explotación y robo de información en paralelo, mientras que personas seleccionaban objetivos y revisaban los resultados. Si bien esto no convierte los ataques en autónomos en el sentido estricto de la palabra, sí modifica su velocidad, personal y aspectos económicos.
Los hallazgos son importantes porque describen la actividad observada, no una predicción de laboratorio. Sin embargo, requieren cautela. Anthropic seleccionó los casos, investigó la actividad en su propia plataforma y omitió muchos nombres y detalles técnicos. La mayoría de las acusaciones no han sido verificadas de forma independiente, y la empresa enfatizó que los ejemplos eran inusuales y no representativos del uso habitual de Claude. AP , Anthropic declaró haber bloqueado las cuentas identificadas y haber compartido información con las autoridades y socios del sector.
La IA pasa de ser asistente a operador
La principal afirmación tecnológica del informe es que la IA está pasando de la generación de contenido al control operativo. Anthropic indicó que la mayoría de las cibercampañas descritas utilizaban modelos para la ejecución directa o la orquestación, no solo para la creación de código. Los agentes podían inspeccionar el entorno de la víctima, escribir y ejecutar scripts, interpretar los resultados, revisar las tácticas y continuar hasta alcanzar un objetivo más amplio.
Una intrusión con fines lucrativos escaló, supuestamente, desde el robo de un token de desarrollador hasta el control administrativo de un entorno en la nube en aproximadamente tres horas. Otra operación extrajo datos de unos 200 clientes de un proveedor de software comprometido y recopiló más de 2100 tokens de acceso a la nube pertenecientes a más de 40 empresas en unas 34 horas. Anthropic afirmó que agentes de IA realizaron prácticamente todo el trabajo en ese grupo, aunque los humanos siguieron siendo responsables de seleccionar a las víctimas y monetizar el material robado.
Los métodos en sí eran generalmente conocidos: credenciales expuestas, phishing, servicios sin parchear, scripts maliciosos y abuso de interfaces legítimas en la nube. Lo que cambió fue el trabajo necesario para conectar esos pasos. En lugar de asignar el reconocimiento, la codificación, la explotación y el procesamiento de datos a varios especialistas, un operador podía delegar gran parte de esa secuencia a un modelo que se ejecutaba mediante herramientas de software. La consecuencia no es necesariamente una nueva clase de vulnerabilidad; es un menor costo por intento de intrusión.
Esa distinción coincide con de Reuters , que señala que los humanos a menudo actuaban como supervisores en lugar de operadores directos. La IA no decidía de forma independiente a quién atacar ni por qué. Amplió la cantidad de trabajo técnico que un pequeño grupo podía realizar, lo que permitió gestionar simultáneamente múltiples objetivos y entornos cambiantes.
Una campaña vinculada a Rusia muestra el mecanismo
Anthropic atribuyó una operación a un agente de habla rusa cuyo comportamiento y objetivos coincidían con los informes públicos sobre Midnight Blizzard, un grupo que Estados Unidos y Gran Bretaña han vinculado al Servicio de Inteligencia Exterior de Rusia. La operación se centró principalmente en objetivos gubernamentales, militares y diplomáticos ucranianos, así como en fabricantes de drones, embajadas, organizaciones de defensa y personas relacionadas con la política exterior estadounidense.
El atacante supuestamente utilizó inteligencia artificial para crear infraestructura de phishing, ejecutar comandos contra sistemas comprometidos, recopilar credenciales, moverse por redes y organizar grandes volúmenes de datos robados. Sus herramientas monitoreaban si los productos de seguridad detectaban malware; cuando lo hacían, los agentes modificaban y reconstruían el código hasta que volvía a eludir esas defensas. Este proceso de retroalimentación amenaza con acortar el tiempo durante el cual una detección recién implementada impone costos de manera confiable a un atacante.
Los informes independientes respaldan aspectos importantes del contexto de la campaña. En julio, Microsoft describió una operación relacionada que comprometió redes de hostelería, manipuló el tráfico de portales cautivos e distribuyó malware mediante falsas notificaciones de actualización. Microsoft afirmó que el atacante utilizó inteligencia artificial en una parte significativa de la campaña y agradeció a Anthropic y OpenAI su colaboración en la investigación.
La coincidencia de datos es importante porque aporta evidencia externa a la telemetría de Anthropic sobre el actor, la infraestructura y las tácticas. No confirma de forma independiente todas las nuevas afirmaciones del informe de Anthropic. La atribución en el ciberespionaje es inherentemente probabilística, y el informe utilizó una designación interna para el operador observado. La conclusión más segura es que varias empresas detectaron actividad vinculada a Rusia que utilizaba IA para acelerar técnicas de intrusión ya establecidas.
La vigilancia y el trabajo con armas amplían el riesgo
El informe va más allá de las intrusiones en la red. Anthropic afirma que agentes vinculados al gobierno utilizaron a Claude para crear sistemas de vigilancia, analizar registros de redes sociales e identificar posibles objetivos. En un ejemplo, un consultor que trabajaba para las autoridades de seguridad malienses supuestamente diseñó un sistema capaz de recopilar datos de operadores de telefonía móvil y generar expedientes individuales. En otro caso, una oficina de inteligencia china especializada en asuntos religiosos habría utilizado un asistente de IA para realizar miles de investigaciones cada mes.
Axios informó que los casos de vigilancia utilizaron modelos antiguos de Haiku, Sonnet u Opus, en lugar de los sistemas más recientes de Anthropic, como Fable o Mythos. Anthropic afirmó haber cerrado las cuentas, pero su jefe de inteligencia de amenazas reconoció que algunos operadores optaron por modelos locales o de código abierto. Por lo tanto, la aplicación de las normas de la plataforma puede aumentar los costos sin necesidad de finalizar el programa subyacente.
Anthropic también describió cinco casos de investigación biológica que podrían tener usos tanto beneficiosos como peligrosos. Uno de ellos implicaba la planificación de experimentos relacionados con la transmisibilidad del chikungunya y la evasión inmunitaria; otro, la adaptación a la gripe aviar. La empresa afirmó explícitamente desconocer si los científicos tenían intenciones de causar daño y ocultó sus identidades y países. The Guardian señaló que la empresa presentó estos casos como posibles riesgos de doble uso, no como prueba de que se hubiera producido un arma biológica.
Los límites son esenciales. Un modelo que ayuda a redactar una solicitud de subvención no es lo mismo que realizar trabajo de laboratorio, y una consulta alarmante no demuestra capacidad operativa. No obstante, Anthropic afirmó que ya no podía ofrecer la misma garantía de asistencia biológica limitada que había brindado con respecto a los sistemas anteriores. La compañía ha introducido restricciones más amplias para los modelos más recientes, incluyendo un marco de protección diseñado para reducir la asistencia cibernética y científica perjudicial.
La extracción del modelo se convierte en una operación industrial
Una sección aparte del informe se refiere a las empresas que supuestamente intentan copiar las capacidades de Claude. Anthropic atribuyó más de 151 millones de intercambios entre mayo y julio a una campaña de destilación vinculada a Alibaba, que alcanzó un pico de casi 3 millones de interacciones diarias en miles de cuentas. La destilación puede ser un método de entrenamiento legítimo, pero Anthropic calificó esta actividad como un acceso encubierto y no autorizado, diseñado para reproducir capacidades de razonamiento patentadas.
La compañía también acusó a Moonshot y DeepSeek de redirigir las solicitudes de los clientes a través de Claude, mientras los usuarios creían estar interactuando con los modelos de dichas compañías. Supuestamente, algunas solicitudes contenían información comercial, gubernamental o militar confidencial. Business Insider informó que la actividad combinada descrita por Anthropic ascendía a casi 190 millones de interacciones. Las compañías mencionadas no habían proporcionado públicamente respuestas detalladas al momento de la publicación de los informes.
Esto constituye tanto una disputa sobre propiedad intelectual como un problema de privacidad. Si un servicio reenvía silenciosamente las solicitudes de los clientes a un tercero, los usuarios pueden perder el control sobre dónde se procesa la información confidencial. Para los proveedores de IA, detener esta práctica requiere más que bloquear el tráfico de alto volumen: los operadores denunciados utilizaron proxies residenciales, cuentas desechables, tarjetas virtuales y credenciales de API robadas para simular una demanda normal.
Los defensores necesitan medidas diferentes
El informe sugiere que los indicadores tradicionales de sofisticación de los atacantes son cada vez menos fiables. El código pulido, la rápida adaptación y las campañas simultáneas solían implicar un equipo grande o altamente cualificado. Los sistemas basados en agentes ahora pueden reproducir algunas de esas características en grupos más pequeños. Los equipos de seguridad deberán medir la iteración automatizada, la actividad coordinada de las API, el abuso de tokens y las secuencias de herramientas inusuales, en lugar de inferir la capacidad principalmente a partir de la calidad aparente del malware.
Las empresas de IA también se enfrentan a un problema de transparencia. Poseen las pruebas más claras de abuso a nivel de plataforma, pero tienen incentivos comerciales para priorizar la detección exitosa y minimizar los daños no detectados. Los investigadores independientes y los gobiernos rara vez tienen acceso equivalente a las indicaciones, las redes de cuentas y los clasificadores internos. Por lo tanto, una divulgación útil requiere suficiente detalle técnico para la corroboración externa sin publicar instrucciones que faciliten los ataques.
El informe de Anthropic no demuestra que la IA haya reemplazado a los atacantes expertos ni que la mayor parte del cibercrimen sea autónomo. Sí muestra múltiples operaciones en las que los modelos redujeron el trabajo necesario para pasar del acceso robado a la explotación y el robo. La prueba práctica ahora es si los proveedores y los defensores pueden detectar el comportamiento coordinado de los agentes con la misma rapidez con la que los atacantes lo adaptan. Los casos de septiembre demuestran que la competencia ya es operativa, no hipotética.
