Anthropic publica su informe de septiembre sobre mal uso de Claude: las llaves de API robadas salieron de los clientes, no de Anthropic

Anthropic publicó el 10 de septiembre de 2026 la edición de septiembre de su informe de inteligencia de amenazas, un documento que detalla cómo detectó e interrumpió intentos de usar Claude para actividades maliciosas. El informe cubre actividad de los ocho meses previos, entre diciembre de 2025 y agosto de 2026, y organiza los casos en siete áreas de daño. La cobertura internacional fue inmediata y llegó a medios como The New York Times, The Wall Street Journal, Axios y Politico.

Para quien lidera un equipo comercial o de operaciones en Chile y Latinoamérica, el informe importa por una razón muy concreta que no aparece en los titulares: el punto de entrada de buena parte de los ataques no fue la infraestructura de Anthropic, sino las credenciales que las empresas clientes tenían guardadas en sus propios entornos.

¿Qué documenta el informe de septiembre de 2026?

Anthropic agrupa la actividad detectada en siete categorías: operaciones cibernéticas, operaciones de influencia, vigilancia, estafas y fraude, uso biológico indebido, desarrollo de armamento convencional y destilación ilícita de modelos. Los casos involucran a los modelos Claude Haiku, Sonnet y Opus.

En operaciones cibernéticas, la compañía describe grupos que automatizaron flujos completos de intrusión: reconstrucción automática de malware cuando era detectado, escaneo masivo de aplicaciones móviles en busca de secretos, y desarrollo de exploits asistido por agentes. Uno de los grupos identificados atacó cerca de 30 empresas de inteligencia artificial en aproximadamente cuatro días, con demandas de extorsión de entre 1,5 y 2,5 millones de dólares. Anthropic señala que ese grupo persiguió acceso a un modelo Claude previo a su lanzamiento a través de más de una docena de vías, y que nunca lo consiguió.

Una de las frases con que Anthropic resume la tendencia es directa: «los ataques sofisticados ya no requieren atacantes sofisticados».

¿Por qué las llaves de API robadas son el punto débil de las empresas?

Este es el hallazgo con consecuencias operativas más inmediatas. En los casos documentados, las llaves de API que los atacantes usaron para operar provenían de los entornos de clientes de Anthropic. El informe subraya en más de una ocasión que los sistemas propios de Anthropic no fueron comprometidos.

La mecánica es simple y por eso preocupa. Una llave de API filtrada en un repositorio, en una variable de entorno mal protegida o en una herramienta interna le entrega a un tercero tres cosas a la vez: capacidad de cómputo pagada por la empresa víctima, acceso al modelo sin pasar por sus propios controles, y una capa de anonimato, porque el tráfico malicioso queda registrado bajo la cuenta de la empresa. Anthropic describe al menos una campaña que operó durante un mes completo usando exclusivamente llaves robadas.

Para las empresas B2B de Chile y Latinoamérica que están conectando agentes a su CRM, a su ERP o a sus herramientas de soporte, esto reordena la conversación de seguridad. El riesgo relevante no es que el proveedor del modelo sea vulnerado. Es que las credenciales que tu propio equipo generó para conectar el agente queden expuestas.

¿Qué es la destilación ilícita y por qué Anthropic la denuncia?

El informe dedica una sección a lo que llama destilación ilícita: el uso de cuentas fraudulentas para extraer de forma masiva las respuestas y el razonamiento de un modelo, con el fin de entrenar otro modelo con esa salida. Desde su primera divulgación pública en febrero, Anthropic afirma haber interrumpido ataques de este tipo provenientes de siete laboratorios con base en China.

El caso de mayor volumen que reporta involucra a Alibaba y su equipo de Qwen, con más de 151 millones de intercambios observados entre mayo y julio de 2026, un pico cercano a los 3 millones de intercambios diarios y más de 3.500 cuentas fraudulentas. También describe casos atribuidos a Moonshot AI, con cerca de 300.000 solicitudes de sus propios clientes retransmitidas a Claude en diez días, a DeepSeek, con más de 12,1 millones de intercambios en catorce días de julio, y a Zhipu, Xiaomi, SenseTime y MiniMax.

Hay un efecto secundario que rara vez se comenta y que Anthropic sí levanta: cuando un proveedor retransmite en silencio el tráfico de sus usuarios hacia un modelo de terceros, los datos de esos usuarios terminan en un proveedor con el que nunca contrataron. Anthropic sostiene que estas prácticas probablemente son inconsistentes con las leyes de privacidad y con los propios términos de servicio de esos laboratorios.

¿Qué contramedidas anunció Anthropic?

La compañía describe varias respuestas técnicas. Reforzó los clasificadores contra extracción adversarial junto con el lanzamiento de Fable 5. Claude ahora resume su razonamiento interno antes de responder, lo que reduce la superficie de extracción. Con Fable 5.1 introdujo lo que llama razonamiento preservado, que impide que cuentas nuevas de API alteren el prompt de sistema, las herramientas o los mensajes previos al razonamiento. Además sumó verificación de identidad para casos sospechosos de reventa o de operación desde regiones no soportadas.

Análisis de Revenue Hub

La lectura de negocio de este informe no es sobre geopolítica ni sobre laboratorios chinos. Es sobre gobierno de credenciales. Si tu empresa en Chile o Latinoamérica ya conectó agentes a su stack comercial durante el último año, es muy probable que tengas llaves de API repartidas entre un CRM, un par de automatizaciones, algún script interno y la herramienta que un analista configuró un viernes por la tarde. Ninguna de esas llaves tiene dueño formal, rotación programada ni tope de gasto. Ese es exactamente el escenario que el informe describe como puerta de entrada.

La decisión que este informe fuerza es de inventario, no de compra. Antes de sumar el próximo agente, conviene responder tres preguntas: cuántas llaves de API activas existe hoy en la organización, quién es responsable de cada una, y qué límite de gasto tiene configurado cada una. Un tope de consumo por llave no evita el robo, pero convierte un incidente silencioso de un mes en una alerta de facturación en 48 horas. Es la contramedida más barata disponible y casi nadie la tiene activa.

El segundo punto es de arquitectura de proveedores. La sección de destilación deja claro que no todos los proveedores de modelos son lo que dicen ser, y que algunos intermediarios retransmiten tráfico hacia modelos distintos de los que ofrecen en su catálogo. Si tu empresa compra acceso a modelos vía un revendedor por precio, vale la pena verificar contractualmente a qué modelo llega realmente la consulta y dónde quedan almacenados los datos. Puedes revisar más análisis sobre gobernanza y adopción de agentes en nuestra sección de IA en ventas y en el blog de Revenue Hub.