Claude dentro de la cadena de intrusión: Informe de amenazas de Anthropic de septiembre de 2026

Anthropic publicó su cuarto informe de inteligencia sobre amenazas, Detección y contrarrestación del uso indebido de la IA: septiembre de 2026, el 10 de septiembre de 2026. El documento de 154 páginas abarca la actividad que su equipo Threat Intelligence interrumpió entre diciembre de 2025 y agosto de 2026, y su cifra más concreta de daño cabe en un solo párrafo: un actor de espionaje que Anthropic rastrea como GTG-20006, cuya atribución el informe califica de "coherente con informes públicos que vinculan al actor con Midnight Blizzard", robó credenciales de VPN a una autoridad tecnológica gubernamental de África del Norte, tomó el control de su servidor central de cuentas y se marchó con más de 300.000 registros de identidad nacional y los datos del registro mercantil de más de medio millón de empresas. El registro de archivo de esta divulgación, con su grado de confianza y las entradas archivadas a su alrededor, se conserva en el Orca AI Incident Archive.

El informe es de un proveedor que revela un uso indebido de su propio producto, lo que determina tanto su valor como sus límites. Es un relato de primera mano —la telemetría de Anthropic, las suspensiones de cuentas de Anthropic, los juicios de Anthropic sobre quién estaba al otro lado— y ningún auditor externo ha verificado sus cifras. El resto de este artículo separa cuatro cosas: lo que el informe dice haber observado, lo que solo atribuye, lo que está en disputa y lo que el resumen del archivo afirma que el documento no contiene.

Qué se publicó y qué abarca

Detección y contrarrestación del uso indebido de la IA: septiembre de 2026 lleva fecha del 10 de septiembre de 2026 en su portada y consta de 154 páginas, con listas de indicadores de compromiso para muchos de los casos. Sigue a los informes anteriores de Anthropic de marzo, agosto y noviembre de 2025, y abarca siete áreas de daño: operaciones cibernéticas, operaciones de influencia, vigilancia, armas convencionales, uso indebido biológico, estafas y fraude, y destilación ilícita.

Los modelos involucrados fueron Claude Haiku, Claude Sonnet y Claude Opus. Anthropic afirma que ninguno de los casos de uso indebido involucró a Claude Fable ni a modelos de la clase Claude Mythos, con la excepción de un caso de destilación ilícita. Los actores abarcan "grupos presuntamente patrocinados por el Estado, delincuentes motivados económicamente, proveedores comerciales de software espía, instituciones de propaganda estatal e individuos con motivaciones políticas".

Los estudios de caso llevan etiquetas internas —designadores GTG, que el informe define como «designadores internos de Anthropic para actores observados abusando de la IA»—. Son convenciones de nomenclatura, no conclusiones jurídicas, y son el único identificador del que disponen la mayoría de estos actores.

La afirmación analítica de Anthropic es más limitada que el recuento de casos: que la IA ha "cerrado la brecha de mano de obra y herramientas" entre las operaciones estatales y los operadores individuales, y que "la sofisticación ha dejado de ser una señal fiable de quién está detrás de una operación". El informe mide lo que denomina uplift —velocidad, escala y profundidad— y adjunta dos advertencias a sus propios estudios de caso: los humanos "han conservado las decisiones que más les importan", incluida la selección de objetivos y cómo se monetizan los datos robados, y "la autonomía y el daño son ejes separados".

Los 300.000 registros de identidad: GTG-20006

GTG-20006 es el caso que lleva el número del registro. Anthropic describe a un operador de habla rusa que usa el alias "JackPoterz" y afirma que su atribución es "coherente con informes públicos que vinculan al actor con Midnight Blizzard" —una comparación con la atribución de otras personas en lugar de una confirmación independiente—, y el informe no dice a qué informes se refiere.

La intrusión que produjo la cifra tuvo como objetivo a una autoridad tecnológica gubernamental del norte de África. Según el informe, el actor robó credenciales de un dispositivo VPN, las utilizó para tomar el control del servidor central de cuentas de la organización y, desde allí, exfiltró «su base de datos completa de credenciales: más de 300.000 registros de identidad nacional y los datos del registro mercantil de más de medio millón de empresas que operan en el país». Los registros pertenecían a un organismo gubernamental, y las personas que figuran en ellos no tienen relación alguna con el proveedor de IA de esta historia.

La campaña más amplia del mismo actor alcanzó a «más de 20 organizaciones distintas» —ministerios de Gobierno, organismos de defensa e inteligencia, embajadas, think tanks y empresas de la industria de defensa, concentradas en Ucrania y Europa pero extendiéndose a Oriente Medio y a agencias marítimas en Asia. Entre los detalles concretos:

• Wi-Fi del hotel: el actor comprometió al menos a tres proveedores de servicios de hospitalidad que operan Wi-Fi para huéspedes y luego modificó los registros DNS para que el tráfico de huéspedes, los identificadores de dispositivos y las direcciones IP fueran a servidores controlados por el actor. Microsoft Threat Intelligence publicó un informe en julio de 2026 sobre ese mismo método de robo y entrega bajo el nombre CaptiveCrunch, que cita el informe de Anthropic.

• WhatsApp: las cuentas de las víctimas se vincularon como dispositivos complementarios mediante navegadores sin interfaz y la biblioteca de automatización de código abierto WPPConnect, con las confirmaciones de lectura suprimidas mientras se exportaban de forma masiva conversaciones en ruso y ucraniano. Al menos dos antiguos altos cargos ucranianos fueron objetivos de este método.

• Drones: los buzones de correo de al menos dos fabricantes de componentes para drones fueron exportados de forma masiva, y un kit completo de desarrollo de software propietario para un sistema de visión de drones fue robado y sometido a ingeniería inversa durante varios días.

• Evasión: los agentes de monitoreo observaban si los implantes desplegados estaban siendo detectados y, cuando lo estaban, los agentes modificaban y reconstruían el malware hasta que dejaban de estarlo.

La conclusión de Anthropic sobre el bucle de evasión es que este invierte la ventaja del defensor. «La IA ha invertido el costo y lo ha devuelto a los defensores», afirma el informe, porque una nueva detección ya no gana tiempo cuando un adversario capaz puede reconstruirse más rápido de lo que tarda en desplegarse la firma.

El segundo caso vinculado al Estado: GTG-10007

GTG-10007 es el otro caso del informe con un encuadre explícito de vinculación con el Estado, y el más inusual. Anthropic describe a operadores de habla china "que probablemente residen en Changsha, en la provincia china de Hunan", incluidos dos estudiantes de pregrado de una universidad local que estudian ingeniería informática y de comunicaciones; uno había hecho prácticas en la empresa de seguridad Sangfor y estaba en proceso de entrevistas en QiAnXin para un puesto de seguridad ofensiva.

El grupo seleccionó como objetivo a unas cincuenta organizaciones de los sectores educativo, minorista, energético, tecnológico, sanitario, financiero, manufacturero y gubernamental. Anthropic afirma que extrajo cientos de megabytes de datos personales de estudiantes del almacenamiento en la nube de una empresa de tecnología educativa, llegó a sistemas de producción de un minorista y obtuvo registros de ciudadanos —nombres, números de teléfono y domicilios— de una agencia gubernamental del Sudeste Asiático.

Lo que lo distingue es el trabajo sobre vulnerabilidades: un programa de investigación permanente contra una clase de software de seguridad "desplegado específicamente para detectar intrusiones", que, según Anthropic, produjo múltiples vulnerabilidades previamente desconocidas validadas por el actor en su propio laboratorio, exploits funcionales para varias familias de dispositivos de red y seguridad, y "más de una docena de posibles hallazgos de día cero en un solo mes" a partir de un único flujo de trabajo en iteración continua. Una flota independiente de trece agentes de recopilación se ejecutaba de forma programada sobre material público militar y gubernamental sin intervención humana.

Anthropic no nombra los productos de seguridad, las vulnerabilidades ni la agencia gubernamental, y el informe no vincula sus conclusiones con ningún identificador CVE publicado.

La mitad delictiva: el robo de datos y las claves de API como carga útil

La sección cibernética no es solo espionaje. De los varios grupos con motivación financiera, el más grande se atribuye a operadores que Anthropic describe como presuntos afiliados del colectivo ShinyHunters, identificados como GTG-50014. El informe expone su escala con claridad:

• La cadena de credenciales de un operador descargó de forma masiva 1,8 millones de APK de Android distintos, los descompiló y los escaneó en busca de secretos embebidos en el código, canalizando los hallazgos verificados a un grupo de Telegram organizado en más de 100 tipos de secretos.

• Un afiliado publicó más de 2.100 conjuntos de tokens de Azure AD que abarcaban más de 40 inquilinos corporativos en aproximadamente 34 horas, tras vulnerar a un proveedor de SaaS y llegar a unas 200 de sus organizaciones clientes posteriores.

• Una vulneración de un proveedor de tecnología produjo más de un terabyte de datos, incluidos cientos de miles de identificadores nacionales y millones de registros de tarjetas de pago, publicados en un sitio web público "para presionar a la víctima para que pagara un rescate".

• En una aerolínea, los actores lograron acceder a sistemas que contenían decenas de millones de registros de pasajeros; en una compañía energética afirmaron que podían controlar de forma remota la corriente de carga de los cargadores domésticos de vehículos eléctricos de los clientes.

GTG-50029, un único hacktivista francófono, llegó a al menos 14 de los 42 objetivos europeos rastreados de tipo político, mediático y de think tank, exfiltró una cantidad estimada de entre 12 y 26 GB de volcados de bases de datos y se llevó aproximadamente 140.000 registros que incluían las opiniones políticas de los usuarios, mientras construía una plataforma de doxxing cargada con decenas de millones de filas de datos filtrados.

El hilo conductor de los casos financieros es que el propio acceso a la IA se convirtió en botín. Los operadores robaron claves de API de Anthropic de entornos de clientes y ejecutaron sus propias cargas de trabajo de ataque a costa de terceros — lo que el informe llama aplicar «living off the land» a la IA. Anthropic es explícita sobre el límite: «En todos los casos, las claves de API implicadas fueron robadas de los entornos de clientes de Anthropic. Los propios sistemas de Anthropic no fueron comprometidos por este actor». GTG-50020, un grupo de habla rusa que pasó de intrusiones en reservas de hoteles a la industria de la IA, atacó a unas treinta empresas de IA en unos cuatro días; su objetivo declarado era acceder a un modelo Claude previo a su lanzamiento y, según el informe, «el actor nunca obtuvo acceso».

Establecido, atribuido, en disputa, ausente

Confirmado. El informe existe, está fechado el 10 de septiembre de 2026 y tiene 154 páginas. Sus narrativas de intrusión, listas de indicadores y acciones de bloqueo son el relato propio de Anthropic en primera persona, e independientes —The Next Web el día de su publicación, Digital Watch Observatory y notas de investigación de la Cloud Security Alliance— describen el mismo documento, las mismas siete áreas de daño y los mismos detalles del GTG-20006. Ningún medio ha publicado su propia reconstrucción forense de la intrusión en el norte de África, por lo que la cifra de 300.000 se sustenta en la telemetría de una sola empresa.

Atribuido. La vinculación con el Estado es la evaluación de Anthropic, matizada en su propio texto: «coincide con informaciones públicas que vinculan al actor con Midnight Blizzard». La ubicación en Changsha, el historial laboral de los estudiantes y el encuadre estatal de los casos en chino son asimismo una caracterización de Anthropic, no una atribución gubernamental. La cobertura de The Next Web cita al jefe de inteligencia de amenazas de Anthropic, Jacob Klein, en entrevistas con Axios y The New York Times, pero no incluye a ningún experto externo que evalúe las cifras.

Cuestionado. La sección sobre destilación es el único lugar donde una parte acusada ha respondido. Anthropic afirma que encontró «ataques adicionales de destilación contra Claude por parte de siete laboratorios con sede en China» y describe, entre otros, a Moonshot AI retransmitiendo casi 300.000 solicitudes de clientes a Anthropic durante diez días a través de 5.380 cuentas fraudulentas. Pekín ha rechazado las acusaciones relacionadas de Estados Unidos sobre destilación, según informó The Next Web. El registro del archivo marca este incidente como indiscutido; ese indicador no se extiende a todas las alegaciones dentro del documento.

Ausente. El resumen de una línea que el archivo hace de este registro afirma que el informe documenta el uso de Claude "por primera vez" para el triaje de víctimas y la generación de copias de ransomware. Ninguna de las dos cosas aparece en las fuentes citadas. La palabra "ransomware" no figura en el PDF de 154 páginas ni en la página web del informe, y "triaje" tampoco. La extorsión que describe el informe es la de pagar o filtrar datos robados, no cifrado; su único uso de la palabra "rescate" corresponde al proveedor de tecnología cuyos archivos robados se publicaron para forzar el pago. Considera que esas dos afirmaciones no están respaldadas por las fuentes que cita este registro. Los 300.000 registros de identidad, en cambio, sí se indican en la propia sección GTG-20006 del informe.

Lo que Anthropic dice que hizo y lo que no reveló

Para cada caso, el informe ofrece una variante de la misma respuesta: cuentas bloqueadas, detección adicional desplegada, inteligencia compartida con «autoridades y socios del sector, cuando proceda», y salvaguardas reforzadas a partir de lo aprendido. La sección sobre destilación añade medidas técnicas contra la técnica de repetición de firmas de razonamiento utilizada para extraer los rastros de razonamiento de Claude.

Lo que no se revela es casi igual de consistente: cuántas cuentas fueron suspendidas, cuándo se interrumpió cada operación en relación con el momento en que comenzó, qué autoridades recibieron qué inteligencia y cómo se detectó a los actores en primer lugar. Esas omisiones son habituales en un informe de un proveedor y también son la razón por la que el documento no puede auditarse desde fuera.

La cuestión de política ha sido planteada por otros. Una nota de investigación de Cloud Security Alliance publicada después del informe sostiene que este no contiene «ninguna referencia a la EU AI Act, la AI Office ni al artículo 55», y se pregunta si el uso indebido deliberado por parte de terceros entra siquiera dentro de la definición de «incidente grave» del artículo 55, que se redactó en torno al mal funcionamiento del modelo más que al comportamiento de un atacante. La nota admite que las presentaciones del artículo 55 no son públicas, por lo que el silencio no es prueba de que no se haya presentado ninguna, y señala que la única presentación confirmada en virtud del régimen en ese momento fue la de OpenAI, alrededor del 7 de septiembre de 2026.

Cómo leer los números

Dos cosas hacen que las cifras del informe sean más fáciles de utilizar. La primera es mantener el daño separado de la autonomía: Anthropic informa que varios de sus compromisos más graves provinieron de operaciones en las que una persona dirigía cada paso, por lo que un caso de baja autonomía no es un caso de baja gravedad. La segunda es leer las cifras como un recuento de lo que un solo proveedor pudo ver. Los 300.000 registros de identidad, los 2.100 conjuntos de tokens y los 140.000 registros de opiniones políticas los produjo todos la empresa al describir el uso indebido de su propio producto, y los actores que nunca fueron detectados no aparecen en ninguno de ellos.