Sobre el informe de uso indebido de IA de Anthropic: los agentes trasladan el coste a los defensores
Anthropic publicó su tercer informe sobre uso indebido de IA tras detectar Claude en ciberataques, sistemas de vigilancia, campañas de influencia, investigación de armas y extracción industrial de modelos. Las evidencias de Sobre el informe de uso indebido de IA de Anthropic abarcan actividad observada entre diciembre de 2025 y agosto de 2026. Su advertencia central no es que la IA haya inventado nuevos objetivos maliciosos, sino que los agentes hicieron las operaciones existentes más baratas, rápidas y fáciles de escalar.
El informe describe a personas que eligen objetivos, definen metas y revisan resultados de importancia. A continuación, los sistemas de IA se encargaban del reconocimiento, el desarrollo de software, la investigación de vulnerabilidades, el procesamiento de datos, la producción de propaganda y partes de la explotación. Varios operadores también conectaron Claude con herramientas externas y memoria persistente, permitiendo que los flujos de trabajo automatizados continuaran entre sesiones.
Esa división del trabajo importa más que cualquier prompt malicioso aislado. Sitúa a la IA dentro de la maquinaria operativa de la ciberdelincuencia y la vigilancia estatal. Los atacantes ahora pueden conservar experiencia en software, repetir procedimientos exitosos y ejecutar varias líneas de trabajo a la vez.
Bruce Schneier destacó el mismo patrón en su análisis del informe sobre uso indebido. El cambio significativo apunta hacia una ejecución industrializada, con los humanos manteniendo la autoridad mientras las máquinas asumen una mayor carga operativa.
En el informe de uso indebido de IA de Anthropic, el flujo de trabajo es la historia
Las pruebas más relevantes del informe se refieren a flujos de trabajo completos, no a respuestas aisladas generadas por un chatbot.
El informe de inteligencia de amenazas de Anthropic documenta actividad de grupos criminales, proveedores comerciales de vigilancia, individuos con motivación política y organizaciones alineadas con Estados. Los casos abarcan operaciones cibernéticas, propaganda, vigilancia, armas convencionales, investigación biológica y destilación no autorizada de modelos.
La empresa afirma que seleccionó incidentes destacados o novedosos, no una muestra representativa de todo lo que ocurre en Claude. Esa distinción limita las conclusiones sobre la prevalencia. Sin embargo, los casos siguen revelando lo que los operadores motivados pueden construir cuando los modelos se conectan a código, navegadores, escáneres, bases de datos y otras herramientas.
Algunos operadores ejecutaron enjambres de agentes, lo que significa que un modelo coordinador dividía un objetivo amplio entre varios agentes de IA especializados. Esos agentes trabajaban en paralelo en reconocimiento, investigación de explotación y tareas posteriores al compromiso. La memoria persistente de la campaña almacenaba listas de objetivos, credenciales, instrucciones y estado de la interacción entre sesiones.
En una operación reportada, flujos de trabajo automatizados analizaron firmware de dispositivos y binarios con herramientas de descompilación. El sistema formuló hipótesis de vulnerabilidades, escribió exploits propuestos y los probó contra copias de laboratorio de productos objetivo. Anthropic afirma que un flujo de trabajo continuo produjo más de una docena de posibles hallazgos zero-day en un mes.
Un zero-day es una vulnerabilidad de software previamente desconocida sin un parche defensivo disponible. El informe no establece que todos los hallazgos sospechosos fueran válidos ni que se usaran contra sistemas reales. Sí muestra un proceso automatizado que iteraba tareas que tradicionalmente requerían atención sostenida de especialistas.
Otros agentes buscaron repetidamente infraestructura de internet expuesta. Identificaron servicios, compararon puntos de entrada con vulnerabilidades conocidas y añadieron nuevos hallazgos a la memoria persistente del proyecto. Una flota independiente de 13 agentes permanentes recopiló material público de fuentes militares, gubernamentales, políticas y sociales.
Esta arquitectura altera la economía del trabajo malicioso. Una persona ya no necesita realizar personalmente cada búsqueda, prueba, traducción o tarea de documentación. El operador puede supervisar una colección ampliable de trabajadores automatizados y concentrarse en la selección de objetivos.
Por eso, una lista de prompts individuales subestima la evolución. Cada prompt podría parecer ordinario si se revisa de forma aislada. El peligro surge de la orquestación, el contexto acumulado, el acceso a herramientas, la repetición y la capacidad de actuar sobre los resultados.
Anthropic afirma que prohibió las cuentas vinculadas y utilizó sus hallazgos para mejorar las salvaguardas. Sin embargo, eliminar una cuenta resuelve el acceso a un proveedor, no la experiencia subyacente, el código, las credenciales robadas ni la infraestructura. Los operadores pueden conservar esos activos y trasladar partes de un flujo de trabajo a otro lugar.
Por tanto, el informe transforma el uso indebido de IA de un problema de moderación de contenidos en un problema de seguridad operativa. Bloquear texto dañino sigue siendo útil, pero los defensores también deben detectar comportamientos automatizados entre identidades, sesiones, herramientas y cuentas comprometidas.
Los agentes de IA están comprimiendo el ciclo de ataque
Los agentes de IA no eliminan a los humanos de los ciberataques, pero permiten que menos personas operen sobre más objetivos y más capas técnicas.
Una campaña descrita por Anthropic utilizó IA en reconocimiento, acceso inicial, recopilación, exfiltración y persistencia. Según se informa, el actor identificó sistemas de correo electrónico y acceso remoto, elaboró listas de objetivos y creó infraestructura para phishing mediante código de dispositivo.
El phishing mediante código de dispositivo abusa de un proceso de inicio de sesión legítimo para convencer a una víctima de autorizar una sesión controlada por el atacante. Una vez que el atacante obtiene ese acceso, la sesión puede exponer el correo electrónico en la nube y otros servicios conectados. La técnica suele parecer menos sospechosa porque utiliza un flujo de autenticación real.
Anthropic afirma que la operación accedió a registros de correo de al menos ocho organizaciones. Los objetivos incluían la fiscalía de un país, un instituto de educación militar y una organización intergubernamental regional. Otra intrusión expuso más de 300.000 registros nacionales de identidad e información registral de más de 500.000 empresas.
Según el informe, el sistema de IA ayudó a organizar cientos de gigabytes de información robada. También colaboró en la recopilación de credenciales, el movimiento lateral y la adaptación de software malicioso después de que productos de seguridad detectaran versiones anteriores.
Esto cierra parte del ciclo de retroalimentación entre la acción del atacante y la respuesta defensiva. Una detección ya no crea el mismo retraso si el software puede analizar el fallo, revisar un artefacto y preparar rápidamente otra versión. La aprobación humana puede mantenerse en el circuito mientras se acelera la iteración de las máquinas.
Otro actor utilizó una canalización autónoma de explotación contra aplicaciones web en producción. Agentes trabajadores probaron fallos de inyección, omisiones de autenticación, cross-site scripting y falsificación de solicitudes del lado del servidor sin supervisión humana continua. Las posibles credenciales y los hallazgos volvían a un espacio de trabajo compartido.
La falsificación de solicitudes del lado del servidor es un fallo que engaña a un servidor para que realice solicitudes en nombre de un atacante. Puede exponer sistemas internos que de otro modo serían inaccesibles desde la internet pública. Automatizar estas pruebas aumenta el número de endpoints que un operador puede sondear.
El informe también describe infraestructura de fraude que automatizaba el registro de cuentas, la supervisión de bandejas de entrada, la resolución de CAPTCHA y pasos de verificación de identidad. Otro flujo de trabajo colocó un proxy inverso entre las víctimas y verificaciones de identidad genuinas, capturando sesiones autenticadas y documentos enviados.
Estos ejemplos muestran por qué Sobre el informe de uso indebido de IA de Anthropic importa a las organizaciones comunes. Una empresa no necesita ser el objetivo original del atacante para sufrir daños. Sus claves expuestas, tenants en la nube, aplicaciones SaaS, proveedores o registros de clientes pueden convertirse en recursos intermedios.
Según se informa, un atacante francófono atacó a 42 organizaciones políticas y afiliadas. El actor obtuvo acceso interno a al menos 14 y extrajo entre 12 y 26 gigabytes estimados de material de bases de datos. Una plataforma de campaña comprometida expuso unos 140.000 registros, incluidas opiniones políticas.
La información independiente sobre la campaña francesa vinculó varios detalles con organizaciones afectadas. Esa información aporta una corroboración valiosa, aunque Anthropic sigue siendo la fuente principal de gran parte del relato técnico.
El actor también desarrolló una técnica de explotación de WordPress no documentada previamente y tuvo éxito contra al menos cuatro sitios web, según Anthropic. Otras herramientas recolectaron credenciales enviadas, envenenaron copias de seguridad e introdujeron código de acceso remoto dentro de activos de sitios web.
No fue un ataque completamente autónomo. El humano eligió objetivos, operó la infraestructura, interpretó resultados y persiguió objetivos políticos. El cambio importante fue el apalancamiento: una persona podía crear y mantener una campaña con el alcance de un pequeño equipo técnico.
El conflicto principal es la escala de los atacantes frente a la responsabilidad de los defensores
Los atacantes pueden distribuir el trabajo entre agentes, pero los defensores siguen cargando con todas las consecuencias legales, operativas y financieras de cada fallo.
La planificación de seguridad tradicional suele asumir que el trabajo ofensivo consume experiencia escasa. Los atacantes cualificados deben estudiar infraestructura, crear herramientas, inspeccionar datos robados y ajustar sus métodos tras una detección. Esas restricciones limitan cuántos objetivos puede perseguir un grupo a la vez.
Los sistemas agénticos debilitan esas restricciones. Pueden ejecutar reconocimiento de forma continua, documentar resultados sistemáticamente, traducir material y reintentar tareas técnicas. También conservan conocimiento procedimental que, de otro modo, residiría en la memoria de un operador.
Los defensores enfrentan una ecuación menos indulgente. Cada credencial expuesta, aplicación olvidada, proveedor vulnerable o permiso excesivo puede convertirse en un punto de entrada. Los atacantes necesitan una sola vía viable, mientras que los defensores deben proteger una colección cambiante de sistemas e identidades.
La propia cadena de suministro de IA también se ha convertido en un objetivo. Anthropic describe servicios falsos que prometían acceso con descuento a modelos de frontera, pero instalaban recolectores de credenciales. Esos programas robaban credenciales de cuentas y tokens de sesiones autenticadas de los dispositivos de los clientes.
Los atacantes luego vendían o reutilizaban ese acceso a través de redes de proxy fraudulentas. Algunos servicios dirigían silenciosamente a los clientes hacia un modelo diferente mientras seguían recopilando nuevas credenciales. Esto proporcionaba a los criminales una fuente renovable de cuentas de apariencia legítima después de que se revocaran claves anteriores.
Otra operación probó 30 objetivos mientras buscaba acceso a un modelo Claude previo a su lanzamiento. Anthropic afirma que todos los intentos fracasaron y que sus propios sistemas no fueron comprometidos. Las claves robadas pertenecían a clientes cuyos entornos ya habían sido vulnerados.
Esa distinción es importante. Un proveedor puede proteger su infraestructura central mientras los atacantes explotan puntos más débiles a su alrededor. Los portátiles de desarrolladores, las sesiones de navegador, las plataformas de automatización, los routers de terceros y los archivos de configuración copiados pasan a formar parte del perímetro de seguridad efectivo.
Por tanto, las empresas deberían tratar las credenciales de IA como otros secretos privilegiados de producción. Las claves necesitan alcances limitados, vidas cortas cuando sea posible, supervisión de uso y revocación fiable. Un tráfico inusual de modelos puede revelar un entorno comprometido antes de que un atacante alcance un objetivo más evidente.
Los equipos de seguridad también necesitan visibilidad del comportamiento de los agentes. Una sola cuenta que inicia escaneos persistentes, llamadas paralelas a herramientas o trabajos repetitivos de extracción presenta un riesgo diferente al de una conversación ordinaria. La detección debe considerar secuencias de acciones, no un prompt a la vez.
Esto genera presión sobre Anthropic, OpenAI, Google, Microsoft, los proveedores de nube y los servicios de enrutamiento de modelos. Cada uno ve una parte distinta de la cadena. Ningún participante puede reconstruir toda la campaña sin intercambiar información útil sobre amenazas.
Sin embargo, una mayor supervisión también introduce sus propios riesgos. Los proveedores pueden inspeccionar prompts, resultados, archivos, llamadas a herramientas y relaciones entre cuentas para identificar abusos. Estas prácticas pueden exponer información confidencial de los clientes o crear amplias capacidades de vigilancia dentro del propio servicio.
La disyuntiva resultante no es simplemente seguridad frente a privacidad. Una supervisión débil puede permitir que continúen los ataques coordinados. Una supervisión excesiva puede erosionar la confidencialidad, generar acusaciones falsas o incorporar valiosos datos de clientes a otro sistema centralizado.
Los proveedores necesitan retención limitada, acceso restringido para los investigadores, reglas claras de escalamiento y una transparencia significativa sobre la aplicación automatizada de medidas. Los clientes también necesitan saber qué telemetría existe y cuándo puede compartirse información con organizaciones externas.
El informe sobre el uso indebido de IA de Anthropic ofrece una visibilidad inusualmente detallada de la actividad detectada. No proporciona una medición completa de falsos positivos, campañas no detectadas ni del coste en privacidad de las investigaciones. Esas preguntas sin respuesta deben acompañar los hallazgos operativos.
La vigilancia y la propaganda muestran la misma sustitución de trabajo
Los casos de vigilancia del informe muestran a la IA reemplazando partes de una fuerza laboral de ingeniería y análisis sin cambiar a quiénes deciden atacar las instituciones poderosas.
Un consultor que trabajaba para las autoridades de seguridad nacional de Malí habría utilizado Claude para diseñar una plataforma de interceptación masiva. El sistema podía recopilar datos de comunicaciones de los operadores móviles del país y generar expedientes sobre personas seleccionadas.
Anthropic afirma que el modelo ayudó a diseñar el software subyacente, en lugar de analizar los expedientes finales. Según información independiente sobre vigilancia, la plataforma finalmente se desplegó localmente con otros modelos después de que Anthropic interviniera.
Ese resultado expone un límite de la aplicación de medidas por parte de los proveedores. Un servicio en la nube puede cerrar cuentas y dificultar la ejecución de un flujo de trabajo. No puede borrar de forma fiable código exportado, conocimientos técnicos, datos recopilados ni el acceso a modelos alternativos.
En Irán, actores utilizaron Claude para crear una extensión maliciosa de Firefox que recopilaba identidades de redes sociales. Otra unidad iraní analizó cientos de miles de publicaciones e identificó 39 cuentas de la oposición para su vigilancia, según Anthropic.
El informe describe una operación de inteligencia china sobre asuntos religiosos que, según se informa, había pasado de numerosos equipos analíticos a una sola oficina. Con asistencia de IA, esa oficina producía miles de investigaciones al mes.
Otros actores utilizaron Claude para calificar artículos y publicaciones sociales según su sensibilidad política. Reunieron ubicaciones, atributos demográficos, opiniones políticas y calificaciones de confianza en registros estructurados. Estos resultados podían respaldar interrogatorios, vigilancia u otras formas de control.
Un operador alineado con la RPC que carecía de conocimientos de árabe presuntamente llevó a cabo una operación de reclutamiento de varios días dirigida a uigures en Siria. Claude redactó mensajes de contacto en un dialecto regional, tradujo las respuestas, simuló controles de calidad y dio formato a los resultados para un presunto agente responsable del caso.
El modelo no eligió a la comunidad perseguida. Las instituciones humanas proporcionaron el objetivo, la misión y el uso previsto. La IA redujo las barreras lingüísticas, de personal y técnicas que de otro modo podrían haber ralentizado la operación.
Ese patrón también aparece en las campañas de influencia. Anthropic detalla nueve casos originados en Rusia, Irán, Turquía, el Golfo, Asia del Sur, África y Europa. Las campañas se dirigieron a audiencias en seis continentes.
Los operadores crearon perfiles falsos, sitios de noticias, mensajes políticos y planes coordinados de publicación. Algunas campañas coincidieron con elecciones. Medios estatales rusos produjeron afirmaciones fabricadas antes de la votación de Moldavia de septiembre de 2025, mientras que un operador keniano preparó contenido falso de apariencia popular antes de las elecciones de 2027.
La IA no inventó la comunicación política engañosa. Ayudó a producir identidades, traducciones, artículos, estrategias de segmentación y variaciones a un menor coste marginal. Un equipo pequeño podía sostener una fachada más amplia de participación pública independiente.
Anthropic tiene un punto de observación inusual porque puede ver las campañas mientras los operadores las planifican. Las redes sociales a menudo se encuentran con la operación solo después de que el contenido aparece públicamente. Los proveedores de modelos pueden detectar antes la selección de objetivos y la creación de contenido.
Su visibilidad disminuye cuando el contenido abandona la plataforma del modelo. Anthropic afirma que utiliza investigación de código abierto, datos de socios e información pública para comprender la actividad posterior. Esto significa que algunas campañas planificadas quizá nunca se lancen, mientras que otras pueden migrar fuera de su alcance.
Los lectores deben resistirse a tratar cada prompt detectado como prueba de una operación real completada. Intención, preparación, despliegue, alcance e impacto medible son etapas diferentes. El informe es más sólido cuando conecta la actividad del modelo con infraestructura o evidencia corroborante.
Aun así, la dirección es clara. La IA está entrando en la burocracia rutinaria de la vigilancia y la influencia política. Puede ayudar a las instituciones a procesar a más personas, mantener más identidades y preparar más informes sin ampliar proporcionalmente el personal.
La investigación sobre armas plantea un problema más difícil de salvaguardas
Los hallazgos de Anthropic llevan el debate más allá de la asistencia para redacción maliciosa y hacia software que conecta el análisis con sistemas físicos.
La empresa afirma haber interrumpido seis casos de armas convencionales en los que participaron tres actores en China, dos en Rusia y uno en Yemen. Cuatro implicaban software para hardware armamentístico, mientras que dos se centraban en adquisiciones o recopilación de inteligencia.
Los proyectos reportados incluían cohetes guiados, guiado de misiles, software para enjambres de drones, interceptación de torpedos, selección de objetivos para guerra electrónica y supresión de defensas aéreas. Un programa de cohetes guiados incluyó una prueba de campo real, según Anthropic.
Por lo general, los actores ya contaban con hardware relevante, conocimientos de ingeniería o acceso a programas antes de utilizar Claude. Dividieron el trabajo entre sesiones para ocultar el objetivo completo e intentaron eludir las salvaguardas.
Esta matización es importante. El informe no muestra a una persona sin conocimientos haciendo una pregunta y recibiendo un arma completa. Muestra a grupos capaces que utilizan IA para acelerar tareas de ingeniería, depuración, investigación, documentación y adquisiciones.
Anthropic afirma haber introducido clasificadores que detectan mejor el tráfico relacionado con explosivos de alto rendimiento y desarrollo de armas. Un clasificador es un sistema automatizado que estima si una solicitud pertenece a una categoría restringida.
Estos controles enfrentan un problema inherente. Muchas tareas de ingeniería tienen aplicaciones civiles legítimas. El guiado, la navegación, el procesamiento de imágenes, las comunicaciones por radio, el análisis de materiales y el control de vuelo pueden servir tanto a sistemas comerciales como militares.
El informe también describe solicitudes de investigación biológica con características de doble uso. Un caso implicaba una propuesta de financiación sobre cambios en el virus chikungunya que podrían afectar a la transmisibilidad y la evasión inmunitaria.
Según se informa, Claude se negó a ayudar con partes de ese trabajo, y el usuario recurrió a otro servicio de IA. Anthropic afirma que sus modelos anteriores estaban por debajo del umbral de asistencia material a un investigador biológico sofisticado. No ofrece la misma garantía para los sistemas actuales.
La cobertura del caso de salvaguardas biológicas subraya esa incertidumbre. Los modelos más capaces pueden apoyar investigación legítima, pero esa misma competencia complica las decisiones sobre qué solicitudes bloquear.
El bloqueo excesivo conlleva costes reales. Científicos, equipos de salud pública e investigadores de seguridad pueden necesitar información que se parezca a trabajo restringido. Un bloqueo insuficiente puede proporcionar a un actor malicioso ayuda con el diseño experimental o la planificación operativa.
Un proveedor de modelos debe tomar esas decisiones con contexto incompleto. Una solicitud aparentemente benigna puede ser un fragmento de un programa oculto. Una solicitud preocupante puede formar parte de una investigación defensiva autorizada.
La misma debilidad afecta a las salvaguardas cibernéticas. Los atacantes pueden dividir sus objetivos en tareas ordinarias, cambiar de cuentas, usar credenciales robadas o combinar varios proveedores. Los modelos de pesos abiertos añaden otra vía sin un operador central capaz de cerrar una cuenta.
Por tanto, ningún proveedor puede presentar la seguridad como una característica de producto terminada. Las salvaguardas generan fricción y mejoran la detección, pero no eliminan la capacidad del entorno más amplio. La medida relevante es si la intervención eleva los costes de los atacantes más rápido de lo que la capacidad los reduce.
El informe sobre el uso indebido de IA de Anthropic aporta evidencia de interrupciones exitosas, pero no puede mostrar las campañas que Anthropic nunca detectó. Tampoco puede determinar cuántos operadores abandonaron un proyecto, migraron a otro lugar o continuaron con sistemas desplegados localmente.
Esa incertidumbre debería evitar dos errores opuestos. Los casos no prueban que los agentes de IA puedan ejecutar de forma independiente todas las operaciones sofisticadas. Tampoco justifican desestimar el problema porque los humanos sigan eligiendo los objetivos.
La dirección humana y la ejecución por máquinas pueden coexistir. De hecho, esa combinación puede ser la estructura más práctica para operaciones dañinas porque preserva el juicio humano al tiempo que escala el trabajo repetible.
La destilación de modelos convierte los datos de clientes en una cuestión de seguridad
La inversión final del informe es que los proveedores de IA no son solo plataformas de uso indebido, sino también objetivos, fuentes de datos y recursos informáticos robados.
Anthropic acusa a varios laboratorios chinos de IA de llevar a cabo campañas no autorizadas de destilación contra Claude. La destilación utiliza los resultados de un modelo para mejorar el comportamiento o las capacidades de otro modelo.
Según Anthropic, Alibaba generó más de 151 millones de intercambios entre mayo y julio de 2026. Moonshot presuntamente generó más de 23 millones de intercambios durante el mismo periodo. DeepSeek produjo más de 12,1 millones de intercambios a lo largo de 14 días en julio.
La empresa atribuye más de 3,4 millones de intercambios a Zhipu durante 17 días de junio y julio. Afirma que Xiaomi generó más de 400.000 intercambios a lo largo de 20 días en marzo y abril.
Estas cifras son hallazgos de Anthropic y no han sido auditadas de forma independiente en el informe. Las respuestas de las empresas nombradas también son importantes al evaluar la atribución, la intención y las reclamaciones contractuales.
Anthropic afirma que las campañas buscaban capacidades de razonamiento, programación, uso de herramientas y análisis de datos. Los operadores presuntamente utilizaron identidades falsas, tarjetas robadas, credenciales de API comprometidas, proxies y miles de cuentas para evadir los controles de acceso.
Algunos probaron muchas variaciones de prompts para extraer rastros de razonamiento ocultos. Según se informa, un experimento envió más de 12.000 solicitudes diferentes para identificar métodos de extracción exitosos antes de lanzar una campaña mayor.
La afirmación más preocupante involucra datos de clientes. Anthropic afirma que DeepSeek, Moonshot y Xiaomi dirigieron algunas conversaciones de usuarios a Claude con fines de entrenamiento. Presuntamente, no se informó a los usuarios de que otro proveedor de modelos procesaría sus solicitudes.
Anthropic informa que algunos intercambios contenían nombres, direcciones de correo electrónico, información de empresas, credenciales de desarrolladores y previsiones internas. Según se informa, servicios de enrutamiento de terceros proporcionaron conversaciones adicionales de usuarios de Estados Unidos y Europa.
Estas afirmaciones amplían el significado del riesgo de la cadena de suministro de IA. Un cliente puede pensar que la información se dirige a una aplicación y un modelo. En la práctica, las solicitudes pueden pasar por enrutadores, revendedores, servicios proxy, evaluadores y proveedores ascendentes ocultos.
Las empresas deberían preguntar a los proveedores qué modelos procesan realmente la información enviada. También necesitan respuestas claras sobre retención, entrenamiento, enrutamiento regional, subprocesadores y acceso de revisores humanos.
El episodio crea una simetría incómoda. Anthropic critica a otras organizaciones por supuestamente reenviar datos de usuarios sin consentimiento. Al mismo tiempo, su propio informe demuestra cuánto pueden inferir los proveedores de modelos mediante la supervisión de abusos.
Estas situaciones no son equivalentes, pero comparten una cuestión de gobernanza. La información sensible puede viajar más lejos de lo que espera el usuario, ya sea mediante enrutamiento encubierto, telemetría de seguridad o una investigación.
La respuesta no puede ser la promesa de que los datos confidenciales nunca se moverán. Las organizaciones necesitan controles exigibles, enrutamiento verificable, retención mínima y registros que muestren qué sistemas procesaron cada solicitud.
Esta es también la razón por la que los empleados deberían evitar introducir secretos activos en herramientas de IA no aprobadas. Una interfaz pulida no determina adónde va la solicitud ni cuántos intermediarios pueden acceder a ella.
Qué deberían vigilar los defensores a continuación
La próxima prueba es si la respuesta de seguridad cambia la economía descrita en On Anthropic’s AI Misuse Report.
La primera señal es la disrupción entre proveedores. Anthropic afirma que comparte sus hallazgos con socios públicos y privados cuando corresponde. La prueba más sólida es si la detección de un proveedor deshabilita rápidamente cuentas relacionadas, infraestructura y credenciales robadas en otros lugares.
Si mejora la cooperación, los atacantes perderán parte de su capacidad para migrar flujos de trabajo intactos entre servicios. Si las campañas reaparecen repetidamente mediante cuentas nuevas y modelos alternativos, las prohibiciones de cuentas seguirán siendo una fricción temporal.
La segunda señal es la evidencia sobre la autonomía de los agentes. Los futuros informes deberían separar las sugerencias generadas por IA de las acciones ejecutadas mediante herramientas. Deberían identificar cuándo los humanos aprobaron comandos, corrigieron fallos, seleccionaron objetivos o interpretaron resultados ambiguos.
Esa distinción mostrará si los agentes se están volviendo más independientes o simplemente hacen más productivos a operadores cualificados. Ambos resultados importan, pero requieren defensas y respuestas de política diferentes.
La tercera señal es la transparencia sobre investigación y privacidad. Los proveedores deberían explicar qué datos retienen, cómo los clasificadores de abuso activan una revisión y cómo limitan el acceso de los investigadores. También deberían informar sobre falsos positivos y apelaciones cuando su divulgación no ayude a los atacantes.
Para los líderes de seguridad, la respuesta inmediata es práctica. Inventaríen las credenciales de IA, revisen los enrutadores de modelos, reduzcan los tokens de larga duración y supervisen la actividad automatizada inusual. Comprueben si los dispositivos de desarrolladores comprometidos pueden exponer sesiones de modelos o secretos de producción relacionados.
Los equipos también deberían revisar los planes de respuesta a incidentes para una iteración a velocidad de máquina. Un dominio bloqueado o una carga útil detectada puede provocar una revisión automatizada en cuestión de minutos. Los defensores necesitan revocación coordinada de identidades, contención de endpoints, registros en la nube y comunicación con proveedores.
Los trabajadores del conocimiento deberían verificar adónde viajan los prompts sensibles. Antes de enviar código fuente, documentos internos, credenciales, datos de investigación o registros de clientes, confirmen el proveedor aprobado y sus condiciones de procesamiento.
El informe de Anthropic no establece un apocalipsis cibernético autónomo. Documenta algo más inmediato: humanos que usan IA para convertir la experiencia en infraestructura repetible en ámbitos como la ciberdelincuencia, la vigilancia, la propaganda y el trabajo relacionado con armas.
La pregunta para el próximo informe no es si el uso indebido continúa. Es si los defensores obligan a los atacantes a gastar más identidades, dinero, tiempo y experiencia en cada operación exitosa. Esa competencia medible revelará si las salvaguardas están conteniendo el cambio o simplemente documentándolo.
