La IA hackeó Anthropic: 12 horas para llegar a los secretos corporativos
La startup estadounidense de IA Cathedral afirmó que sus agentes autónomos de IA penetraron en los sistemas internos de Anthropic —la empresa que creó el chatbot Claude— en menos de 12 horas. Durante el ataque, llevado a cabo en el marco de un programa de búsqueda de vulnerabilidades, los investigadores accedieron a datos confidenciales de empleados y a comunicaciones internas. Anthropic confirmó el incidente, pero subrayó que el número de sistemas afectados fue limitado.
Cathedral fue fundada por antiguos participantes de DOGE, una iniciativa estadounidense creada para reducir el gasto público y la burocracia, así como para modernizar la administración y las tecnologías públicas. Actualmente, la startup trabaja en ciberseguridad ofensiva y defensiva para las fuerzas armadas y los organismos gubernamentales estadounidenses. Entre sus fundadores figuran Gavin Kliger, antiguo especialista jefe de datos del Pentágono; Luke Farritor, conocido por utilizar el aprendizaje automático para descifrar antiguos papiros romanos; Marko Elez, ex empleado de SpaceX; y Jack Stein, que antes de DOGE trabajaba como banquero de inversión en Salem Partners.
Anthropic lleva a cabo en la plataforma HackerOne un programa de recompensas por vulnerabilidades dividido en dos partes. La primera se centra en los puntos débiles técnicos de los sistemas de la empresa. La segunda, disponible solo por invitación, propone a los investigadores buscar formas universales de eludir las restricciones de seguridad de Claude: los llamados ataques de jailbreak.
Según Cathedral, primero sus especialistas intentaron durante varios días penetrar manualmente en los sistemas de la empresa, sin éxito. Después recurrieron a agentes de IA: encontraron una vía de acceso en menos de 12 horas, aprovechando vulnerabilidades de software corporativo de terceros. En otras palabras, el objetivo no fue el propio Claude, sino los puntos débiles de los proveedores de software cuyos productos se utilizaban dentro de Anthropic.
Una vez dentro, los agentes accedieron a transcripciones de reuniones, datos salariales y ofertas de empleo, así como a mensajes de Slack. Según la información disponible, no quedaron expuestas las conversaciones de los empleados con Claude.
Anthropic comunicó que se vio afectado un conjunto limitado de sistemas de ventas, recursos humanos e informática, además de los datos de contacto y los registros básicos de las cuentas de algunos clientes y socios. No se robaron el código fuente ni los pesos de los modelos de IA —los parámetros obtenidos durante su entrenamiento—. La empresa declaró a The Washington Post que sus sistemas de monitorización detectaron parte de la actividad de Cathedral antes incluso de que la startup informara del incidente, y que el acceso se bloqueó ese mismo día.
Según Gizmodo, Anthropic acusó a Cathedral de incumplir las normas del programa: supuestamente, la startup no reveló por completo el alcance de su actividad. No está claro si Anthropic pagará una recompensa por las vulnerabilidades detectadas; la publicación apunta a que la disputa podría poner en duda el pago.
El incidente se produjo en un momento delicado para Anthropic: la empresa se prepara para una oferta pública inicial (OPI) y, según la publicación, su valoración asciende a 1.400 millones de dólares. Una filtración de datos —incluso como resultado del trabajo de investigadores que informaron del problema— difícilmente ayuda a la empresa a parecer fiable ante los posibles inversores.
El informe de Cathedral citado por The Washington Post sostiene que las vulnerabilidades del software corporativo corriente pueden poner en peligro la infraestructura incluso de las organizaciones más avanzadas. Un alto cargo anónimo de la Administración de Donald Trump, citado por The Independent, afirmó que, si una pequeña empresa recién creada había sido capaz de hacerlo, China también podría tener potencialmente capacidades similares.
Los expertos en ciberseguridad señalaron que el mecanismo del ataque no era novedoso. Jacob Krell, director sénior de soluciones de IA segura y ciberseguridad en Suzu Labs, afirmó que, si los proveedores externos suponen un riesgo para las empresas en general, Anthropic no es una excepción. Según él, el nivel de protección de una organización está limitado por el más débil de sus proveedores conectados, y el equipo de ingeniería de la propia empresa no puede eliminar por completo ese riesgo.
Darin Fredde, director sénior de marketing técnico en Ridge Security, elogió a Anthropic por detectar parte de la actividad y limitar el acceso con rapidez. Sin embargo, subrayó que el resultado real de la protección se confirma mediante una verificación independiente de que las vías vulnerables han quedado cerradas. Instalar una corrección no es lo mismo que demostrar que el sistema es seguro: de lo contrario, la empresa se limita a cerrar la puerta principal con la esperanza de que nadie haya encontrado una llave de repuesto.
PEREC.RU
En la ciberseguridad corporativa rige desde hace tiempo una curiosa ley: cuanto más presume una empresa de tecnología avanzada, más probable parece que entre bastidores todo dependa de programas corrientes, contraseñas y acuerdos con proveedores. Rara vez se los muestra a los inversores en las presentaciones: esos protagonistas no tienen demostraciones espectaculares. Pero a veces son ellos quienes acaban haciendo de puerta principal.
La historia resulta especialmente elocuente mientras la empresa se prepara para salir a bolsa. Antes de una OPI, la compañía no vende solo un producto, sino también la imagen de un futuro bajo control: aquí hay tecnología compleja, gente inteligente y riesgos controlados. Y entonces resulta que el riesgo llegó a través de software corporativo estándar: esa capa invisible a la que viene bien considerar responsabilidad ajena hasta que empieza a abrir puertas.
Ahora las partes tienen dos versiones de los problemas. Anthropic subraya que limitó rápidamente el acceso y que los activos clave no se vieron afectados. Cathedral, a juzgar por la acusación de incumplir las normas del programa, quizá no contó con todo detalle el alcance de sus acciones. En este cruce de reproches, cada parte defiende no solo la seguridad, sino también su propia reputación: una, ante los inversores; la otra, ante sus clientes actuales y futuros.
Es significativo que la recompensa por descubrir una vulnerabilidad también se haya convertido en parte de la historia. Los programas de bug bounty existen para que los investigadores comuniquen los problemas, en vez de venderlos a quienes no se andarían con miramientos. Pero las normas de estos programas convierten la confianza en un contrato con letra pequeña: si las partes discuten sobre si el ataque se reveló con suficiente detalle, el resultado útil acaba de pronto acompañado por la pregunta de quién le debe qué a quién.
No hace falta concluir que la IA ya hackea por su cuenta todo lo que encuentra. Las vulnerabilidades estaban en software de terceros y los agentes aceleraron la búsqueda de una vía de entrada. Es menos cinematográfico que una rebelión de las máquinas y mucho más útil para cualquier directivo: la automatización no elimina un problema antiguo, sino que ayuda a detectar más deprisa lo que la gente no vio o no tuvo tiempo de comprobar.
La advertencia sobre China añade dramatismo geopolítico, pero no cambia la esencia cotidiana del asunto. Si la cadena de proveedores es débil, el nombre rimbombante de una empresa no la convierte en una fortaleza. Y la verificación independiente de las correcciones que recuerdan los especialistas es la parte aburrida del trabajo que normalmente se querría sustituir por una solemne declaración de que ya está todo arreglado.
Al final, el mercado recibe una puesta en escena conocida: primero, la confianza en la propia excepcionalidad; después, el descubrimiento de una vulnerabilidad corriente; y, por último, declaraciones de control y una disputa sobre el procedimiento. Mientras tanto, queda a un lado la pregunta principal: ¿quién revisa sistemáticamente todo el zoo de servicios conectados antes de que el próximo intermediario resulte más importante que el propio equipo de seguridad? La respuesta, por regla general, no cabe en una presentación para una OPI.
