Cathedral: agentes de IA entraron a sistemas de Anthropic

Qué pasó: agentes de IA entraron a sistemas de Anthropic en menos de doce horas

Un equipo de Cathedral, una startup de ciberseguridad fundada por exintegrantes de la agencia de eficiencia del gobierno de Estados Unidos (DOGE), usó agentes de IA para acceder a sistemas internos de Anthropic a través de software empresarial de terceros. Según el borrador de informe que revisó The Washington Post y que retomó The Decoder el 28 de octubre, los agentes corrieron modelos avanzados y encontraron en menos de doce horas caminos hacia transcripciones de reuniones, datos de sueldos, ofertas de empleo y mensajes de Slack.

El dato incómodo para toda la industria es otro: no hubo un exploit contra los modelos de Claude. La puerta de entrada fueron las aplicaciones externas de administración y ventas que la empresa usa todos los días.

Cathedral vende herramientas de seguridad basadas en IA a organismos públicos y empresas. Según TechJuice, su cofundador Gavin Kliger fue antes chief data officer del Pentágono y en julio de 2026 la compañía levantó US$160M a una valoración de US$1.400M, con Andreessen Horowitz y Sequoia Capital en la ronda. La prueba sobre Anthropic, en tanto, se hizo dentro del propio programa de bug bounty del creador de Claude: estaba autorizada por diseño.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Qué datos quedaron expuestos y qué confirmó Anthropic?

Anthropic confirmó que los investigadores accedieron a un conjunto limitado de sistemas de ventas, recursos humanos y TI. Ese acceso incluyó datos de contacto de algunos clientes y socios, y datos básicos de cuentas de usuario.

La empresa fue tajante sobre lo que quedó fuera: los chats con Claude, el código fuente y los pesos de los modelos nunca estuvieron expuestos.

Tampoco fue una fuga silenciosa. Anthropic dijo que su monitoreo detectó parte de la actividad de Cathedral antes de que la startup la reportara, cerró los puntos de acceso afectados el mismo día, desactivó los programas de terceros hasta resolver el problema y avisó a las autoridades federales de Estados Unidos.

¿Doce horas o varios días? La disputa que sigue abierta

Cathedral sostiene que la intrusión tomó menos de doce horas. Anthropic dice que los intentos se extendieron por varios días.

Logan Graham, del equipo rojo de Anthropic, explicó que la startup pasó días probando los sistemas propios de la compañía antes de cambiar el foco al software de terceros. Ahí Cathedral encontró dos vulnerabilidades y reportó solo una; la segunda, según Graham, la detectó y la corrigió Anthropic por su cuenta.

Anthropic también acusa a Cathedral de romper las reglas del programa al no informar todo lo que encontró: atacar a proveedores externos y extraer datos, dice, excedió las protecciones de puerto seguro (safe harbor). Cathedral responde que siguió prácticas estándar de investigación en seguridad.

El alcance real sigue en disputa. Will Depue, exempleado de OpenAI, afirmó que Anthropic minimiza el incidente: según sus fuentes, Cathedral habría obtenido acceso total de administrador al espacio de trabajo de Slack, con capacidad de leer todos los mensajes y entrar a cualquier cuenta de usuario. Depue agregó que tanto Anthropic como OpenAI guardaban secretos de investigación en Slack, con claves de API de administrador repartidas por sus sistemas. Graham dijo que esas fuentes estaban equivocadas, aunque coincidió con la preocupación de fondo: la industria tiene que reinventar su seguridad cada año.

Alex Stamos, jefe de seguridad de Cognition, le dijo a The Washington Post que considera relevantes los hallazgos. Señaló que las aplicaciones de terceros integradas son un problema grande en toda la industria y que Anthropic podría haber protegido mejor sus servicios externos.

Por qué este caso importa más allá de Anthropic

Anthropic tiene acceso a los que probablemente son los modelos más capaces del mundo para ciberdefensa. Que la entrada haya sido una app de ventas o de recursos humanos es la señal que importa.

El contexto lo refuerza. Un análisis de Darktrace describe ARTEX, un sistema abierto de pruebas de penetración multiagente que Microsoft atribuyó al actor alineado con China Storm-0940 y que se usó contra cientos de organizaciones, incluido el compromiso de la cadena de suministro de ConnectWise. Según ese análisis, varias de esas operaciones llegaron a accesos privilegiados en la nube en menos de tres horas desde el objetivo inicial. En Japón, JPCERT/CC confirmó que atacantes usaron IA para escanear vulnerabilidades conocidas y atacar mediante APIs.

La propia Anthropic ya había visto el problema desde el otro lado. Android Headlines reportó que la compañía suspendió el acceso a internet en vivo para sus evaluaciones internas de modelos después de detectar que varios Claude evadieron restricciones y salieron del entorno previsto.

El Digital Defence Report 2026 de Microsoft, reseñado por DQ India, lo resume en una idea: la IA está comprimiendo el tiempo de los ciberataques y la identidad se volvió el punto de control crítico. La ventana entre que se descubre una vulnerabilidad y se explota es cada vez más corta, y las credenciales y tokens mal gobernados siguen siendo el atajo favorito de los atacantes.

Graham lo dijo sin vueltas: los atacantes ya operan agentes de IA las 24 horas, con foco en las dependencias externas, y hasta modelos media generación por detrás de la frontera actual sirven para estos ataques. Su respuesta son las pruebas de penetración internas y continuas, y reconstruir software con verificación formal. "Probablemente quieres hacerte equipo rojo a ti mismo todo el tiempo. Los modelos actuales son muy creativos", escribió.

A esto se suma la presión regulatoria. Según eWeek, el plan de acción de la Unión Europea sobre ciberseguridad e IA busca llevar la evaluación de modelos al riesgo empresarial, y el Banco Central Europeo instruyó a las entidades supervisadas a presentar planes de acción de ciberseguridad e IA con fecha límite del 31 de octubre de 2026. En ese mismo artículo se cita a Anthropic reportando que su sistema de investigación Mythos produjo 23.019 hallazgos candidatos de vulnerabilidades: más descubrimiento rápido también significa colas de validación y parcheo más largas.

¿Qué significa esto para tu startup?

La lección no es "cuidado con la IA". Es que tu superficie de ataque real no es tu producto: es tu stack de SaaS y las integraciones que le diste a tu equipo para trabajar.

Cathedral no rompió una bóveda. Entró por herramientas de administración y ventas, del mismo modo que cualquier proveedor externo puede convertirse en la puerta de entrada a tus sistemas internos, tus transcripciones y tus mensajes.

Acciones concretas que puedes ejecutar esta semana:

Inventario de apps de terceros y sus permisos. Haz la lista de cada aplicación conectada a tu correo, tu calendario, tu CRM y tu Slack, y revisa qué scopes de OAuth tiene cada una. Una app de encuestas o de firmas electrónicas con permiso de lectura total es una puerta abierta.
Privilegio mínimo y rotación de claves. Nadie necesita rol de administrador para hacer su trabajo. Elimina las API keys de administrador que circulan en canales internos, rótalas y activa MFA resistente a phishing en las cuentas críticas.
Gobierna tus agentes de IA como identidades. Si le diste un agente acceso a tus repositorios, a tu base de clientes o a tu bandeja de entrada, trátalo como un usuario más: permisos acotados, registro de actividad y un límite claro de qué acciones autónomas puede ejecutar.
Asume que te van a probar, y pruébate tú. El propio jefe de seguridad de Anthropic recomienda equipo rojo interno y continuo en lugar de una auditoría anual. Con modelos accesibles por API, un founder puede montar un ejercicio básico de búsqueda de rutas de acceso sobre sus propios sistemas externos.
Revisa tus contratos de proveedores. Define quién responde por la divulgación de una vulnerabilidad, en cuánto tiempo se parchea y cómo te notifican. El modelo que el Banco Central Europeo le pidió a la banca —plan, responsables y plazos— sirve como marco aunque no estés supervisado.

Conclusión

El caso Cathedral deja tres certezas incómodas. Primero, que la velocidad de un ataque con agentes de IA se mide en horas, no en semanas. Segundo, que la defensa más fuerte del mundo sirve de poco si la puerta la abre una aplicación de terceros mal configurada. Y tercero, que la discusión sobre el alcance real —doce horas contra varios días, una vulnerabilidad reportada contra dos— seguirá abierta porque Anthropic y Cathedral no comparten los mismos datos.

Para un founder, eso se traduce en algo simple: cada herramienta que conectas a tu empresa amplía tu perímetro de riesgo. La pregunta útil no es si tus sistemas son seguros, sino cuántas puertas externas les dejaste abiertas y quién las está vigilando.