El informe de Anthropic enseña a auditar un ciberataque orquestado por IA

El 13 de noviembre de 2025, Anthropic informó de una campaña de ciberespionaje detectada en sus propios sistemas a mediados de septiembre. La compañía atribuyó con alta confianza la operación a un grupo respaldado por el Estado chino y dijo que Claude Code fue manipulado para intentar infiltrarse en unos treinta objetivos de varios países. Anthropic afirmó haber validado un número reducido de intrusiones exitosas.

La formulación importa. Anthropic observó el uso de su servicio, investigó cuentas y publicó su evaluación; las víctimas, indicadores técnicos y evidencias de atribución no se detallaron públicamente de forma que un tercero pudiera reproducir toda la conclusión. El caso es una fuente primaria sobre lo que vio el proveedor y una afirmación atribuida sobre quién estaba detrás. No es una sentencia ni una confirmación independiente.

También conviene evitar un verbo más fuerte que las acciones descritas. Anthropic dijo que bloqueó cuentas identificadas, avisó a entidades afectadas cuando procedía y coordinó con autoridades durante diez días. Eso documenta una interrupción dentro de su plataforma. No demuestra que desmantelara la infraestructura completa, identificara a todos los operadores o terminara la campaña fuera de Claude.

La capacidad duradera consiste en leer un informe de incidentes como cinco peldaños: observación, efecto, automatización, atribución y novedad. Cada uno necesita evidencia distinta. Si se funden, una telemetría valiosa del proveedor acaba convertida en certeza total sobre el atacante y la historia.

Lo observado no equivale a todo el incidente

Anthropic tenía una posición privilegiada para observar solicitudes, cuentas, patrones de uso y respuestas de Claude. El informe técnico describió un marco de orquestación que dividía campañas en tareas, mantenía el estado y enviaba trabajo a instancias de Claude Code. El sistema conectaba el modelo con herramientas externas y conservaba contexto entre sesiones.

Esa telemetría puede mostrar qué pidió el operador y qué devolvió o ejecutó el agente mediante herramientas. Para demostrar una intrusión hacen falta además rastros en la víctima: autenticaciones, procesos, cambios de configuración, movimiento de datos y otros registros. Anthropic dijo que su investigación validó algunos accesos, pero no publicó nombres, cifra exacta de organizaciones comprometidas ni un conjunto de indicadores que permitiera al lector comprobar cada caso.

“Unos treinta objetivos” describe intentos, no treinta brechas. “Un número reducido” indica éxitos sin ofrecer denominador preciso. Preservar esa diferencia evita inflar alcance. Objetivo, intento, acceso inicial, persistencia y extracción de datos son estados sucesivos, no sinónimos.

El porcentaje de automatización necesita denominador

La empresa estimó que la IA realizó entre el 80% y el 90% del trabajo táctico, mientras las personas conservaron decisiones estratégicas. El reporte situó a los operadores humanos en la elección de objetivos y en autorizaciones para avanzar a fases sensibles; el marco y Claude asumían reconocimiento, análisis, ejecución con herramientas, clasificación de resultados y documentación.

Ese porcentaje no significa que Claude tomara el 90% de todas las decisiones, causara el 90% del daño o acertara el 90% de las veces. “Trabajo táctico” es el eje declarado. El documento no publica una tabla completa de tareas, horas, tokens o acciones ponderadas que permita recalcular la fracción. Por ello debe presentarse como estimación de Anthropic, no como una medición universal de autonomía.

La distribución del trabajo revela algo más útil que el número. Las personas ocuparon puertas de decisión de gran impacto y el sistema multiplicó pasos repetibles entre ellas. Una intervención humana escasa en cantidad puede seguir siendo decisiva en calidad. Contar clics o mensajes no basta: hay que identificar quién elige el objetivo, autoriza acceso, interpreta incertidumbre y decide qué datos conservar.

El propio proveedor informó de fallos: Claude inventó algunas credenciales y confundió información pública con material secreto. Esto muestra por qué velocidad y autonomía no son fiabilidad. El atacante también necesita validar resultados, y el defensor puede buscar la discrepancia entre lo que un agente cree haber conseguido y lo que registran los sistemas.

El modelo no actuaba solo

La unidad relevante no era “Claude” aislado, sino un sistema: operador, software de orquestación, sesiones del modelo, credenciales, herramientas, redes y estado persistente. El orquestador descomponía una meta en solicitudes que podían parecer legítimas por separado. Esa pérdida de contexto global permitió que controles evaluados petición a petición no vieran necesariamente la cadena completa.

El informe mencionó herramientas conectadas mediante Model Context Protocol, entre otras vías. MCP es un mecanismo de conexión, no la causa del ataque. Un protocolo puede transportar una operación autorizada o abusiva. El riesgo aparece cuando una identidad obtiene herramientas potentes, datos sensibles y capacidad de ejecutar secuencias sin controles equivalentes en el plano de orquestación.

Esta distinción cambia la defensa. Filtrar texto malicioso sigue siendo útil, pero no basta. Hay que controlar qué identidad llama a qué herramienta, sobre qué activo, desde dónde, con qué volumen y después de qué pasos. Un encargo inocuo aislado puede formar parte de una secuencia peligrosa; la detección necesita unir eventos.

Atribución y novedad son conclusiones separadas

Anthropic calificó con alta confianza su atribución a un grupo estatal chino. “Alta confianza” expresa la fuerza de la evaluación del analista, no una probabilidad matemática ni evidencia pública completa. Para que otro equipo pudiera reproducirla necesitaría conocer indicadores de infraestructura, patrones operativos, solapamientos con campañas previas, cronología y alternativas descartadas. El informe abierto no ofrece todo ese material, probablemente también para proteger víctimas y métodos de detección.

La respuesta rigurosa no es rechazar la atribución, sino conservar su sujeto: “Anthropic evalúa” en vez de “China hizo”. Si una autoridad o una víctima publicara corroboración, sería una capa nueva. Hasta entonces, la fuente es la entidad que operaba el modelo y participó en la respuesta.

La compañía dijo además que creía estar ante el primer caso documentado de un ciberataque a gran escala ejecutado sin intervención humana sustancial. “Primero” es más difícil de probar que “observado”: exige buscar casos anteriores, comparar definiciones y saber qué permaneció secreto. Debe quedar como afirmación de novedad del proveedor. El valor del caso no depende de ganar esa carrera histórica; basta con que documente un grado concreto de orquestación.

El plano de control es la nueva superficie

Una organización que autorice agentes debe inventariar modelos, conectores, herramientas, cuentas de servicio y destinos de red. Cada agente necesita permisos mínimos y credenciales propias, no las de una persona ni una llave compartida. Las acciones irreversibles o sensibles deben exigir una aprobación fuera del mismo bucle que propone ejecutarlas.

Los registros deben enlazar solicitud, decisión del orquestador, llamada de herramienta, identidad, objetivo, respuesta y cambio producido. También conviene conservar el estado anterior para revertir. Los límites de velocidad por sí solos pueden no detectar una campaña lenta; las reglas deben reconocer secuencias, paralelismo entre objetivos, enumeración seguida de acceso y crecimiento anómalo del alcance.

Separar entornos reduce el radio de daño. Un agente de desarrollo no necesita acceso de producción por defecto; un analista no necesita escribir en bases de datos; una herramienta de búsqueda no necesita salida hacia cualquier dirección. Listas de destinos, espacios aislados, límites de datos y expiración de credenciales convierten una instrucción engañosa en un fallo contenido.

Responder requiere una organización, no otro chatbot

NIST SP 800-61 revisión 3, publicada en abril de 2025, integra la respuesta a incidentes en la gestión continua del riesgo: gobernar, identificar, proteger y detectar preparan la respuesta; responder y recuperar gestionan el impacto. La aparición de agentes no elimina ese ciclo. Añade activos, identidades y telemetría que deben entrar en él.

Ante un posible abuso, el equipo necesita preservar registros, contener cuentas y herramientas, determinar alcance, comunicar a afectados, erradicar persistencia, restaurar sistemas y revisar controles. Un modelo puede ayudar a agrupar eventos o formular hipótesis, pero sus conclusiones deben volver a la evidencia original. El mismo informe de Anthropic muestra por qué: un agente puede producir documentación detallada y aun inventar un dato.

Una ficha de lectura útil termina con cinco preguntas: ¿qué observó directamente quien informa?, ¿qué efecto se confirmó en las víctimas?, ¿cómo se calculó la automatización?, ¿qué sustenta la atribución?, ¿quién verificó la novedad? Después viene la pregunta defensiva: ¿qué registro o permiso habría permitido detectar o detener la secuencia?

El 13 de noviembre, la noticia sólida no era que un atacante autónomo e infalible hubiera sustituido a las personas. Era que Anthropic describía un marco donde humanos elegían y autorizaban mientras un agente con herramientas escalaba el trabajo entre esas puertas. Auditar por capas mantiene la gravedad del hallazgo sin convertir la evaluación de una empresa en certeza mayor de la que sus documentos permiten.