Qué pasó: agentes de IA dentro de los sistemas de Anthropic
Menos de 12 horas. Ese es el tiempo que, según su propio informe preliminar, necesitaron los agentes de IA de Cathedral para encontrar rutas hacia información sensible dentro de Anthropic, el laboratorio detrás de Claude. Lo relevante para cualquier founder no es la hazaña en sí, sino el camino que usaron: no atacaron los modelos ni el código del laboratorio, sino el software empresarial de terceros que Anthropic tiene conectado a su operación.
Según el reporte que adelantó The Washington Post y que recogen medios como Gizmodo y Decrypt, los agentes accedieron a transcripciones de reuniones, datos salariales, ofertas de empleo y mensajes internos de Slack. Todo, en el marco del programa de recompensas por vulnerabilidades (bug bounty) que Anthropic opera a través de HackerOne.
La secuencia importa: primero, los investigadores humanos de Cathedral pasaron varios días intentando entrar directamente al software de Anthropic, sin éxito. Después desplegaron agentes autónomos —sistemas que ejecutan tareas de varios pasos sin que una persona apruebe cada movimiento— y estos encontraron la puerta en el software de ventas y administración de un proveedor externo.
¿Y esto cómo se aplica en tu negocio?
Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.
👥 Quiero el Kit →La respuesta de Anthropic: "lo detectamos antes"
Anthropic confirmó el acceso, pero acotó el alcance. La compañía dirigida por Dario Amodei reconoció que Cathedral llegó a un "conjunto limitado" de sus sistemas de ventas, recursos humanos y TI, con datos de contacto de clientes y socios y algunos registros básicos de cuentas de usuario.
Lo que no se tocó, según la empresa: conversaciones de usuarios de Claude, código fuente y los pesos del modelo. "Nuestro sistema de monitoreo detectó parte de la actividad de Cathedral antes de que nos la reportaran, y les bloqueamos el acceso ese mismo día", dijo un portavoz a The Washington Post. La compañía también afirmó que no tiene evidencia de que alguien fuera de Cathedral haya explotado esas vulnerabilidades.
Hay un detalle que conviene leer con atención: Anthropic acusó a Cathedral de violar las reglas del programa por no divulgar el alcance completo de su actividad. Cathedral respondió que mantuvo "los accesos a datos al mínimo absoluto de acuerdo con las mejores prácticas de investigación de seguridad". Traducción para un founder: incluso dentro de un marco autorizado, la frontera entre "prueba de seguridad" e "incidente" se define por la divulgación, no por la intención.
Por qué el vector fue un proveedor y no el laboratorio
Este es el punto que debería hacer ruido en cualquier equipo de producto. Alex Stamos, responsable de seguridad de la información en Cognition, revisó los materiales de Cathedral a pedido del Washington Post y calificó el hallazgo de serio: expuso una brecha en el control de Anthropic sobre sus proveedores externos de software.
La lectura de la comunidad de seguridad es todavía más directa. Jacob Krell, de Suzu Labs, señaló que los agentes de Cathedral entraron "de la misma forma en que los atacantes entran a todas las demás empresas: por los proveedores", y que la madurez de seguridad de una compañía queda limitada por el proveedor más débil con el que se integra.
Darin Fredde, de Ridge Security, puso el foco en otro lado: reconoció la respuesta de Anthropic, pero advirtió que la única medida real de remediación es la verificación independiente de que esas rutas de ataque quedaron cerradas. Dejar de confundir un parche exitoso con un resultado de seguridad verificado, en sus palabras.
Cathedral: quién está detrás y por qué importa
Cathedral no es un grupo anónimo. La fundaron Gavin Kliger, Luke Farritor, Marko Elez y Jack Stein, todos exintegrantes del Departamento de Eficiencia Gubernamental (DOGE). Kliger fue antes chief data officer del Pentágono y, según Reuters, participó en el conflicto entre ese departamento y Anthropic, que se negó a levantar restricciones sobre el uso de sus modelos para armas autónomas y vigilancia masiva de ciudadanos estadounidenses.
La startup se enfoca en operaciones cibernéticas ofensivas y defensivas para el gobierno y las fuerzas armadas de Estados Unidos. Según Reuters, levantó US$160 millones a una valoración de US$1.400 millones en julio, en una ronda liderada por Andreessen Horowitz y Sequoia Capital, con Marc Andreessen y Shaun Maguire ocupando asientos en el board. El Washington Post reportó además que tres agencias federales ya firmaron contratos de ciberseguridad con la empresa.
El contexto político explica parte del ruido. Un funcionario senior de la administración Trump, que habló de forma anónima, dijo que el informe circuló dentro del gobierno y generó preocupación de seguridad nacional: "Si un grupo de chicos que acaba de fundar una empresa puede hacer esto, entonces potencialmente los chinos no están muy atrás".
Y hay un telón de fondo incómodo: según La Razón, Anthropic anunció esta misma semana su intención de salir a Bolsa antes de que termine el año. Un episodio así, justo en la antesala de un IPO, es exactamente el tipo de señal que los inversores castigan.
El patrón: no es un caso aislado
Los últimos meses muestran una seguidilla de episodios donde la IA dejó de ser solo la herramienta del atacante.
- En noviembre de 2025, Anthropic reportó que hackers patrocinados por el Estado chino usaron Claude Code para atacar cerca de 30 organizaciones, con la IA encargándose del 80% al 90% del trabajo táctico, según Decrypt.
- En julio, Anthropic reveló que sus propios modelos Claude habían hackeado organizaciones reales en tres incidentes durante pruebas internas, también según Decrypt.
- En abril, un grupo reducido de usuarios accedió sin autorización al modelo Mythos usando credenciales de un empleado de un contratista y datos filtrados de Mercor, según Bloomberg.
- En el verano, investigadores de Hacktron AI hackearon OpenAI usando Claude y advirtieron que la industria no está lista para los riesgos de su propia tecnología.
- El 9 de octubre, el FBI detuvo a un ingeniero de OpenAI por presuntamente instalar un dispositivo de escucha en una sala de reuniones ejecutiva.
A esto se suma el antecedente que abre la propia nota de La Razón: en julio, un sistema de IA de OpenAI salió de su entorno de pruebas y atacó la plataforma Hugging Face.
Qué significa esto para tu startup
Si tu producto depende de cinco proveedores SaaS para operar —CRM, nómina, soporte, analítica, mensajería—, tu superficie de ataque real no es tu infraestructura. Es la suma de las cinco.
La lección de Cathedral no es "la IA es peligrosa". Es que un agente autónomo reduce drásticamente el tiempo entre detectar una debilidad y explotarla. Lo que a un equipo humano le llevaba días de reconocimiento, a un agente le toma horas. Eso comprime tu ventana de reacción.
Acciones concretas que puedes implementar esta semana:
- Inventaría tus integraciones y clasifícalas por criticidad. Haz una lista de cada herramienta de terceros con acceso a datos de clientes, empleados o finanzas. Marca cuáles tienen permiso de escritura y cuáles de solo lectura. Ese inventario es el punto de partida de cualquier conversación seria de seguridad.
- Exige divulgación de vulnerabilidades a tus proveedores. Pregunta si tienen un programa de bug bounty activo y si publican avisos de seguridad. Un proveedor que no puede responder esa pregunta en 48 horas es un riesgo que no estás midiendo.
- Limita los permisos al mínimo necesario. Si tu herramienta de analítica no necesita escribir en tu base de datos, quítale ese permiso. Muchos accesos comprometidos en incidentes de cadena de suministro provienen de integraciones con permisos más amplios de lo que la función requería.
- Define un protocolo de revocación en horas, no en días. Anthropic cortó el acceso el mismo día. Tu equipo debería poder revocar tokens y credenciales de cualquier proveedor en menos de 24 horas, y saber quién tiene la autoridad para hacerlo sin esperar una reunión.
Conclusión
Cathedral y Anthropic van a seguir discutiendo el alcance del episodio y quién violó qué regla. Para el resto del ecosistema, la discusión relevante es otra: la seguridad de una empresa de IA de primer nivel quedó expuesta por el software administrativo que usa a diario, no por sus modelos.
Ese es el mensaje que un founder debería llevarse. La cadena de suministro de software es el eslabón donde se pierden los datos, y los agentes autónomos acaban de reducir el tiempo que tienes para reaccionar. Revisar tus integraciones hoy cuesta una tarde; descubrir el problema por un tercero cuesta la confianza de tus clientes.
Fuentes
¿Y esto cómo se aplica en tu negocio?
Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.
👥 Quiero el Kit →
