Anthropic bug HERMES.md: $200 extra en facturación

¿Qué pasó con el bug de facturación de Anthropic?

Un usuario de Claude Code perdió $200 en créditos extra en cuestión de días mientras su plan Max 20x permanecía subutilizado al 13% de capacidad semanal. La causa: una cadena de texto aparentemente inocua, ‘HERMES.md’, en sus mensajes de commit de Git activó un interruptor oculto en el sistema de facturación de Anthropic.

Este incidente expone una vulnerabilidad crítica para founders que dependen de APIs de IA: la opacidad en la lógica de facturación puede generar sobrecargos masivos sin alertas visibles en el dashboard. Lo más preocupante es que Anthropic inicialmente negó el reembolso y respondió con mensajes automatizados de soporte, obligando al usuario a diagnosticar el problema por su cuenta.

¿Cómo funciona técnicamente este bug?

El bug se desencadenaba cuando la cadena ‘Hermes.md’ (en mayúsculas) aparecía en cualquier parte del contexto del prompt, incluyendo el historial de commits de Git. Esto ocurría incluso si el archivo no existía físicamente en el proyecto.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

El sistema de facturación de Claude Code routaba silenciosamente estas requests a un modo de cobro costoso, desvinculado de las métricas reales de consumo. El usuario veía en su dashboard un uso normal del plan contratado, mientras los créditos extra se agotaban en segundo plano sin notificación alguna.

Este tipo de comportamiento es particularmente peligroso para startups porque:

No hay alertas tempranas de gasto anómalo
El dashboard muestra información inconsistente con la facturación real
El soporte inicial responde con scripts automatizados que no resuelven el problema

¿Ha respondido Anthropic oficialmente?

Anthropic confirmó el bug tras el diagnóstico del usuario, pero la respuesta inicial fue problemática. La empresa mantuvo su postura de no reembolsar los cargos generados por el error, generando frustración en la comunidad de desarrolladores.

Este incidente marca el segundo desliz de seguridad de Anthropic en cuestión de días. Semanas antes, la compañía había liberado accidentalmente 1.900 archivos con 512.000 líneas de código del sistema detrás de Claude Code, aunque según reportes no se comprometieron datos sensibles.

La combinación de estos incidentes plantea preguntas sobre los procesos de QA y seguridad en una de las empresas de IA más valoradas del mercado.

¿Existen casos similares en el ecosistema de IA?

Si bien no se identifican bugs idénticos al de HERMES.md, el patrón de cargos «fantasma» en APIs de modelos grandes es una queja recurrente en la comunidad de desarrolladores. La complejidad de los sistemas de facturación basados en tokens, requests y contextos variables crea oportunidades para errores difíciles de detectar.

Lo que diferencia este caso es la especificidad del trigger: una cadena de texto particular que activa comportamientos anómalos. Esto sugiere que existen «interruptores ocultos» en la lógica de routing de requests que ni siquiera los equipos de soporte conocen completamente.

¿Qué significa esto para tu startup?

Si tu startup depende de APIs de IA para operaciones críticas, este incidente debería activar todas tus alarmas. No se trata solo de un bug aislado: es una lección sobre gestión de riesgos en infraestructura de terceros.

Aquí tienes 5 acciones concretas que puedes implementar esta semana:

Configura alertas de gasto en tiempo real: No esperes a la factura mensual. Establece límites estrictos en el dashboard de tu proveedor de IA con notificaciones al 50%, 75% y 90% del presupuesto mensual.
Implementa logging detallado de todos los prompts: Guarda historiales completos de qué se envía a la API, incluyendo contextos de Git, variables de entorno y cadenas que podrían activar comportamientos inesperados.
Prueba en sandbox antes de producción: Crea un entorno de prueba con datasets variados que incluyan strings comunes (nombres de archivos, patrones de commit, etc.) para validar que la facturación se comporta como esperas.
Mantén documentación de uso vs. cargos: Registra diariamente el consumo real (tokens, requests) y compáralo con los cargos reportados. Cualquier discrepancia debe investigarse inmediatamente.
Diversifica proveedores de IA: No construyas tu stack tecnológico dependiente de un solo proveedor. Ten alternativas listas para migrar si surgen problemas de facturación, disponibilidad o cambios drásticos en pricing.

¿Cómo proteger tu startup de errores de facturación en SaaS?

Más allá del caso específico de Anthropic, hay principios que aplican a cualquier SaaS que uses:

1. Auditoría semanal de facturación

Designa a alguien en tu equipo (o hazlo tú mismo como founder) para revisar cada semana los cargos vs. uso real. Los bugs de facturación se detectan más rápido cuando hay revisión constante.

2. Exige transparencia contractual

Antes de comprometerte con un proveedor, revisa los términos de reembolso por errores del sistema. Muchos SaaS tienen cláusulas que los eximen de responsabilidad por bugs de facturación.

3. Construye con salida en mente

Diseña tu arquitectura para que puedas cambiar de proveedor de IA sin reescribir todo tu código. Usa capas de abstracción que te permitan swappear entre Anthropic, OpenAI, Google o modelos open-source según convenga.

4. Participa en comunidades de usuarios

El bug de HERMES.md se hizo visible porque un usuario lo reportó en GitHub y la comunidad lo amplificó. Únete a foros, Discords y grupos donde otros founders comparten experiencias con las mismas herramientas que usas.

Conclusión

El bug de HERMES.md en Anthropic no es solo una anécdota técnica: es un recordatorio de que la infraestructura de IA sigue siendo inmadura en aspectos críticos como facturación, transparencia y soporte. Para founders que construyen sobre estas APIs, la lección es clara: confía, pero verifica.

Los $200 perdidos en este caso podrían haber sido miles si el bug no se detectaba a tiempo. Tu startup no puede permitirse asumir que los sistemas de facturación de terceros son infalibles. Implementa monitoreo proactivo, diversifica riesgos y mantén documentación detallada.

La IA es una herramienta poderosa para escalar startups, pero como toda herramienta poderosa, requiere gestión activa de riesgos. No seas el próximo caso de estudio en GitHub issues.