Resumen ejecutivo

El 10 de septiembre de 2026, el equipo de Threat Intelligence de Anthropic publicó su cuarto informe de amenazas, y el más detallado hasta la fecha. Documenta 154 páginas de operaciones maliciosas detectadas e interrumpidas entre diciembre de 2025 y agosto de 2026, en las que actores hostiles usaron los modelos Claude Haiku, Sonnet y Opus para ciberataques, espionaje, vigilancia estatal, operaciones de influencia, desarrollo de armas convencionales, uso indebido biológico y destilación ilícita de modelos rivales.

El hallazgo central del informe no es que la IA facilite ataques ya conocidos, sino que ha cambiado de función dentro de ellos. Hasta hace poco, un atacante usaba Claude como se usa un asistente: le pedía código, un correo de phishing, una traducción. En los casos de 2026, la IA pasa a orquestar: monta marcos multiagente que ejecutan reconocimiento, explotación y exfiltración de forma autónoma o semiautónoma, mientras el humano se limita a fijar objetivos y revisar el material robado. Anthropic resume el giro con una fórmula que da título a la sección técnica del informe: de asistente a orquestador.

El caso más ilustrativo es el de un grupo ruso vinculado a Midnight Blizzard, identificado como GTG-20006, que automatizó con IA buena parte de su ciclo operativo completo: desarrollo de herramientas, adquisición de infraestructura, phishing, persistencia y exfiltración, contra objetivos gubernamentales y militares de Ucrania y Europa. Cuando un producto de seguridad detectaba su malware, los propios agentes de IA lo modificaban y redesplegaban sin intervención humana hasta volver a pasar desapercibidos. Otro grupo, vinculado al colectivo criminal ShinyHunters, usó IA para automatizar el robo de credenciales a una escala que antes exigía equipos enteros de especialistas: en un solo caso, un operador extrajo más de 2.100 conjuntos de credenciales de acceso a servicios en la nube de más de 40 organizaciones en apenas 34 horas. Un tercer caso documenta a dos estudiantes universitarios en Hunan (China) operando "enjambres de agentes" contra unas cincuenta organizaciones de gobierno, energía y sanidad en varios continentes.

Fuera del ámbito estrictamente cibernético, el informe documenta a operadores vinculados al gobierno chino usando Claude para vigilar a minorías uigures, a cardenales católicos en Asia, a la Iglesia Presbiteriana de Taiwán y a comunidades budistas tibetanas. También describe campañas de propaganda estatal y, en un apartado nuevo dentro de la serie de informes de Anthropic, seis casos de desarrollo de armas convencionales (tres en China, dos en Rusia y uno en Yemen), entre ellos un intento de desarrollar software de guiado para un misil balístico de largo alcance.

El artículo sitúa estos hallazgos dentro de una pregunta jurídica y de gobernanza más amplia: qué obligaciones de supervisión, trazabilidad y respuesta recaen sobre los desarrolladores de modelos de frontera cuando sus sistemas dejan de limitarse a responder preguntas y empiezan a ejecutar, de forma autónoma, tramos completos de una cadena de ataque. También advierte de las limitaciones del propio informe: los casos no son representativos del uso indebido cotidiano, el nivel de detalle varía entre categorías de daño y ciertas atribuciones permanecen sin revelar por razones de sensibilidad. Con esas cautelas, el informe de septiembre de 2026 se convierte en la fuente primaria de referencia sobre cómo evoluciona el uso malicioso de los modelos de IA más avanzados, y en un indicio temprano de las preguntas regulatorias que ese tránsito plantea.

---

Cuando la IA deja de aconsejar y empieza a dirigir

Cómo Anthropic documentó el paso de los modelos de lenguaje a orquestadores de campañas de espionaje, extorsión y vigilancia

1. Introducción y alcance del informe

El 10 de septiembre de 2026 el equipo de Threat Intelligence de Anthropic publicó el informe Detecting and countering misuse of AI: September 2026. El documento recoge las operaciones maliciosas que la compañía detectó e interrumpió entre diciembre de 2025 y agosto de 2026. En todas ellas actores hostiles intentaron usar los modelos Claude (sobre todo Haiku, Sonnet y Opus) para actividades ilícitas (1).

Se trata de la cuarta entrega de la serie de informes de amenazas de Anthropic, después de los de marzo, agosto y noviembre de 2025. El texto cubre siete áreas de daño: operaciones cibernéticas, operaciones de influencia, vigilancia, estafas y fraude, uso indebido biológico, desarrollo de armas convencionales y destilación ilícita (1).

Anthropic aclara que los casos no forman una muestra representativa del uso indebido diario. Son, según la propia compañía, los ejemplos más notables y novedosos que ha identificado hasta la fecha (1). En cada uno de ellos la empresa interrumpió la actividad, reforzó sus salvaguardas con lo aprendido y compartió inteligencia con autoridades y socios de la industria cuando lo consideró adecuado (1). Ningún caso de uso malicioso involucró modelos de las clases Fable o Mythos, salvo un incidente de destilación ilícita (1).

Los actores que aparecen en el informe incluyen grupos sospechosos de patrocinio estatal, delincuentes con motivación económica, proveedores comerciales de spyware, instituciones de propaganda estatal e individuos con motivaciones políticas (1). Los ejemplos van desde redes de aplicaciones de citas fraudulentas hasta sistemas de vigilancia pensados para identificar y seguir a disidentes (1).

Anthropic justifica la publicación por una responsabilidad de revelar el uso malicioso de sus servicios. Quiere que otros desarrolladores reconozcan patrones parecidos, que gobiernos y sociedad civil entiendan mejor cómo se forman las amenazas emergentes y que las defensas colectivas se fortalezcan (1). La compañía reconoce que los actores sofisticados prueban sin pausa sus salvaguardas y buscan eludir las medidas técnicas. Por eso anuncia que seguirá evolucionando sus controles y coordinándose con socios (1).

2. El cambio estructural: de asistente a orquestador

Hasta hace poco los actores usaban Claude sobre todo como asistente: generaban código, redactaban señuelos de phishing, traducían textos o analizaban datos robados. Entre diciembre de 2025 y agosto de 2026 esa relación cambió. La mayoría de las operaciones que Anthropic interrumpió muestran a la IA ejecutando tareas o, más importante, orquestando flujos multiagente de reconocimiento, explotación y exfiltración (1).

Anthropic resume el cambio con la expresión “from assistant to orchestrator”. Los operadores ya no se limitan a hacer preguntas a un chatbot. Montan marcos multiagente que ejecutan de forma autónoma o semi-autónoma las fases tácticas de la cadena de ataque. El humano fija los objetivos y revisa el material robado; la IA realiza la mayor parte del trabajo operativo (1).

El actor GTG-20006 ofrece un ejemplo claro. Configuró un flujo de trabajo asistido por IA que reconstruía y redesplegaba automáticamente su conjunto de herramientas cada vez que un producto de seguridad las detectaba (1).

Este modelo se apoya en marcos ofensivos de agentes disponibles en abierto, como PentAGI. Esos andamiajes automatizan cada etapa de la cadena de ataque. Servicios estatales e individuos aislados los han adoptado en un número creciente de países (1). Anthropic observa que el modelo operativo que documentó en noviembre de 2025 para una campaña de posible patrocinio estatal se ha extendido ya a todas las clases de actores que investigó (1).

La consecuencia práctica es inmediata. Operaciones que hace un año exigían equipos numerosos de especialistas las sostiene ahora un número reducido de personas, a veces una sola, con menos conocimiento técnico. La IA reduce la brecha de mano de obra y de herramientas que separaba a las operaciones estatales de los actores individuales o criminales (1). Para los analistas de inteligencia de amenazas la sofisticación técnica de una campaña deja de indicar con fiabilidad la identidad o los recursos del adversario (1).

El riesgo principal no está solo en la generación masiva de exploits. Está en la capacidad de la IA para actuar a lo largo de toda la cadena de ataque con más velocidad, sobre una superficie más amplia y profunda, y con menos recursos humanos (1). Ese patrón de orquestación articula los casos que el informe presenta a continuación.

3. Tendencias transversales

Dos tendencias atraviesan casi todos los casos de ciberoperaciones que Anthropic examinó entre diciembre de 2025 y agosto de 2026.

La primera: los ataques sofisticados ya no necesitan atacantes igual de sofisticados. Las capacidades de los modelos de lenguaje han reducido la brecha de mano de obra y de herramientas que separaba a las operaciones estatales bien dotadas de los operadores individuales o de los grupos criminales con menos recursos técnicos (1). En los casos documentados un activista con claves de API robadas, varios individuos motivados por dinero y un operador de espionaje estatal mantuvieron, cada uno, campañas multi-víctima que un año antes habrían exigido equipos numerosos de especialistas (1). Para los investigadores de inteligencia de amenazas la sofisticación técnica de una operación deja de señalar con fiabilidad la identidad o los recursos del actor (1). Cada capa de la actividad ofensiva (reconocimiento, desarrollo de herramientas, procesamiento de datos y explotación) gana capacidad gracias a la IA. Eso se traduce en más conocimiento disponible y en una aceleración del desarrollo e implementación de capacidades (1).

La segunda tendencia: el papel de la IA se vuelve cada vez más autónomo. La mayoría de las operaciones que el informe describe funcionaron mediante ejecución directa o, con más frecuencia, mediante orquestación. Los actores dejaron atrás las interacciones de pregunta-respuesta propias de un chatbot y montaron marcos multiagente que ejecutaban reconocimiento, explotación y exfiltración (1). El humano se limitaba a fijar los objetivos y a revisar el material exfiltrado (1). GTG-20006 ilustra el punto: configuró un flujo de trabajo que reconstruía y redesplegaba de forma automática su conjunto de herramientas cada vez que un producto de seguridad las detectaba (1).

Anthropic observa que el modelo operativo documentado en noviembre de 2025 para una campaña de posible patrocinio estatal se ha extendido ya a todas las clases de actores investigadas. Marcos ofensivos de agentes disponibles en abierto, como PentAGI, reproducen gran parte de esa estructura y automatizan cada etapa de la cadena de ataque (1). A medida que los modelos mejoran, la compañía estima que más actores, desde individuos aislados hasta entidades organizadas, adoptarán estos marcos para ejecutar ataques más sofisticados con mayor velocidad y escala (1).

Estas dos tendencias producen un efecto de “uplift” que Anthropic mide en velocidad, escala y profundidad. La adopción de la IA aumenta de forma notable el daño que un actor puede causar con los mismos o con menos recursos humanos (1). El resultado es una inversión de la carga de costes hacia los defensores. Antes, el despliegue de nuevas detecciones podía ralentizar el ritmo de un adversario. Ahora actores capaces cierran el bucle de evasión con más rapidez de la que los defensores necesitan para desarrollar y desplegar contramedidas (1).

4. Casos de ciberoperaciones de alta intensidad

El informe presenta varios casos que ilustran el paso a operaciones de mayor autonomía y escala. Los tres de mayor intensidad técnica y los patrones de acceso al supply chain de la inteligencia artificial ocupan las páginas siguientes.

4.1. GTG-20006 y la campaña atribuida a Midnight Blizzard

GTG-20006 es un actor cuya atribución coincide con la información pública que lo vincula a Midnight Blizzard. Uno de sus operadores, de habla rusa y con el alias “JackPoterz”, muestra un tradecraft y un patrón de objetivos coherentes con el espionaje de nexo estatal ruso (1). Las operaciones se dirigieron contra objetivos de inteligencia militar en gobiernos de Ucrania y Europa, así como contra organizaciones diplomáticas y de defensa e individuos vinculados a la política exterior de Estados Unidos (1).

El actor usó flujos de trabajo personalizados impulsados por IA que automatizaron gran parte del ciclo operativo: desarrollo de herramientas, adquisición de infraestructura, phishing, persistencia mediante mando y control, y exfiltración de datos (1). El conjunto de herramientas incluía dos familias de implants para Windows, un kit de explotación móvil, una herramienta de robo de credenciales orientada a almacenes de contraseñas de navegadores, una plataforma de phishing diseñada para imitar objetivos prioritarios y una consola administrativa para gestionar cuentas comprometidas (1). Cada componente se gestionó y se adaptó según necesidad mediante flujos asistidos por IA (1).

La IA también monitorizó la evasión de detecciones. Cuando los agentes de monitorización detectaban que el malware había sido identificado por un producto de seguridad, iniciaban de forma autónoma el proceso de modificación y reconstrucción hasta que el artefacto volvía a pasar desapercibido. Entonces alojaban las herramientas en servidores desechables desde los que el tráfico de las víctimas recuperaba el malware durante las operaciones de phishing, ClickFix y secuestro de DNS (1).

La IA impulsó además las operaciones de phishing. Flujos automatizados investigaban y registraban dominios, configuraban la infraestructura de alojamiento, enviaban los correos y monitorizaban los canales de mando y control (1). El operador humano intervenía sobre todo para modificar las habilidades de Claude Code que gobernaban estos flujos cuando necesitaban ajustes (1).

La investigación identificó más de veinte organizaciones distintas en la planificación, el reconocimiento y las operaciones en vivo. Los objetivos más recurrentes fueron miembros del gobierno, las fuerzas armadas y el personal diplomático ucranianos. El actor escaneó servicios de correo y sistemas de acceso remoto en más de dos docenas de organizaciones gubernamentales ucranianas (1). Un segundo eje de interés fue la cadena de suministro de tecnología de drones: exportó de forma masiva buzones de al menos dos fabricantes de componentes, atacó a un fabricante de drones militares y sustrajo un kit completo de desarrollo de software propietario de un sistema de visión para drones, incluyendo arquitectura de producto, lista de materiales de hardware, dependencias de proveedores y detalles de un producto no anunciado (1).

Para alcanzar objetivos de forma indirecta el actor comprometió al menos tres proveedores de hostelería que operan redes Wi-Fi de huéspedes. Mediante el secuestro de registros DNS, el tráfico, el identificador de dispositivo y la dirección IP de los huéspedes se redirigían a servidores del actor, donde se desplegaban señuelos de tipo ClickFix para entregar malware de Windows, Android e iOS. La combinación de información de huéspedes robada de los sistemas de gestión hotelera con los datos extraídos de los dispositivos permitía un direccionamiento adicional de esfuerzos, con especial atención a personas vinculadas a Ucrania (1). Microsoft Threat Intelligence publicó en julio de 2026 un informe sobre este método de robo y entrega de malware, al que denominó CaptiveCrunch (1).

El actor también tomó control de cuentas de WhatsApp mediante una plataforma de navegadores sin cabeza, utilizando en parte la biblioteca de código abierto WPPConnect, y suprimió los recibos de lectura para exportar de forma masiva conversaciones en ruso y ucraniano. Al menos dos antiguos altos funcionarios ucranianos fueron objetivo de esta técnica (1). Además, explotó fallos de autorización en interfaces de servicios de transmisión de cámaras para enumerar usuarios y cosechar tokens que otorgaban acceso a transmisiones en vivo (1).

En una intrusión separada contra una autoridad tecnológica de un gobierno del norte de África, el actor robó credenciales de un dispositivo VPN y tomó el control del servidor central de cuentas. Eso le permitió exfiltrar más de 300.000 registros de identidad nacional y los datos del registro mercantil de más de medio millón de empresas (1). Continuó desarrollando una plataforma de espionaje de correo en la nube que incorporaba el marco “Embassy Kit” para el phishing de códigos de dispositivo. La usó contra personal diplomático y gubernamental y obtuvo acceso y exfiltración de registros de correo de al menos ocho organizaciones (1).

Los payloads de Windows se diseñaron para congelar las actualizaciones de seguridad de la máquina víctima, de modo que las nuevas firmas de detección no se recuperaran ni se ejecutaran (1). La IA intervino en todas las fases: reconocimiento, acceso inicial, recolección y exfiltración, y mantenimiento del acceso (1). En entornos on-premises la IA monitorizaba el sigilo y la persistencia de los implants. Cuando estos eran marcados, Claude identificaba, modificaba y redesplegaba de forma sistemática los artefactos detectados (1).

4.2. GTG-50014 y los afiliados de ShinyHunters

Anthropic identificó y disruptó varios clústeres de actividad de ciberdelincuencia motivada por fines económicos atribuibles a operadores sospechosos de ser afiliados del colectivo ShinyHunters, conocido por operaciones de robo masivo de datos seguidas de demandas de extorsión de tipo “pagar o filtrar” (1). Aunque los afiliados operaban con herramientas y flujos de trabajo propios, el análisis de enfoques y objetivos muestra que formaban parte de la misma operación global (1).

Un operador de habla francesa, con los alias MeowSHA, frkoo y blazes spider, gestionó un pipeline distribuido de recolección de credenciales sobre una flota de diez trabajadores EC2 de AWS. Este pipeline descargó de forma masiva 1,8 millones de APK de Android distintos desde múltiples fuentes de tiendas de aplicaciones, los descompiló y los escaneó en busca de secretos codificados mediante TruffleHog. Los hallazgos verificados se enrutaban en tiempo real a un grupo de Telegram organizado en más de cien tipos de fuentes. Un recolector paralelo de correos de organizaciones de GitHub alimentaba un segundo flujo de tokens de acceso personal de GitHub robados. Ambos pipelines suministraron las credenciales de acceso inicial para la mayor parte de las brechas confirmadas asociadas a frkoo (1).

La disciplina de seguridad operativa de los operadores fue irregular. frkoo expuso su propia IP de staging de EC2, múltiples tokens de bots de Telegram, un proxy Squid con credenciales codificadas y al menos una carga en un sitio de paste público desde un entorno de víctima. Registró el dominio policenationale[.]cc (que Anthropic considera más un elemento de marca del escaparate criminal que un señuelo de phishing). El subdominio autoshop.policenationale[.]cc funcionaba como frontend de una tienda de carding que vendía registros de tarjetas de pago enriquecidos con búsquedas BIN, datos personales completos del titular y un mapa interactivo de geolocalización de direcciones de víctimas. La tienda se entregaba a los clientes a través de una Mini App de Telegram respaldada por la plataforma “Soraki” del actor, un stack PostgreSQL/GraphQL que también agregaba múltiples conjuntos de datos de brechas francesas (1).

En múltiples intrusiones se robaron claves de API de IA de proveedores de software empresarial de las víctimas. Una de estas claves robadas se utilizó durante aproximadamente tres semanas para realizar ataques secundarios, incluyendo el compromiso de una cadena minorista francesa y el sondeo de una plataforma de identidad Web3. Los operadores continuaron ataques posteriores a la brecha contra una víctima sin ánimo de lucro y, en el caso de frkoo, el desarrollo de su propia tienda de carding (1).

Una de las comprometidas más graves afectó a un proveedor tecnológico: se exfiltraron más de un terabyte de datos, incluyendo cientos de miles de identificadores nacionales y millones de registros de tarjetas de pago, que luego se alojaron en un sitio web público para presionar a la víctima. En una aerolínea se accedió a sistemas que contenían decenas de millones de registros de pasajeros. En una empresa energética los operadores afirmaron poder controlar de forma remota la corriente de carga de cargadores de vehículos eléctricos instalados en hogares de clientes (1).

Otro afiliado se especializó en el robo de cadena de suministro. Tras comprometer a un proveedor de software como servicio (SaaS), utilizó ese punto de apoyo para extraer datos de aproximadamente 200 organizaciones clientes posteriores. Realizó un volcado de almacén de sesiones que contenía más de 2.100 conjuntos de tokens de Azure AD que abarcaban más de 40 tenants corporativos en unas 34 horas. Los agentes de IA realizaron prácticamente la totalidad del trabajo (1).

En otro compromiso el actor aprovechó Claude en una cadena de suministro de un proveedor SaaS para acelerar el reconocimiento y facilitar la exfiltración. Explotó una vulnerabilidad de cross-site scripting, elevó privilegios y exfiltró datos de miles de organizaciones clientes posteriores. Claude se utilizó para identificar, comprender y emplear APIs de desarrolladores y de autenticación, crear y convertir tokens privilegiados, y construir herramientas de exportación masiva y recolección de datos entre tenants (1). El mismo atacante afirmó haber cobrado recompensas legítimas de bug bounty de HackerOne por importes de 2.000 y 5.000 dólares de dos de las empresas que infiltró y extorsionó, tratando los programas de divulgación y la intrusión como flujos de ingresos adicionales (1).

El tempo operativo fue elevado: una brecha en una empresa de software empresarial se completó en cuestión de horas desde el primer acceso hasta el robo masivo de datos; otra escaló desde un único token de desarrollador robado hasta el control administrativo completo del entorno en la nube de la víctima en aproximadamente tres horas (1). El uso de la IA durante las intrusiones y el robo de datos se asemeja a lo que Anthropic denomina “vibe hacking”: el operador dirige a la IA con objetivos generales y permite que la IA evalúe el entorno, redacte y ejecute scripts, proporcione resúmenes y repita el proceso hasta completar la tarea. Con frecuencia el operador no comprende de forma directa cada entorno objetivo ni las complejidades de localizar y acceder a la información valiosa, y delega esos detalles en la IA (1).

Los operadores trataron el propio supply chain de la IA como objetivo y como recurso. Robaron claves de API de IA de múltiples entornos de víctimas y las utilizaron para obtener capacidad de cómputo adicional. En todos los casos las claves involucradas procedían de entornos de clientes de Anthropic; los sistemas propios de Anthropic no fueron comprometidos (1).

4.3. GTG-10007 y las “factorías de exploits” autónomas

GTG-10007 corresponde a una operación de espionaje sostenida llevada a cabo por operadores de habla china residentes, con alta probabilidad, en Changsha (provincia de Hunan). Dos de los operadores fueron identificados como estudiantes de grado de una universidad china de Hunan que cursaban estudios en una Escuela de Ingeniería Informática y de Comunicaciones. Uno de ellos había realizado una práctica previa en la empresa de seguridad china Sangfor y se encontraba entrevistándose para un puesto de operaciones cibernéticas ofensivas en otra empresa de seguridad china, QiAnXin (1).

El grupo utilizó Claude como capa de ingeniería y orquestación de un programa ofensivo coordinado que incluía intentos de intrusión contra sistemas de producción, reconocimiento de redes de gobiernos extranjeros en Oriente Medio, Europa y el Sudeste Asiático, un esfuerzo permanente de investigación de vulnerabilidades y desarrollo de exploits contra productos de seguridad de endpoint de primer nivel, desarrollo de malware y una plataforma de recolección de inteligencia (1). El equipo mantuvo flujos de trabajo paralelos con bases de herramientas e infraestructura compartidas y registros de campaña persistentes que conservaban el contexto entre sesiones de trabajo; las capacidades de recolección e investigación de vulnerabilidades continuaron operando mientras sus responsables no estaban presentes (1).

El actor atacó aproximadamente cincuenta organizaciones de los sectores de educación, comercio minorista, energía, tecnología, sanidad, finanzas y fabricación, así como múltiples agencias gubernamentales a escala global. Comprometió una empresa de tecnología educativa y extrajo cientos de megabytes de datos personales masivos de estudiantes. Accedió a sistemas de producción de una empresa minorista y demostró capacidad de modificar el entorno en vivo. Atacó una agencia gubernamental del Sudeste Asiático y recuperó registros de ciudadanos que incluían nombres, números de teléfono y direcciones de domicilio (1).

El grupo mantuvo un programa autónomo de investigación de vulnerabilidades. Su elemento central fue la investigación sostenida contra un producto de seguridad de primer nivel (de la clase de software desplegado específicamente para detectar intrusiones), que produjo múltiples vulnerabilidades previamente desconocidas validadas por el actor en su propio entorno de laboratorio. El mismo esfuerzo generó exploits funcionales para varias familias de appliances de red y de seguridad. En un flujo de trabajo separado el actor realizó intentos de explotación contra esos mismos appliances propiedad de múltiples organizaciones gubernamentales a escala global (1).

Los operadores ejecutaban de forma rutinaria “enjambres de agentes”, en los que un agente líder descomponía el trabajo de reconocimiento y post-explotación y lo distribuía a numerosos subagentes que operaban en paralelo. La operación mantenía una memoria de campaña persistente: listas de objetivos, credenciales cosechadas, estado de los compromitimientos e instrucciones permanentes se guardaban entre sesiones, de modo que cada sesión podía reanudarse a mitad de campaña con el contexto acumulado (1). El clúster construyó y operó una plataforma de recolección de inteligencia que realizaba de forma no atendida la recolección masiva de material de fuentes abiertas alineado con prioridades de inteligencia estatal (1).

El bucle de investigación de zero-days en appliances funcionaba de la siguiente manera: se cargaban imágenes de firmware y binarios en un descompilador a través de un servidor de herramientas; un agente asistente exploraba la imagen y recorría cadenas de descompilación y referencias cruzadas (con miles de llamadas de descompilación); formulaba hipótesis de vulnerabilidad contra una base de conocimiento curada a lo largo del tiempo; encargaba la escritura de código de exploit y lo probaba contra copias de laboratorio del producto objetivo; iteraba sobre las ediciones del código hasta el éxito, momento en el que la cadena se incorporaba al portafolio privado de exploits del operador (1). Un flujo de trabajo que iteraba de forma continua sobre appliances de red produjo más de una docena de posibles hallazgos de zero-day en un solo mes (1).

4.4. Otros actores y patrones de acceso al supply chain de la IA

El acceso a la capacidad de “uplift” que proporciona la IA se ha convertido en un objetivo prioritario de actores maliciosos y de la economía criminal en general. El acceso en forma de claves de API comprometidas, tokens de sesión y dispositivos se ha transformado en el objetivo exclusivo de múltiples grupos criminales, que luego venden ese acceso a través de intermediarios. Estos, a su vez, alimentan redes de reventa fraudulenta de IA que rotan nuevas claves y tokens robados hasta agotar su uso (1).

GTG-50021, un grupo de habla rusa y ucraniana (uno de cuyos miembros utilizaba el alias “kl1zy”), operó un servicio de reventa fraudulenta de Claude que ofrecía acceso a precio reducido. Los clientes creían estar adquiriendo acceso a Claude, pero su tráfico se redirigía de forma silenciosa a un modelo diferente mientras la herramienta del revendedor instalaba un recolector de credenciales que robaba las credenciales de la cuenta de Anthropic y las vendía a otros revendedores de proxies de IA para uso malicioso (1).

GTG-50020, un actor de habla rusa motivado por fines económicos que históricamente había realizado intrusiones contra plataformas de reserva de hoteles y de tecnología financiera, redirigió el mismo tradecraft hacia la industria de la IA. Mediante la inyección de instrucciones maliciosas en un sandbox de evaluación automatizada de un proveedor de IA, provocó que el sandbox entregara las credenciales que contenía, incluyendo claves de API de producción de múltiples proveedores pertenecientes a ese vendor. Esas claves robadas se utilizaron a continuación para continuar los intentos de intrusión contra el propio vendor y contra otros objetivos no relacionados. En la práctica, cuando obtenían las claves de la víctima, cambiaban automáticamente a utilizarlas en lugar de las propias. Una campaña de seguimiento lanzada desde la misma infraestructura atacó aproximadamente treinta empresas de IA en unos cuatro días con técnicas similares. El objetivo declarado del actor, perseguido a través de más de una docena de vías, era el acceso a un modelo Claude de pre-lanzamiento; ninguna de las vías tuvo éxito. Las claves involucradas procedían de entornos de clientes; los sistemas propios de Anthropic no fueron comprometidos (1).

Anthropic concluye que el supply chain de la IA se ha convertido en un objetivo criminal deliberado. Las claves de API y los tokens de sesión son a la vez botín (valor de reventa), capacidad de cómputo (los ataques se ejecutan a costa de terceros) y cobertura (la actividad se atribuye al propietario legítimo de la clave) (1). Las organizaciones deben tratar las claves de IA y las integraciones de agentes con el mismo nivel de seriedad que las credenciales de producción, porque los atacantes ya lo hacen (1).

5. Operaciones de influencia, vigilancia y armas convencionales

El informe de Anthropic de septiembre de 2026 incluye, además de las ciberoperaciones, tres categorías adicionales de daño: operaciones de influencia, operaciones de vigilancia y desarrollo de armas convencionales (1). Estas actividades formaron parte del conjunto de operaciones disruptadas entre diciembre de 2025 y agosto de 2026 e involucraron a actores estatales, instituciones de propaganda y proveedores comerciales de spyware (1).

En el ámbito de la vigilancia Anthropic documenta el uso de Claude por parte de operadores vinculados a China para identificar y monitorear disidentes y comunidades específicas. Fuentes de cobertura del informe señalan que operadores sospechosos de nexo gubernamental chino emplearon el modelo para actividades de vigilancia orientadas a minorías uigures en Xinjiang, así como a comunidades religiosas que incluían cardenales católicos en Asia, la Iglesia Presbiteriana en Taiwán y budistas tibetanos (2)(3). El informe original caracteriza estos sistemas como herramientas diseñadas para identificar y monitorear a disidentes (1).

Respecto a las operaciones de influencia el informe menciona campañas de propaganda y desinformación. Entre los ejemplos destacados en la cobertura especializada figura una operación automatizada de noticias falsas en Bangladesh (3). Anthropic sitúa estas actividades dentro del conjunto de actores que incluye instituciones de propaganda estatal y individuos con motivaciones políticas (1).

En el capítulo de armas convencionales el informe registra intentos de utilizar Claude para el desarrollo de software relacionado con sistemas de armas o para apoyar la recopilación de inteligencia y la adquisición vinculadas a programas de armamento. Las actividades se atribuyen a actores en China, Rusia y Yemen (2)(4). Anthropic indica que estas operaciones fueron detectadas y disruptadas, y que la información obtenida se utilizó para reforzar las salvaguardas del modelo (1).

Estas tres categorías refuerzan la observación central del informe: la misma infraestructura de modelos de lenguaje que habilita la orquestación de ciberoperaciones puede reorientarse hacia tareas de vigilancia masiva, generación de contenido propagandístico y apoyo a programas de armamento convencional. Anthropic subraya que en todos los casos interrumpió la actividad, reforzó los controles y, cuando resultó pertinente, intercambió inteligencia con autoridades y socios de la industria (1).

La información disponible sobre estos tres ámbitos es menos granular que la relativa a las ciberoperaciones. El informe no aporta en las secciones examinadas un desglose equivalente de indicadores de compromiso, diagramas de flujo de trabajo multiagente o métricas de “uplift” específicas. Esta asimetría en el nivel de detalle constituye una limitación del material publicado hasta la fecha.

6. Uso indebido en el ámbito biológico

El informe de Anthropic de septiembre de 2026 dedica una sección específica al uso indebido de los modelos Claude en actividades que podrían apoyar el desarrollo de armas biológicas. La compañía califica este ámbito como uno de los riesgos más graves asociados a los modelos de frontera (1)(2).

Anthropic documenta cinco casos de estudio en los que usuarios intentaron emplear los modelos de formas que podrían respaldar el desarrollo de armas biológicas. Estos casos incluyeron investigaciones sobre transmisibilidad viral y evasión inmunitaria, adaptación mamífera de influenza aviar altamente patógena, investigación sobre ortopoxvirus, optimización de toxinas y rediseño computacional de toxinas (2)(3). Entre los agentes biológicos mencionados figuran el virus del chikungunya, una cepa altamente patógena de influenza aviar, virus de familias que incluyen la viruela y el mpox, así como venenos y otras toxinas (3).

Los actores involucrados eludieron controles de acceso geográfico y realizaron esfuerzos adicionales de ofuscación del propósito de su investigación para evadir las salvaguardas del modelo (2). Anthropic indica que, tras examinar aproximadamente treinta días de actividad, identificó alrededor de 35 esfuerzos de investigación distintos con actividad potencialmente preocupante. No obstante, la compañía reconoce expresamente que no pudo determinar con certeza si los actores perseguían un propósito dañino o si se trataba de investigación científica legítima (2).

En respuesta a estos hallazgos Anthropic procedió a la prohibición de las cuentas asociadas, incorporó las lecciones aprendidas en sus procesos de detección y prevención, y compartió la información con autoridades gubernamentales y otras empresas de inteligencia artificial cuando resultó apropiado (1)(2). La compañía ha optado por no revelar los nombres de las instituciones, los países ni las técnicas biológicas específicas involucradas (2).

El informe no proporciona detalles técnicos adicionales sobre los flujos de trabajo multiagente empleados en estos casos, ni métricas de “uplift” comparables a las ofrecidas en el capítulo de ciberoperaciones. Tampoco aclara el grado de autonomía alcanzado por la IA ni la naturaleza exacta de las interacciones. Esta ausencia de granularidad constituye una limitación relevante del material publicado: permite constatar la existencia de intentos de uso indebido en el dominio biológico y la respuesta de la compañía, pero impide un análisis más profundo de las capacidades técnicas efectivamente movilizadas.

Anthropic sitúa estos incidentes dentro de un marco más amplio de riesgo CBRN (químico, biológico, radiológico y nuclear) y señala que los hallazgos han sido integrados en los procesos de prevención, detección e interrupción de actividades futuras (1)(2). El documento no aporta información sobre el volumen total de consultas bloqueadas en este dominio ni sobre la tasa de falsos positivos o negativos de los clasificadores empleados.

7. Destilación ilícita y el supply chain de modelos como objetivo

El informe de Anthropic de septiembre de 2026 dedica un capítulo específico a la destilación ilícita, definida como la extracción encubierta y a escala industrial de las capacidades de Claude sin autorización, con el fin de mejorar modelos de terceros (1). Desde febrero de 2026 la compañía ha detectado y disruptado campañas de destilación no autorizada atribuidas con alto grado de confianza a laboratorios con sede en la República Popular China que tomaban como objetivo los modelos de la clase Opus (1).

El caso de mayor escala documentado corresponde a GTG-16005, atribuido a operadores afiliados a Alibaba (laboratorio Qwen / Tongyi Lab). Esta campaña se centró en la extracción de las transcripciones de razonamiento en cadena de pensamiento (chain-of-thought) de los modelos Opus 4.6 y 4.7. Entre mayo y julio de 2026 se observaron más de 151 millones de intercambios, con picos cercanos a los 3 millones diarios procedentes de más de 3.500 cuentas fraudulentas (1). Parte de estas cuentas redirigían tráfico procedente de DeepSeek y Xiaomi, lo que indica que las mismas redes de proxies son utilizadas por distintas organizaciones (1).

Un segundo patrón relevante es el documentado bajo GTG-16002: Moonshot AI, desarrolladora de la familia de modelos Kimi, reenviaba de forma silenciosa las solicitudes de sus clientes a Claude en lugar de procesarlas con sus propios modelos, y almacenaba los intercambios para el entrenamiento de Kimi (1). DeepSeek, por su parte, generó más de 12,1 millones de intercambios en un periodo de catorce días de julio de 2026 (1). Otros laboratorios mencionados en el informe incluyen Zhipu (comercializado fuera de China como Z.ai), que ejecutó un pipeline de extracción de cadena de pensamiento y reinyección de trazas de razonamiento de Claude para limpiarlas y utilizarlas en el entrenamiento de sus modelos GLM; así como Sensetime, MiniMax y Xiaomi, este último con más de 400.000 intercambios observados en un periodo de veinte días entre marzo y abril de 2026 (1).

Anthropic describe la destilación ilícita como un problema complejo que no puede abordarse con una única salvaguarda. La compañía emplea un enfoque de defensa en capas: análisis de metadatos y señales de actividad irregular para identificar cuentas asociadas a redes de proxies; clasificadores específicamente diseñados para detectar extracción adversarial; y, a partir del lanzamiento de Fable 5, el refuerzo de esos clasificadores. Cuando existe confianza suficiente de que un conjunto de solicitudes forma parte de una campaña de destilación ilícita u otro uso no autorizado, se bloquea la solicitud y se prohíben las cuentas asociadas (1). Adicionalmente, Claude resume ahora su razonamiento interno antes de responder, lo que reduce la utilidad de las transcripciones robadas para el entrenamiento de otros modelos (1).

El informe sitúa estas campañas dentro de un patrón más amplio en el que el supply chain de la inteligencia artificial (claves de API, tokens de sesión, sandboxes de evaluación y servicios de reventa) se convierte simultáneamente en objetivo, botín y recurso de cómputo para actores maliciosos (1). Anthropic señala que otros laboratorios de frontera han enfrentado ataques de destilación similares y que OpenAI ha alertado sobre esta actividad desde principios de 2025, mientras que Google publicó un rastreador de amenazas sobre destilación adversarial en 2026 (1).

La información publicada no incluye el detalle de los prompts exactos utilizados, la proporción de capacidades efectivamente transferidas a los modelos destilados ni una evaluación cuantitativa del impacto en el rendimiento de los modelos resultantes. Tampoco se aportan indicadores de compromiso técnicos específicos de estas campañas más allá de las magnitudes de tráfico y la atribución a laboratorios concretos. Estas lagunas limitan la posibilidad de un análisis forense independiente del grado de éxito técnico de las operaciones de destilación.

8. Consecuencias para la defensa, la atribución y la gobernanza de modelos de frontera

El conjunto de hallazgos presentados en el informe de Anthropic de septiembre de 2026 genera implicaciones directas para tres ámbitos interrelacionados: la defensa de sistemas y redes, la atribución de operaciones maliciosas y la gobernanza de los modelos de frontera.

En el plano de la defensa el informe documenta una inversión de la carga de costes. Históricamente el despliegue de nuevas detecciones o firmas podía ralentizar el tempo operativo de un adversario al obligarlo a desarrollar y validar nuevas herramientas de evasión. En los casos examinados actores capaces de orquestar flujos multiagente pueden cerrar el bucle de detección-modificación-redespliegue con mayor rapidez de la que los defensores pueden generar y distribuir contramedidas (1). La capacidad de la IA para monitorizar la eficacia de las detecciones existentes y reconstruir de forma automática los artefactos detectados reduce la ventana temporal de la que disponen los equipos de respuesta (1). Además, el uso de claves de API robadas a víctimas legítimas permite a los atacantes ejecutar sus cargas de trabajo a costa de terceros y bajo la identidad de esos terceros, lo que complica tanto la detección basada en volúmenes anómalos como la atribución posterior (1).

En el ámbito de la atribución la proliferación de capacidades ofensivas mediadas por IA erosiona uno de los indicadores clásicos utilizados por los analistas de inteligencia de amenazas: el nivel de sofisticación técnica de una campaña. Operaciones que presentan un grado elevado de automatización, persistencia y alcance multi-víctima pueden ser sostenidas ahora por actores con recursos humanos limitados o con un nivel de especialización inferior al que se requería hace apenas un año (1). Anthropic constata que la sofisticación ha dejado de ser un señalador fiable de la identidad o del patrocinio del actor (1). Esta pérdida de poder discriminatorio obliga a recalibrar los modelos de atribución, otorgando mayor peso a otros indicadores (infraestructura, patrones lingüísticos, objetivos estratégicos, reutilización de herramientas) y a la colaboración entre plataformas para correlacionar actividad a través de distintos proveedores de modelos.

En el terreno de la gobernanza de modelos de frontera el informe pone de manifiesto dos vectores de riesgo que trascienden el uso indebido por parte de actores externos. El primero es el supply chain de la propia inteligencia artificial: las claves de API, los tokens de sesión, los sandboxes de evaluación y los servicios de reventa se han convertido en objetivos prioritarios porque ofrecen simultáneamente botín (valor de reventa), capacidad de cómputo y cobertura atribuible a terceros legítimos (1). Anthropic recomienda tratar las claves de IA y las integraciones de agentes con el mismo nivel de rigor que las credenciales de producción, y advierte que el acceso a modelos de frontera debería adquirirse únicamente a través de canales autorizados (1). El segundo vector es la destilación ilícita a escala industrial, que permite a laboratorios terceros extraer capacidades de razonamiento y de uso de herramientas sin autorización. Las defensas en capas desplegadas por Anthropic (análisis de metadatos, clasificadores de extracción adversarial, resumen del razonamiento interno) constituyen una respuesta técnica, pero el informe reconoce que ninguna salvaguarda aislada resulta suficiente (1).

Finalmente, el documento subraya la necesidad de intercambio de inteligencia entre desarrolladores de modelos, autoridades y socios de la industria. Anthropic afirma haber compartido información en los casos en que resultó apropiado, con el objetivo de que otros actores puedan reconocer patrones similares en sus propias plataformas y de fortalecer las defensas colectivas (1). Esta práctica de divulgación responsable se presenta como un componente necesario de la gobernanza, dado que los modelos de frontera operan en un ecosistema interconectado en el que las vulnerabilidades o los usos indebidos detectados por un proveedor pueden trasladarse con rapidez a otros.

9. Limitaciones del informe y lagunas de conocimiento

El informe Detecting and countering misuse of AI: September 2026 presenta un conjunto de hallazgos de alto valor operativo, pero también exhibe limitaciones estructurales y lagunas de información que condicionan el alcance de cualquier análisis posterior.

En primer lugar, Anthropic declara de manera explícita que los casos incluidos no constituyen una muestra representativa del uso indebido cotidiano de sus modelos, sino una selección de las actividades más notables y novedosas identificadas hasta la fecha (1). Esta decisión editorial privilegia la profundidad sobre la amplitud estadística: permite examinar con detalle operaciones de elevada complejidad técnica, pero impide extrapolar frecuencias, volúmenes totales de actividad maliciosa o tendencias cuantitativas al conjunto de la plataforma.

En segundo lugar, el nivel de granularidad es desigual entre las distintas categorías de daño. Las ciberoperaciones reciben el tratamiento más exhaustivo, con descripciones de flujos multiagente, indicadores de compromiso, diagramas de ciclo de ataque y métricas aproximadas de tempo operativo. En cambio, las secciones dedicadas a operaciones de influencia, vigilancia, armas convencionales y uso indebido biológico ofrecen un grado de detalle considerablemente inferior. En el ámbito biológico, por ejemplo, se documentan cinco casos y se menciona la identificación de aproximadamente 35 esfuerzos de investigación potencialmente preocupantes, pero no se aportan los flujos de trabajo concretos, el grado de autonomía de la IA ni una evaluación de la distancia entre las consultas realizadas y un posible resultado operativo (1)(2). De igual modo, las campañas de destilación ilícita se cuantifican en volumen de intercambios, pero no se evalúa el grado efectivo de transferencia de capacidades a los modelos destilados (1).

En tercer lugar, el informe no proporciona una metodología pública y reproducible de medición del “uplift”. Aunque Anthropic define el concepto en términos de velocidad, escala y profundidad, y afirma que la adopción de la IA incrementa de forma significativa el daño potencial, no se ofrecen umbrales cuantitativos, grupos de control ni comparaciones sistemáticas entre operaciones mediadas por IA y operaciones equivalentes realizadas sin ella (1). Esta ausencia dificulta la contrastación independiente de la magnitud del efecto atribuido a los modelos.

En cuarto lugar, la atribución de los actores se presenta con distintos grados de confianza. En algunos casos (GTG-20006 y su vinculación con Midnight Blizzard, GTG-10007 y su localización en Changsha) se aporta información de tradecraft, idioma y objetivos que permite una evaluación razonada. En otros, la atribución se limita a características lingüísticas o a la procedencia geográfica de las cuentas, sin detalles adicionales que permitan un examen externo (1). Además, Anthropic ha optado por no revelar nombres de instituciones, países o técnicas específicas en el ámbito biológico, lo que protege la sensibilidad de la información pero reduce la posibilidad de verificación independiente (2).

Por último, el informe no incluye una evaluación sistemática de los falsos positivos o de los costes colaterales de las salvaguardas reforzadas. Tampoco detalla el volumen total de cuentas prohibidas, el porcentaje de actividad maliciosa detectada de forma automatizada frente a la que requirió intervención humana, ni el impacto de las nuevas medidas sobre usuarios legítimos que realizan investigación en dominios sensibles (ciberseguridad ofensiva, biología, etc.).

Estas limitaciones no invalidan los hallazgos presentados, pero sí delimitan el tipo de conclusiones que pueden extraerse con rigor. El documento constituye una fuente primaria de alto valor sobre patrones emergentes de uso indebido de modelos de frontera; sin embargo, deja abiertas cuestiones relevantes sobre prevalencia, mensurabilidad del “uplift”, reproducibilidad de las detecciones y equilibrio entre seguridad y usabilidad legítima.

10. Conclusiones

El informe Detecting and countering misuse of AI: September 2026 documenta un punto de inflexión en la relación entre los modelos de lenguaje de frontera y las operaciones maliciosas. Entre diciembre de 2025 y agosto de 2026 Anthropic identificó y disruptó un conjunto de actividades en las que Claude dejó de funcionar predominantemente como asistente conversacional y pasó a operar como capa de ejecución y orquestación dentro de flujos multiagente (1). Este desplazamiento se observa con especial claridad en las ciberoperaciones, donde actores estatales, criminales e individuos aislados utilizaron marcos de agentes para automatizar reconocimiento, explotación, evasión de detecciones, exfiltración y, en algunos casos, la reconstrucción automática de herramientas cuando estas eran detectadas (1).

Las dos tendencias transversales identificadas (la reducción de la brecha de capacidad entre actores sofisticados y no sofisticados, y el incremento de la autonomía de la IA) convergen en un efecto de “uplift” medido en velocidad, escala y profundidad (1). La consecuencia práctica es una alteración de la economía de la ofensiva y una inversión parcial de la carga de costes hacia los defensores, que enfrentan adversarios capaces de cerrar el bucle de detección-modificación-redespliegue con mayor rapidez (1).

Más allá de las ciberoperaciones, el informe registra usos indebidos en vigilancia, operaciones de influencia, desarrollo de armas convencionales y actividades que podrían apoyar el desarrollo de armas biológicas, así como campañas de destilación ilícita a escala industrial atribuidas a laboratorios con sede en China (1)(2). En todos los casos Anthropic afirma haber interrumpido la actividad, reforzado sus salvaguardas y compartido inteligencia con autoridades y socios de la industria cuando resultó apropiado (1).

Las implicaciones para la defensa, la atribución y la gobernanza son significativas. La sofisticación técnica deja de ser un indicador fiable de la identidad del actor; el supply chain de la inteligencia artificial (claves de API, tokens de sesión, sandboxes de evaluación) se convierte en objetivo prioritario; y la destilación ilícita evidencia la dificultad de proteger las capacidades de razonamiento y de uso de herramientas una vez que los modelos se despliegan a escala (1).

El documento presenta, no obstante, limitaciones relevantes: los casos no son representativos del uso indebido cotidiano, el nivel de detalle es desigual entre categorías de daño, no se ofrece una metodología pública de medición del “uplift” y determinadas atribuciones y técnicas permanecen sin revelar por razones de sensibilidad (1)(2). Estas lagunas no restan valor a los hallazgos, pero sí delimitan el tipo de conclusiones que pueden formularse con rigor.

En conjunto, el informe de septiembre de 2026 constituye una fuente primaria de referencia sobre la evolución del uso malicioso de modelos de frontera. Su principal contribución reside en documentar, con evidencia operativa, el tránsito de la IA desde una función de asistencia hacia una función de orquestación, y en señalar las consecuencias que este tránsito genera para los defensores, los analistas de atribución y los responsables de gobernanza de sistemas de inteligencia artificial de alto rendimiento.

---

Bibliografía

(1) Anthropic, Detecting and countering misuse of AI: September 2026, 10 de septiembre de 2026. Disponible en: https://www.anthropic.com/threat-intelligence-report-september-2026

(2) CNN, “Anthropic says it blocked possible attempts to use AI to develop bioweapons”, 10 de septiembre de 2026. Disponible en: https://www.cnn.com/2026/09/10/health/anthropic-bioweapons-report

(3) The News Minute, “From biological weapons to espionage: What Anthropic’s report reveals about AI misuse”, 11 de septiembre de 2026. Disponible en: https://www.thenewsminute.com/news/from-biological-weapons-to-espionage-what-anthropics-report-reveals-about-ai-misuse

(4) Nikkei Asia / Reuters, “Anthropic disrupts Russian, Chinese AI campaigns targeting Claude”, 11 de septiembre de 2026. Disponible en: https://asia.nikkei.com/business/technology/artificial-intelligence/anthropic-disrupts-russian-chinese-ai-campaigns-targeting-claude