Cathedral: agentes IA entran en Anthropic en 12 horas

Qué pasó: agentes de IA dentro de Anthropic en menos de 12 horas

Una startup de ciberseguridad llamada Cathedral informó que sus agentes de IA lograron acceder a los sistemas internos de Anthropic en menos de doce horas de ejecución. No lo hicieron atacando los modelos de IA de la compañía, sino explotando vulnerabilidades en software empresarial de terceros que Anthropic usa para tareas administrativas y de ventas.

Según el informe de Cathedral revisado por The Washington Post y recogido por Europa Press, entre la información a la que llegaron los agentes hay transcripciones de reuniones, datos de salarios, ofertas de empleo y mensajes de Slack. Es decir: no se trató de un ataque contra la joya de la corona, sino de un acceso lateral a la trastienda operativa de una de las empresas de IA más avanzadas del mundo.

La lección para cualquier founder es incómoda y directa: la superficie de riesgo de tu startup probablemente no está en tu producto, sino en las diez herramientas SaaS que le conectaste alrededor.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Qué dice Anthropic sobre el incidente?

Anthropic confirmó al medio estadounidense que los investigadores accedieron a un conjunto limitado de información interna relacionada solo con sistemas informáticos, de ventas y de recursos humanos. La compañía sostiene que las conversaciones de los usuarios con Claude, el código fuente y los pesos de los modelos de IA estuvieron a salvo.

"Nuestra monitorización detectó parte de la actividad de Cathedral antes de que nos lo reportaran, y bloqueamos su acceso ese mismo día", señaló el laboratorio de IA. Añadió que no tiene "evidencia de que alguien explotara esas vulnerabilidades aparte de Cathedral" y matizó que la startup exageró "las supuestas implicaciones para la seguridad nacional" de sus hallazgos.

El contexto importa: el acceso se produjo dentro de un programa de pruebas de ciberseguridad de Anthropic, un esquema tipo bug bounty donde investigadores externos buscan fallos y reciben recompensas. La compañía acusó a Cathedral de no haber divulgado el alcance completo de su actividad, lo que según Anthropic incumple las reglas del programa. Cathedral, por su parte, sostuvo en su borrador que "los accesos a datos se mantuvieron al mínimo absoluto de acuerdo con las mejores prácticas de investigación de seguridad".

¿Quién está detrás de Cathedral?

Cathedral es una startup de ciberseguridad fundada por cuatro exmiembros del Departamento de Eficiencia del Gobierno (DOGE): Gavin Kliger, Luke Farritor, Marko Elez y Jack Stein, según reportó IBTimes. Kliger fue antes director de datos del Pentágono.

El dato que más debería llamar la atención de un inversor: según la cobertura de Yahoo Tech, la compañía levantó US$160 millones con una valoración de US$1.400 millones en julio, con inversores como Andreessen Horowitz y Sequoia Capital. También se reportó que tres agencias federales de Estados Unidos contrataron sus servicios.

Es decir, no estamos ante un grupo de aficionados haciendo pruebas de penetración: es una startup unicornio, con respaldo de los fondos más reconocidos del ecosistema, que convirtió una debilidad de software de terceros en una demostración de capacidad ofensiva.

¿Por qué el software de terceros es el eslabón débil?

El hallazgo central del informe de Cathedral es que las debilidades en el software empresarial común pueden comprometer la infraestructura incluso de las organizaciones más avanzadas. En palabras del propio documento: "debería ser un toque de atención para todas las empresas de Estados Unidos".

Alex Stamos, director de seguridad de la información de la startup de programación con IA Cognition y exdirector del Observatorio de Internet de Stanford, subrayó que el riesgo de conectar aplicaciones de terceros a los sistemas de las compañías ya es un "problema enorme para todos".

El patrón se repite en casi cualquier startup: un CRM, una herramienta de RRHH, un gestor de contratos, un canal de Slack, una plataforma de facturación. Cada integración es una puerta con credenciales propias, y cada credencial es un camino potencial hacia tus datos internos. Los agentes de IA no inventaron esa fragilidad: la aceleraron. Un agente que ejecuta tareas de varios pasos sin aprobación humana puede recorrer en horas lo que a un atacante manual le llevaría semanas.

Antecedentes: la IA ya se usó para atacar

El incidente no ocurre en el vacío. Según Yahoo Tech, en noviembre de 2025 Anthropic afirmó que hackers patrocinados por el Estado chino usaron Claude Code, su herramienta de programación, para atacar a unas 30 organizaciones, con la IA encargándose del 80% al 90% del trabajo táctico. En julio, Anthropic reveló que sus modelos Claude habían hackeado organizaciones reales en tres incidentes durante sus pruebas.

Anthropic desactivó el software afectado hasta que los proveedores confirmaron las correcciones, y los nombres de esos proveedores no se hicieron públicos. Ese detalle es relevante para cualquier equipo de compras: si el fabricante de tu herramienta de RRHH no puede confirmar que parchó una vulnerabilidad, no tienes forma de saberlo por tu cuenta.

¿Qué significa esto para tu startup?

La conclusión práctica no es "deja de usar SaaS". Es que la seguridad de tu startup dejó de ser un problema de infraestructura propia y pasó a ser un problema de cadena de suministro digital. Si una empresa con los recursos de Anthropic puede ser alcanzada por la puerta lateral de un software administrativo, tu startup con dos personas en operaciones es un objetivo mucho más blando.

Tres acciones concretas para esta semana:

Inventario de integraciones con permisos. Lista cada herramienta conectada a tus sistemas y qué nivel de acceso tiene. Prioriza las que ven datos de clientes, nóminas o contratos. Si una herramienta no necesita acceso de escritura, quítaselo hoy.
Principio de mínimo privilegio en agentes de IA. Si ya usas agentes que ejecutan tareas de varios pasos, dales credenciales acotadas y con caducidad, no una API key maestra. Un agente con permisos amplios es un atacante interno con mucha paciencia.
Exige respuesta de seguridad a tus proveedores. Antes de firmar con un SaaS que tocará datos sensibles, pregunta por su proceso de divulgación de vulnerabilidades y su tiempo de parcheo. Si no tienen una respuesta clara, es una señal.

Conclusión

El caso Cathedral-Anthropic invierte la intuición de muchos founders: la IA no rompió la seguridad de Anthropic, la IA encontró la puerta que ya estaba abierta en el software de terceros. La buena noticia es que ese tipo de riesgo se gestiona con higiene operativa, no con presupuesto de gran empresa. La mala es que casi nadie lo hace hasta que le pasa.