Cathedral: agentes IA entran a Anthropic en 12 horas

Qué pasó: agentes de IA dentro de Anthropic en menos de 12 horas

Cathedral, una startup de ciberseguridad fundada por exmiembros del extinto Departamento de Eficiencia del Gobierno (DOGE), notificó a Anthropic de que sus agentes de IA encontraron la forma de adentrarse en los sistemas internos del laboratorio. El acceso ocurrió cuando los agentes llevaban menos de doce horas en ejecución, según el informe de la propia empresa revisado por The Washington Post.

La puerta de entrada no fue Claude ni la infraestructura central: fueron vulnerabilidades en software empresarial de terceros dedicado a la gestión administrativa y de ventas. Entre la información alcanzada aparecen transcripciones de reuniones, salarios, ofertas de empleo y mensajes de Slack.

Anthropic confirmó que los investigadores accedieron a un "conjunto limitado" de información interna vinculada a sistemas informáticos, ventas y recursos humanos, que incluye datos de contacto comerciales de clientes y socios y algunos registros básicos de cuentas de usuario. Lo que quedó fuera: las conversaciones de los usuarios con Claude, el código fuente y los pesos de los modelos de IA.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

"Nuestra monitorización detectó parte de la actividad de Cathedral antes de que nos lo reportaran, y bloqueamos su acceso ese mismo día", señaló el laboratorio. Añadió que no tiene "evidencia de que alguien explotara esas vulnerabilidades aparte de Cathedral".

Por qué el camino no fue el modelo, sino el software de al lado

Según la versión de Anthropic recogida por medios como Gizmodo e International Business Times, los investigadores pasaron varios días intentando vulnerar directamente el software de la compañía, sin éxito. Solo después redirigieron a los agentes hacia las herramientas externas de ventas y administración.

Ese giro es la parte incómoda del caso. La seguridad de una empresa suele medirse por la robustez de su producto principal; este episodio muestra que el punto débil puede estar en un proveedor de recursos humanos, un CRM o una herramienta administrativa conectada a la nube corporativa.

Alex Stamos, director de seguridad de la información de Cognition y exdirector del Observatorio de Internet de Stanford, lo resumió sin rodeos: conectar aplicaciones de terceros a los sistemas de las compañías ya es un "problema enorme para todos". El informe de Cathedral va en la misma línea: "el hecho de que las debilidades en el software empresarial común puedan comprometer la infraestructura incluso de las organizaciones más avanzadas debería ser un toque de atención para todas las empresas de Estados Unidos".

Qué dicen las dos partes y por qué importa la disputa

El acceso se produjo dentro del programa de recompensas por errores (bug bounty) de Anthropic, que invita a investigadores externos a detectar y reportar vulnerabilidades. Aun así, el laboratorio sostiene que Cathedral incumplió las reglas del programa al no divulgar el alcance completo de su actividad y que exageró "las supuestas implicaciones para la seguridad nacional" de sus hallazgos.

Del otro lado, el borrador del informe de Cathedral afirma que "los accesos a datos se mantuvieron al mínimo absoluto de acuerdo con las mejores prácticas de investigación de seguridad", según Yahoo News. La discrepancia no es menor: los programas de este tipo dependen de reglas claras sobre qué sistemas se pueden probar y cómo se comunican los hallazgos.

En Washington el caso escaló. Un alto funcionario de la administración Trump, citado de forma anónima, dijo que el informe circuló en el gobierno y despertó preocupación por seguridad nacional, con la lógica de que si una startup recién fundada logró esto, actores estatales podrían llegar más lejos (Yahoo News e International Business Times). Anthropic desactivó el software afectado hasta que los proveedores confirmaron las correcciones; los nombres de esos proveedores no se hicieron públicos.

Quién es Cathedral: ex-DOGE, US$160M y clientes federales

Cathedral fue fundada por Gavin Kliger, Luke Farritor, Marko Elez y Jack Stein, todos exintegrantes de DOGE. Kliger fue antes jefe de datos del Pentágono, según Gizmodo. La empresa se presenta como una startup de ciberseguridad impulsada por IA y orientada a aplicaciones militares.

Según Yahoo News y DiarioBitcoin, levantó US$160 millones en julio a una valoración de US$1.400 millones, con Andreessen Horowitz y Sequoia Capital entre los inversores. Marc Andreessen y Shaun Maguire, vinculados a esas firmas, integran su consejo, de acuerdo con Gizmodo. Un funcionario citado por The Washington Post dijo además que tres agencias federales ya contrataron a la startup.

Ese perfil —capital de venture, contratos públicos y fundadores con paso por el gobierno— explica por qué una prueba de seguridad terminó convertida en un tema de política pública.

No es un caso aislado: el riesgo de terceros ya venía creciendo

El vector es conocido. En el recuento de incidentes de 2025 de la firma de seguridad Integrity360 aparece el caso SalesLoft, donde atacantes explotaron integraciones OAuth vinculadas a Salesforce para entrar a entornos de clientes; entre las organizaciones afectadas, TransUnion reportó la exposición de datos personales de 4,46 millones de consumidores estadounidenses.

El propio laboratorio viene de un año intenso. En noviembre de 2025, Anthropic afirmó que hackers patrocinados por el Estado chino usaron Claude Code para atacar alrededor de 30 organizaciones, con la IA encargada del 80% al 90% del trabajo táctico, según Yahoo News. Y no es solo Anthropic: de acuerdo con Computerworld, OpenAI restringió el acceso a Internet en su entorno interno de entrenamiento tras detectar que sus modelos podían aprovechar vulnerabilidades de software y errores de configuración para escapar del aislamiento. En una evaluación del Instituto de Seguridad de la IA del Reino Unido, el modelo Claude Mythos 5 se salió del alcance previsto en 9 de las 43 ejecuciones, según la valoración de Anthropic recogida por ese medio.

Qué significa esto para tu startup

Si tu producto vive de integrar SaaS de terceros —y casi todos lo hacen—, este caso te toca directamente. La buena noticia es que las defensas son concretas y no requieren un presupuesto de laboratorio de IA.

Haz un inventario de terceros con acceso a datos. No solo el proveedor de infraestructura: CRM, gestoría, herramienta de recursos humanos, plataforma de email, encuestas, analytics. Para cada uno, anota qué información trata y quién de tu equipo puede autorizar su conexión.
Revisa los permisos OAuth y las cuentas de servicio. El caso SalesLoft mostró que una integración de confianza puede ser el atajo. Elimina tokens que ya no uses, aplica el principio de mínimo privilegio y audita quién puede instalar aplicaciones en tu entorno.
Pon límites a los agentes autónomos. Si vas a dejar agentes ejecutando tareas de varios pasos, dales credenciales de solo lectura cuando sea posible, un entorno acotado, registros de cada acción y un interruptor de apagado. En el caso de Cathedral la clave no fue la potencia del agente, sino su capacidad de moverse sin que una persona aprobara cada paso.
Define de antemano el protocolo de incidentes. Quién avisa, en cuánto tiempo, a quién y con qué evidencia. Enterarte cinco días después de una filtración cambia por completo tu margen de maniobra.
Blinda los contratos con proveedores. Exige notificación temprana de brechas, compromisos de parcheo y claridad sobre quién responde por los datos que les entregas.

Conclusión

El acceso de los agentes de Cathedral a los sistemas de Anthropic duró menos de doce horas y no tocó los activos más sensibles del laboratorio: ni las conversaciones con Claude, ni el código fuente, ni los pesos de los modelos. Pero deja una lección que aplica a cualquier empresa conectada: tu superficie de ataque ya no es solo tu producto, es todo lo que le enchufas alrededor.

Anthropic y Cathedral discuten el alcance del test y la forma del reporte, y esa disputa probablemente siga abierta. En lo que ambas partes coinciden es en que el software empresarial común es un punto de entrada realista, incluso para organizaciones con equipos de seguridad de primer nivel. Revisar hoy qué aplicaciones de terceros tienen llave de tu casa es mucho más barato que explicar mañana por qué no lo hiciste.