La IA ya no ayuda a los hackers: ahora hace el trabajo

El 10 de septiembre Anthropic publicó un informe de 154 páginas sobre cómo intentaron usar sus modelos con malos fines. Dentro hay decenas de operaciones que la empresa detectó y cortó entre diciembre de 2025 y agosto de 2026, en siete áreas de daño: operaciones cibernéticas, operaciones de influencia, vigilancia, estafas, biología, armas convencionales y copia ilícita de modelos.

Lo leí entero. Es el documento más honesto sobre IA que he visto este año y también el más desagradable. Porque la noticia de verdad no es que la IA ayude a los atacantes. Es que la IA ya hace el trabajo por ellos.

El giro por el que merece la pena leer todo el informe#

El esquema antiguo era simple. Alguien pregunta al modelo cómo escribir algo malicioso, el modelo se niega o responde, y luego esa persona se pone a hacer el trabajo a mano. Ya no. En la mayoría de las operaciones descritas aquí la IA no aconseja: ejecuta. Sistemas multiagente hacen el reconocimiento, encuentran la entrada y sacan los datos por su cuenta. Al humano le quedan dos tareas: elegir a la víctima y recoger el botín.

Anthropic lo formula como el paso de asistente a orquestador. El modelo operativo que describió por primera vez en noviembre de 2025 se ha extendido desde entonces a todas las categorías de atacante: servicios estatales, crimen organizado y personas que actúan solas. Han ayudado los frameworks ofensivos públicos como PentAGI, porque entregan la misma estructura a cualquiera que se los descargue.

La campaña rusa que reescribe su propio malware#

El grupo rastreado como GTG-20006, que Anthropic vincula con Midnight Blizzard, montó un bucle en el que la IA observa cómo reaccionan los productos de seguridad y reconstruye y vuelve a desplegar el arsenal en automático cuando empiezan a bloquearlo.

Eso rompe la economía de la defensa. Durante veinte años el trato fue este: los defensores encuentran el malware, escriben una firma y el atacante pasa semanas rehaciendo su herramienta. Ahora rehacerla lleva horas y cuesta calderilla. El coste ha pasado al lado del defensor.

Objetivos: más de 20 organizaciones, sobre todo ministerios, agencias de defensa, misiones diplomáticas y contratistas en Ucrania y Europa. Destaca un hilo de interés: los drones. Los atacantes exportaron en bloque los buzones de al menos dos fabricantes de componentes y robaron entero un kit de desarrollo propietario para un sistema de visión de dron. En la autoridad tecnológica del gobierno de un país del norte de África entraron con un acceso VPN robado y se llevaron la base de datos completa: más de 300.000 registros de documentos nacionales de identidad y el registro comercial de más de medio millón de empresas.

El crimen organizado alcanzó a los gobiernos#

El caso más apabullante por escala pura es GTG-50014, ligado a afiliados de la banda ShinyHunters. Esto es lo que hicieron con agentes:

• descargaron 1,8 millones de aplicaciones Android distintas, las descompilaron y las escanearon buscando secretos olvidados en el código;
• comprometieron a un proveedor de software y llegaron a los datos de unos 200 de sus clientes;
• volcaron más de 2.100 conjuntos de tokens de Azure AD en más de 40 tenants corporativos en unas 34 horas, y casi todo el trabajo lo hicieron los agentes;
• en una aerolínea llegaron a sistemas con decenas de millones de registros de pasajeros;
• en una empresa de energía afirmaron que podían cambiar a distancia la corriente de carga de los cargadores de coches eléctricos instalados en casas de particulares.

Vuelve a leer el último punto. Esto ya no es una historia de filtración de datos. Es el mundo físico en manos de otro.

Estudiantes, agentes y una docena de fallos de día cero al mes#

El caso GTG-10007 lo leí dos veces. La operación la llevaban operadores de habla china, probablemente desde Changsha, en la provincia de Hunan. Dos de ellos fueron identificados como estudiantes de grado de una universidad local, en una facultad de ingeniería informática y de comunicaciones. Uno había hecho prácticas en la empresa de seguridad Sangfor y estaba en un proceso de entrevistas en QiAnXin.

Montaron lo que Anthropic llama una fundición de exploits: una cadena donde los agentes desmontan firmware de equipos de red sin parar, buscan agujeros en paralelo y conservan la memoria del proyecto entre sesiones. Uno de esos flujos produjo más de una docena de probables hallazgos de día cero en un solo mes.

Un equipo con estudiantes dentro. Un mes. Más de una docena de vulnerabilidades probables. Hace diez años eso era la producción de una dirección general entera de un gobierno.

Una persona contra la Europa política#

En la primavera de 2026 un activista francófono fue a por partidos políticos europeos, medios, think tanks y sus proveedores. Escribió en Rust un escáner que buscaba claves de acceso expuestas en contenedores públicos y luego aprendió a enrutar su tráfico a través de claves robadas para mezclarse con la actividad del dueño legítimo.

Su herramienta estrella se llamaba fafsearch, un motor de doxxing hecho a medida, con cadenas de ingesta, normalización de números de documento y de teléfono y su propia lógica de ranking. Le cargó decenas de millones de filas, incluidos identificadores sanitarios y material de brechas del sistema judicial, y publicó el resultado como servicios anónimos en la dark web. De una sola plataforma de gestión de campañas políticas exfiltró unos 140.000 registros que recogían las opiniones políticas de la gente.

El botín nuevo es el acceso a la propia IA#

Ha aparecido una categoría nueva de botín. Las claves de IA valen tres veces: puedes revenderlas, puedes lanzar tus ataques a cuenta de otro y puedes usarlas para esconderte de los investigadores.

GTG-50020, que antes vivía de intrusiones en hoteles y fintech (26 gigabytes sacados de una sola víctima, rescates exigidos de entre 1,5 y 2,5 millones de dólares), se volvió contra la propia industria de la IA. Inyectó instrucciones maliciosas en el entorno de evaluación automática de un proveedor y logró que ese sandbox entregara claves de producción de varios proveedores.

Otro grupo, GTG-50021, vendía acceso barato a Claude. El acceso no era barato ni era Claude: el tráfico se desviaba en silencio a otro modelo mientras las herramientas del vendedor instalaban un recolector de credenciales y revendían las cuentas de las víctimas.

La conclusión práctica es simple. Las claves de IA y las integraciones de agentes necesitan la misma protección que las credenciales de producción, porque los atacantes ya las tratan así. Un descuento que exige pasar tu tráfico por un intermediario desconocido cuesta más de lo que ahorra.

Una fábrica de noticias en 70 webs#

La sección de operaciones de influencia reúne nueve casos. El más revelador no lo llevaba un gobierno, sino una agencia de publicidad francesa, LKM Company. La red parecía un conjunto de redacciones locales independientes: unas 70 webs de noticias, 70 cuentas de X asociadas y más de 250 cuentas para comentarios. Publicó al menos 8.913 artículos en unos 20 idiomas. Su posición política cambiaba según quién pagara en cada momento.

Al lado está BBS Bilisim Teknolojileri, una empresa de Estambul que vendía una plataforma de manipulación electoral apuntada a Malasia. Mil cuentas falsas, un medio inventado llamado Malaysia Pulse y perfilado de votantes circunscripción por circunscripción a partir de datos de censo y de padrón electoral cargados en el sistema. En su propia documentación los autores lo describían como un ecosistema de operaciones políticas en tiempo real de grado militar.

En Bangladés la red entera era un hombre del distrito de Gaibandha, rotando 29 cuentas y ejecutando un script casero que generaba noticias falsas en bengalí.

25 millones de tarjetas SIM en un solo país#

La sección de vigilancia es la más difícil de leer. Un consultor de Bamako, que trabajaba para el servicio de inteligencia del Estado de Mali, usó Claude como un departamento de ingeniería completo y construyó una plataforma llamada Lakana 360 que vigila unos 25 millones de tarjetas SIM en los tres operadores móviles del país. Se diseñó a propósito para esquivar el requisito de la ley maliense de contar con una orden judicial: producía un expediente sobre cualquier número de teléfono sin pedir al personal de inteligencia ninguna base legal.

Y la lista sigue. Una organización iraní afirmaba haber perfilado a 6.388 ciudadanos en un año y analizó 155.216 tuits. Órganos chinos armaron expedientes sobre cardenales católicos de alto rango, la dirección de la Iglesia Presbiteriana de Taiwán, la sociedad civil budista tibetana y Falun Gong. Una unidad municipal de ciberpolicía llevaba un programa de monitorización del sentimiento social interno, y un estudiante de una academia de policía señaló a diez ciudadanos particulares como objetivos.

Un enjambre de drones que no necesita humanos#

Seis casos de armas convencionales: tres en China, dos en Rusia y uno en Yemen.

Los actores rusos construían un stack completo para un enjambre de drones kamikaze: memoria compartida del enjambre, lógica de coordinación tolerante a fallos, un modelo pequeño a bordo para gobernar el comportamiento, guiado terminal por cámara y la orden de detonar. Una de sus clases de objetivo era una persona, y la orden de detonar podía salir sin ningún humano en el bucle. Al proyecto lo llamaban DronDoc, o Serafim.

En el norte de Yemen una célula llevaba tres programas a la vez: un cohete guiado que usaba un procesador de teléfono como ordenador de vuelo, un misil balístico con un objetivo declarado de alcance superior a 2.000 km y el conjunto R2000, incluida una variante de planeo hipersónico. Claude Code sustituía a sus ingenieros de software y escribía el código de guiado y navegación.

Los casos chinos son menos cinematográficos, pero no menos significativos: una especificación de control de tiro para un sistema antitorpedo más una propuesta técnica que pasa de las 200 páginas, un conjunto de 16 módulos de guerra electrónica iterado hasta una duodécima versión e informes de inteligencia sobre armas de energía dirigida para circulación interna restringida.

Biología, donde nadie cuenta toda la verdad#

Cinco casos, y Anthropic oculta a propósito las instituciones, los países y los agentes concretos. La lógica: son científicos en activo, la empresa no afirma que buscaran hacer daño y nombrarlos podría ponerlos en riesgo.

Aun así, lo que hay dentro te hiela la sangre. Trabajo para volver más peligroso el chikungunya con financiación estatal. Planificación de experimentos para adaptar la gripe aviar a mamíferos. Una solicitud de financiación sobre evasión inmunitaria para un ortopoxvirus, redactada en cerca de una hora. Un atlas de péptidos de veneno con optimización generativa. Y un rediseño computacional de toxinas para un programa nacional, donde el investigador pidió al modelo mantener deliberadamente vaga la identidad de los agentes en los informes de avance.

La comparación la hace Anthropic: el programa soviético Biopreparat, donde miles de investigadores trabajaban sin saber para qué servía al final todo aquello.

4.700 personas que no existen#

Hay un solo caso de fraude, y es instructivo. Un estudio con base en China montó más de 20 apps de citas, las llenó de personajes de IA y anunció el servicio como cien por cien humano. En dos semanas de abril de 2026, 4.700 personajes distintos hablaron con al menos 25.000 personas y enviaron unos 2,36 millones de mensajes.

En el feed de swipes, el 75% de los perfiles era el modelo y el 25% eran personas reales que el estudio contrataba por horas. Los humanos estaban ahí para las pruebas que un modelo no pasa: una videollamada en directo, un seguimiento en redes sociales. Las apps estaban diseñadas para esconderse de la revisión de las tiendas: la interfaz cambiaba solo mientras la revisión estaba en marcha, y los nombres de las clases variaban a propósito en una veintena de versiones para que las tiendas no las relacionaran entre sí.

Un detalle explica por qué esto funcionó. En algunos intercambios el propio razonamiento del modelo registraba que la persona estaba mal, incluidos casos en que los usuarios contaban una enfermedad grave. Aun así no soltó el personaje.

Siete laboratorios chinos que copiaron Claude#

La última sección es la más dura en datos. Desde febrero, Anthropic ha detectado y frenado campañas de destilación ilícita desde siete laboratorios con base en China. La destilación es un método legítimo de entrenamiento, donde las respuestas de un modelo fuerte entrenan a uno más débil. Lo que la vuelve ilícita es la escala industrial, el ocultamiento y el fraude con cuentas.

• Alibaba ejecutó el mayor ataque que Anthropic ha medido nunca: un pico de casi 3 millones de intercambios al día desde más de 3.500 cuentas fraudulentas y más de 151 millones de intercambios entre mayo y julio. Las cadenas de razonamiento cosechadas fueron al entrenamiento de Qwen 3.5, 3.6 y 3.7. Claude también ayudó allí a construir infraestructura interna y entornos de aprendizaje por refuerzo.
• Moonshot reenviaba en silencio las peticiones de sus propios clientes a Claude y les mostraba las respuestas de Claude como si fueran de Kimi. Casi 300.000 peticiones en diez días, a través de una red de 5.380 cuentas fraudulentas.
• DeepSeek hizo lo mismo: más de 12,1 millones de intercambios en 14 días de julio.
• Zhipu (conocida fuera de China como Z.ai) extraía cadenas de razonamiento para entrenar sus modelos GLM. Un detalle revelador: cuando las protecciones de Fable les rompieron el ataque, los empleados se pasaron a Opus 4.6 y al modelo puntero de otro laboratorio estadounidense, porque juzgaron que allí las protecciones eran más débiles.
• Xiaomi volvía a pasar por Claude conversaciones y sesiones de código de sus propios modelos MiMo, más de 400.000 intercambios en 20 días.
• SenseTime compró transcripciones de conversaciones ajenas con Claude a proveedores de datos externos, y MiniMax montó su propio servicio de proxy mediante una sociedad pantalla que oculta a su matriz y vende acceso solo a modelos de Anthropic y OpenAI.

Y aquí llega la parte que te toca a ti. DeepSeek, Xiaomi y Moonshot metieron en Claude las conversaciones de sus propios usuarios. Esas conversaciones contenían nombres, direcciones de correo, datos de empresa y credenciales de acceso vivas de cientos de usuarios finales, en al menos una docena de idiomas. Muchas llegaron a través de servicios de enrutamiento externos populares en Estados Unidos y Europa. Así que alguien escribió en un servicio, sus datos viajaron a otro país y a una tercera empresa, y no tenía ni idea.

Qué hacer con esto#

Es fácil leer el informe como un thriller, pero tiene una capa práctica. Esto es lo que me llevo.

Las claves de IA ya son credenciales de producción. Rótalas, recorta sus permisos y vigílalas como vigilas el acceso a la base de datos donde está el dinero.

Compra el acceso directamente. Cualquier intermediario con un descuento sospechoso o está robando cuentas o está vendiendo tus conversaciones a terceros.

La defensa por firmas está acabada. Si el atacante reconstruye la herramienta más rápido de lo que tú publicas una regla, la defensa tiene que ir por comportamiento y no por huellas.

Las integraciones de agentes son superficie de ataque. Sandboxes, proxies, wrappers y herramientas internas con acceso a tus sistemas se rompen exactamente igual que se rompen las aplicaciones web.

Los datos que entregas al modelo de otro cobran vida propia. Sobre todo si llegas a ese modelo por un router o por un intermediario barato.

La conclusión#

Anthropic frenó todas las operaciones del informe, baneó las cuentas y endureció sus defensas. Bien. Pero el documento se lee como un primer capítulo, no como un incidente cerrado.

Antes la sofisticación te decía quién estaba detrás de un ataque. Un Estado hacía una cosa, un operador solitario otra. Esa regla ya no existe: un estudiante, un activista y un servicio de inteligencia usan la misma estructura y obtienen resultados comparables. Lo que significa que la defensa no se planifica en torno a quién podría querer entrar, sino en torno a lo que cualquier persona motivada con una suscripción y un portátil puede hacer ya.

Antes los defensores imponían costes a los atacantes. Ahora los costes nos los imponen a nosotros, y no lo hace una persona sino un programador de tareas.