Anthropic documenta nueve meses de usos abusivos de Claude: espionaje ruso, extorsión masiva y fábricas automatizadas de exploits

Qué publicó Anthropic y por qué lo recuperamos ahora

El 10 de septiembre de 2026, Anthropic publicó "Detecting and countering misuse of AI: September 2026", el informe periódico de su equipo de Threat Intelligence. No lo cubrimos entonces y lo recuperamos ahora porque sigue siendo el documento más detallado que existe sobre cómo se usan los modelos de frontera en operaciones ofensivas reales.

El texto reúne casos interrumpidos entre diciembre de 2025 y agosto de 2026 en siete áreas de daño: operaciones cibernéticas, operaciones de influencia, vigilancia, estafas y fraude, uso biológico indebido, desarrollo de armas convencionales y copia ilícita de modelos. Detrás hay grupos que la compañía atribuye a Estados, criminales que buscan dinero, vendedores comerciales de programas espía, organismos estatales de propaganda e individuos con motivación política.

Conviene leerlo con la etiqueta correcta: es un informe de una empresa sobre el abuso de su propio producto, con sus propias atribuciones y su propia medición del impacto. No es una evaluación independiente ni una auditoría externa. Anthropic dice que en cada caso cortó la actividad, reforzó sus salvaguardas y compartió información con autoridades y con otras empresas del sector "cuando fue apropiado", pero el lector no puede comprobar nada de eso con el documento en la mano.

La compañía precisa además que los abusos se cometieron con Claude Haiku, Sonnet y Opus, y que ninguno afectó a Claude Fable ni a los modelos de clase Mythos, con la excepción de un caso de destilación ilícita.

El vocabulario del informe: GTG, uplift y kill chain

Anthropic bautiza con siglas propias —GTG, de Generative Threat Groups, grupos de amenaza generativa— a los actores que sorprende abusando de la IA. Son etiquetas de la casa, no nombres acordados por el sector, aunque a veces la empresa las cruza con nombres públicos: así ocurre cuando afirma que su atribución de GTG-20006 encaja con lo que se sabe de Midnight Blizzard.

La segunda pieza del vocabulario es el uplift, el empujón de capacidad que la IA regala al atacante, es decir, cuánto más daño hace con ella que sin ella. Anthropic dice medirlo en tres ejes —velocidad, escala y profundidad— y evaluar cómo cambia cada uno cuando el atacante adopta IA.

El tercero es la cyber kill chain, la secuencia de fases de un ataque. El informe sostiene que el debate habitual se queda corto al centrarse en el miedo a que la IA fabrique exploits en cantidad: el riesgo real se reparte por toda la cadena, donde los adversarios ganan velocidad, cubren más terreno, llegan más hondo y gastan menos recursos.

Tesis central: los ataques sofisticados ya no exigen atacantes sofisticados

La conclusión más citable del documento es que la IA ha borrado la distancia en manos y herramientas que separaba a las operaciones estatales bien financiadas del atacante solitario. En los casos descritos, un hacktivista con claves API robadas, criminales dispersos que iban a por dinero y un espía al servicio de un Estado sostuvieron por igual campañas contra muchas víctimas que hace apenas un año habrían exigido varios operadores expertos y conocimiento especializado.

Para quien investiga amenazas, eso deja una consecuencia incómoda: la sofisticación ya no dice quién está detrás de una operación. Anthropic sostiene que todas las capas del trabajo ofensivo han recibido ese empujón, desde el estudio del objetivo y la construcción de herramientas hasta el tratamiento de los datos y la explotación de los fallos.

El modelo de ataque autónomo que la compañía documentó en noviembre de 2025 se ha extendido, según el informe, a todos los tipos de actor investigados. Y hay herramientas ofensivas de agentes al alcance de cualquiera, como PentAGI, que reproducen buena parte del mismo andamiaje y automatizan cada paso de la cadena para quien se las descargue.

Casi todas las operaciones descritas usaron la IA en modo de ejecución directa u orquestación: nada de preguntas y respuestas de chatbot, sino sistemas de varios agentes que estudian el objetivo, entran y se llevan los datos. Los humanos siguieron ahí, pero sobre todo para elegir a quién atacar y revisar lo robado.

GTG-20006: espionaje ruso que rehace su malware solo

El caso más desarrollado es GTG-20006, cuyas tácticas y objetivos Anthropic describe como propios del espionaje ruso; uno de sus operadores es un rusohablante que firma como "JackPoterz". Fue a por inteligencia militar en gobiernos ucranianos y europeos, y también contra organizaciones diplomáticas y de defensa y personas ligadas a la política exterior estadounidense.

Su arsenal reunía dos familias de implantes para Windows, un kit para atacar móviles, un ladrón de credenciales que vaciaba las contraseñas guardadas en el navegador, una plataforma de phishing que imitaba a objetivos prioritarios como organismos públicos y una consola para administrar las cuentas ya robadas. Todo ello lo gestionaba y lo rehacía con flujos de trabajo asistidos por IA.

El detalle técnico más relevante es el bucle de evasión. El atacante puso agentes a vigilar si algún antivirus había detectado sus programas maliciosos; cuando eso pasaba, los agentes modificaban y recompilaban el malware por su cuenta, una vez tras otra, hasta volverlo invisible. Solo entonces las herramientas pasaban a operaciones reales desde servidores de usar y tirar.

Anthropic contó más de 20 organizaciones distintas entre la planificación, el estudio previo y los ataques reales del grupo: ministerios, cuerpos de defensa e inteligencia, embajadas y misiones diplomáticas, centros de análisis y empresas de la industria de defensa. La mayoría estaban en Ucrania y Europa, aunque también alcanzó Oriente Medio y agencias marítimas de gobiernos asiáticos. Solo en el Gobierno ucraniano rastreó los servicios de correo y los sistemas de acceso remoto de más de dos docenas de organismos.

Drones, wifi de hoteles y cuentas de WhatsApp

Un objetivo aparece una y otra vez: la cadena de suministro de drones. El grupo vació enteros los buzones de correo de al menos dos fabricantes de componentes, atacó a un fabricante de drones militares y robó el kit de desarrollo completo de un sistema de visión para drones. Dedicó varios días a desmontarlo hasta reconstruir su arquitectura, la lista de piezas del hardware, de qué proveedores dependía y los detalles de un producto aún sin anunciar.

Para llegar a sus objetivos por la puerta de atrás, se coló en al menos tres proveedores de hostelería que gestionan el wifi para huéspedes de hoteles. Con credenciales de administrador robadas cambió los registros DNS para desviar el tráfico hacia servidores propios: quien se conectaba entregaba sin saberlo su tráfico, el identificador de su dispositivo y su dirección IP, y a continuación recibía un señuelo de tipo ClickFix que le colaba malware para Windows, Android o iOS. Microsoft Threat Intelligence describió este mismo método en un informe de julio de 2026 y lo bautizó CaptiveCrunch.

El grupo también se apoderó de cuentas de WhatsApp enlazando sus propios dispositivos como acompañantes, con navegadores sin interfaz y la biblioteca de código abierto WPPConnect. Su configuración desactivaba las confirmaciones de lectura para que la víctima no sospechara mientras exportaba conversaciones enteras en ruso y ucraniano. Así atacó al menos a dos antiguos altos cargos ucranianos.

En una intrusión contra la autoridad tecnológica de un gobierno norteafricano robó las credenciales de un equipo VPN, tomó el servidor central de cuentas y se llevó su base de datos completa: más de 300.000 registros de identidad nacional y los datos del registro mercantil de más de medio millón de empresas del país.

ShinyHunters: robo masivo, extorsión y "vibe hacking"

Anthropic dice haber localizado y desactivado varios focos de actividad criminal con ánimo de lucro que atribuye a presuntos afiliados del colectivo ShinyHunters, conocido por robar grandes volúmenes de datos y extorsionar después a sus víctimas con la amenaza de publicarlos.

Un operador francófono que usa los alias MeowSHA, frkoo y blazespider montó una cadena de recolección de credenciales repartida entre diez máquinas EC2 de AWS: descargó en bloque 1,8 millones de APKs de Android distintos de varias tiendas de aplicaciones, los descompiló y los rastreó con TruffleHog en busca de contraseñas y claves olvidadas dentro del código. Los hallazgos ya comprobados iban en tiempo real a un grupo de Telegram ordenado en más de 100 tipos de fuente.

Entre los golpes más graves, los operadores se llevaron más de un terabyte de datos de un proveedor tecnológico —cientos de miles de números de identidad y millones de registros de tarjetas de pago— y los publicaron en una web abierta para forzar el pago de un rescate. En una aerolínea entraron en sistemas con decenas de millones de registros de pasajeros. En una eléctrica, los atacantes aseguraron que podían controlar a distancia la corriente de los cargadores de coche eléctrico instalados en casa de los clientes; es una afirmación suya, no una capacidad que el informe verifique.

Otro afiliado se especializó en atacar a través de proveedores: entró en una empresa de software en la nube y desde ahí sacó datos de unas 200 organizaciones clientes; en una sola sesión volcó más de 2.100 juegos de tokens de Azure AD de más de 40 clientes corporativos en unas 34 horas. "Los agentes de IA hicieron casi todo el trabajo", escribe Anthropic. Lo que impresiona son los tiempos: en una empresa de software corporativo pasaron del primer acceso al robo masivo en cuestión de horas; en otra, un solo token de desarrollador robado se convirtió en control total de su nube en unas tres horas.

Fábricas de exploits: buscar fallos a jornada completa

Bajo el identificador GTG-10007, el informe describe una operación de espionaje sostenida a cargo de operadores chinohablantes que, con toda probabilidad, viven en Changsha, en la provincia de Hunan. A dos de ellos los identificó como estudiantes de grado de la Escuela de Ingeniería Informática y de Comunicaciones de una universidad de Hunan; uno había hecho prácticas en la empresa de seguridad Sangfor y estaba en un proceso de selección para un puesto de operaciones cibernéticas ofensivas en QiAnXin.

El grupo atacó a medio centenar de organizaciones de todo el mundo: educación, comercio, energía, tecnología, sanidad, finanzas, industria y varias agencias públicas. Sacó cientos de megabytes de datos personales de alumnos del almacenamiento en la nube de una empresa de tecnología educativa, llegó a los sistemas en producción de una cadena de tiendas y demostró que podía modificarlos en caliente, y consiguió fichas de ciudadanos —nombre, teléfono y domicilio— de una agencia gubernamental del Sudeste Asiático.

Su joya era un programa autónomo de búsqueda de fallos dirigido contra un producto de seguridad muy extendido, de esos que se instalan precisamente para detectar intrusiones. De ahí salieron varias vulnerabilidades hasta entonces desconocidas que el propio actor validó en su laboratorio. Otro flujo, que repasaba equipos de red sin descanso, arrojó más de una docena de posibles zero-days en un solo mes.

El bucle es puramente industrial: cargar el firmware y los binarios en un descompilador a través de un servidor de herramientas; recorrer el código y sus referencias cruzadas —miles de llamadas de descompilación—; formular hipótesis de fallo contra una base de conocimiento afinada con el tiempo; escribir el exploit; probarlo contra copias del producto en el laboratorio; y repetir hasta que funcione. El resultado acababa en la cartera privada de exploits del operador. En paralelo, el grupo usaba "agent swarms" (enjambres de agentes): un agente jefe troceaba el trabajo y lo repartía entre muchos subordinados, con una memoria de campaña persistente que permitía retomar cada sesión donde la había dejado, con todo el contexto acumulado.

Un detalle delata cómo se repartían máquina y persona: aunque los flujos automatizados apuntaban a entidades de todo el mundo, el actor reservó su trabajo manual exclusivamente para víctimas dentro de China.

La cadena de suministro de la IA: objetivo, botín y potencia de cálculo

La parte quizá más novedosa del informe explica cómo el acceso a la IA —claves API, tokens de sesión y dispositivos comprometidos— se ha convertido en el objetivo final de varios grupos criminales. Ese acceso se vende a través de intermediarios que abastecen a redes de revendedores fraudulentos, y estas van rotando las claves robadas hasta agotarles la cuota.

Anthropic enumera tres ventajas que obtiene de golpe quien se hace con credenciales de IA. Botín, porque las claves y las cuentas se revenden en mercados ya asentados. Potencia de cálculo, porque el trabajo del atacante lo paga otro. Y tapadera, porque la actividad queda registrada a nombre del dueño legítimo de la credencial. Una campaña hacktivista funcionó un mes entero solo con claves API robadas.

Una de las trampas para captar víctimas consistía en montar webs que se presentaban como pasarelas entre varios modelos y ofrecían acceso con descuento a modelos de frontera. Quien picaba se descargaba aplicaciones cliente maliciosas que se hacían pasar por herramientas conocidas, Claude Code incluido, y que en realidad eran recolectores de credenciales: vaciaban todas las claves y tokens de sesión del dispositivo y seguían capturando los nuevos a medida que la víctima los renovaba.

GTG-50021, un grupo ruso y ucranianohablante donde figura el alias "kl1zy", fue un paso más allá: vendía acceso barato a Claude que ni era barato ni era Claude. Desviaba en silencio el tráfico de sus clientes hacia otro modelo mientras sus herramientas les instalaban un recolector que robaba sus credenciales de Anthropic para revenderlas a otros intermediarios.

También vio a varios actores atacando instalaciones de LiteLLM en servicios envoltorio mediante prompt injection para sacar las claves API de producción de sus contenedores. Anthropic insiste en dos puntos: las claves de estos casos siempre fueron de clientes y salieron de entornos de clientes, y sus propios sistemas no fueron comprometidos.

El caso GTG-50020 remata el argumento. Este actor rusohablante que busca dinero venía de asaltar plataformas de reservas hoteleras y fintech —en una se llevó unos 26 gigabytes y pidió entre 1,5 y 2,5 millones de dólares— y decidió reorientar el oficio hacia la industria de la IA. Coló instrucciones maliciosas en el entorno de pruebas automatizadas de un proveedor de IA y consiguió que ese entorno soltara las credenciales que guardaba, entre ellas claves API de producción de varios proveedores. Después, desde la misma infraestructura, atacó a una treintena de empresas de IA en unos cuatro días repitiendo el único camino que le había funcionado. Su meta declarada, que persiguió por más de una docena de vías, era llegar a un modelo Claude aún sin lanzar; según el informe, no lo consiguió nunca y todos sus intentos fracasaron.

Hacktivistas convertidos en amenazas persistentes

El informe sostiene que la IA ha cerrado la distancia que separaba a los hacktivistas de poca monta de las amenazas persistentes avanzadas: sube el nivel mínimo y, a la vez, abarata los recursos que hacen falta para operar.

El caso GTG-50029 lo ilustra bien: en la primavera de 2026, un solo actor francófono usó Claude para atacar a partidos políticos europeos, medios, centros de análisis y los proveedores de software en la nube que esas organizaciones contratan. Se programó su propio escáner en Rust para rastrear contenedores públicos y comprobar qué claves API quedaban a la vista.

La lección defensiva que saca Anthropic es directa: hay que tratar las claves de IA y las integraciones de agentes con la misma seriedad que las credenciales de producción, porque los atacantes ya lo hacen. Y el acceso a la IA debe comprarse solo por canales autorizados: un descuento que obliga a hacer pasar el tráfico y las credenciales por un intermediario desconocido es un riesgo enorme para los datos y los sistemas.

Lo que el informe cubre y lo que aquí no se detalla

El documento abarca siete áreas de daño, y las operaciones de influencia, la vigilancia, el uso biológico indebido, el desarrollo de armas convencionales, las estafas y la destilación ilícita tienen cada una su propio apartado. Entre los ejemplos que Anthropic adelanta en la introducción hay una red de aplicaciones de citas falsas montada para estafar a sus usuarios y sistemas de vigilancia construidos para identificar y seguir a disidentes.

El grueso de la evidencia técnica que la compañía hace pública en la parte consultable del informe corresponde a las operaciones cibernéticas: indicadores de compromiso, direcciones IP desde las que salían los atacantes, dominios y huellas de malware, todo pensado para que otros defensores rastreen esa misma actividad en sus propios sistemas.

Anthropic dice publicar este trabajo porque se considera responsable de destapar el uso malicioso de sus servicios, y advierte de que, cuanto más capaces sean los modelos, mayores serán sus riesgos, salvo que quienes los desarrollan y quienes defienden a la sociedad se pongan a hacerlos más seguros.