La intrusión en Anthropic no la firmó un grupo criminal. La ejecutaron agentes de IA de Cathedral, una empresa de ciberseguridad, durante una prueba autorizada por la propia Anthropic. En menos de 12 horas, esos agentes llegaron a transcripciones de reuniones, datos de salarios, ofertas de empleo y mensajes de Slack con discusiones sobre los modelos más avanzados de la casa de Claude.
El camino de entrada sorprende por lo ordinario. Cathedral pasó varios días intentando romper los programas propios de Anthropic y fracasó en cada intento, de acuerdo con el borrador de su informe, revisado por The Washington Post. El giro llegó al cambiar de blanco: los programas de terceros que Anthropic usa para ventas, recursos humanos y gestión interna. Ahí los agentes de IA mapearon las rutas disponibles sin pedir permiso paso a paso y cruzaron en menos de 12 horas.
La puerta fue un programa de terceros, no Claude
La prueba corría dentro del programa de investigadores externos de Anthropic, el canal que paga a especialistas ajenos por encontrar fallos y reportarlos. Cathedral nació hace pocos meses, la fundaron exempleados de DOGE, el Departamento de Eficiencia Gubernamental de Estados Unidos, y en julio levantó US$160 millones con una valoración de US$1.400 millones, cifras de PitchBook difundidas por TechTimes. Su negocio: vender herramientas de seguridad con agentes a gobiernos y empresas.
Dos vulnerabilidades aparecieron en esos programas externos. Los proveedores afectados siguen sin nombre público, una cautela habitual mientras los parches terminan de distribuirse. Cathedral afirma que sus accesos a datos quedaron en el mínimo exigido por las buenas prácticas de investigación, y envió los hallazgos a Anthropic y a los proveedores de los programas comprometidos.
Anthropic recorta el alcance con una lista precisa. Los investigadores alcanzaron un conjunto limitado de sistemas de ventas, recursos humanos y tecnología, con contactos comerciales de algunos clientes y socios y datos básicos de cuentas de usuario. No llegaron a las conversaciones de los clientes con Claude, ni a las respuestas del modelo, ni al código fuente, ni a los pesos del modelo, los archivos que guardan lo aprendido durante el entrenamiento.
Seguridad con agentes de IA: ataques que no duermen
Logan Graham, responsable del equipo de pruebas ofensivas de Anthropic, contó en X que los atacantes ya operan agentes de IA durante todo el día contra dependencias externas, y que modelos de media generación o una generación por detrás de la frontera bastan para ese trabajo. Su receta suena incómoda: probarse a uno mismo de forma continua, porque los modelos actuales son muy creativos buscando rutas. El episodio llega días después de que un modelo de Anthropic armara cadenas de ataque en Chrome durante pruebas controladas del propio laboratorio.
Alex Stamos, director de seguridad de Cognition y exdirector de seguridad de Facebook, revisó el borrador de Cathedral a petición de The Washington Post. Su lectura apunta fuera de Anthropic: las aplicaciones de terceros conectadas a los sistemas de una empresa forman un problema enorme para todo el sector, porque cada integración hereda los permisos de la casa y casi nadie audita esa cadena completa con la misma dureza que su producto principal.
Dos versiones de la misma intrusión en Anthropic
El reloj es el primer punto de choque. Cathedral mide menos de 12 horas desde el giro hacia los programas externos; Anthropic cuenta varios días de intento, con la fase directa incluida en la suma. Graham añadió otro dato que enfría el titular: su equipo encontró la segunda vulnerabilidad por su cuenta y la corrigió, porque Cathedral reportó una sola de las dos que había localizado en los programas de terceros.
La divulgación completa el desacuerdo. Anthropic acusa a Cathedral de no contar toda su actividad dentro de los sistemas y de inflar las implicaciones de seguridad nacional del hallazgo. Cathedral sostiene que actuó dentro de las prácticas habituales de la investigación en seguridad. En Washington, un alto funcionario dijo a The Washington Post que el informe circuló dentro del Gobierno federal y que el escenario de adversarios extranjeros aplicando la misma técnica encendió alarmas concretas.
Una afirmación más gruesa corrió por X: Will Depue, exempleado de OpenAI, aseguró que sus fuentes hablaban de acceso total al espacio de Slack. Graham respondió que esas fuentes estaban equivocadas, sin entrar en detalles por la sensibilidad del caso. La versión confirmada por ambas partes se queda en los sistemas administrativos ya descritos, y Anthropic declara que no tiene evidencia de que otra persona explotara las mismas vulnerabilidades.
El cierre del episodio tiene fecha parcial. Anthropic detectó parte de la actividad con su propio monitoreo antes de recibir el aviso, cortó el acceso el mismo día, informó a las autoridades federales y mantuvo apagados los programas afectados hasta que cada proveedor confirmó su parche instalado. Los nombres de esos proveedores, con dos vulnerabilidades ya corregidas entre ambos bandos, siguen siendo la pieza que ninguna de las dos empresas ha soltado.
Fuente: The Cryptonomist
