Los agentes de IA de una startup de seguridad no necesitaron atacar Claude para entrar en Anthropic: les bastó con el software de ventas, administración y recursos humanos que la empresa tenía conectado a sus sistemas internos. Anthropic confirma el acceso a parte de sus sistemas de ventas, RR. HH. e IT; lo que todavía se discute es cuánto duró y hasta dónde llegó.
Qué ha pasado
Cathedral, una startup de ciberseguridad fundada por antiguos empleados de DOGE que vende herramientas de seguridad con IA a gobiernos y empresas, participó en el programa de bug bounty de Anthropic. Según un borrador de su informe que revisó The Washington Post (publicado el 26 de octubre de 2026), sus agentes, que funcionaban con modelos avanzados, encontraron en menos de doce horas caminos hacia transcripciones de reuniones, datos salariales, ofertas de empleo y mensajes de Slack.
La entrada no fue por el código de Anthropic, sino por aplicaciones externas de administración y ventas integradas con sus sistemas. Según Logan Graham, del equipo de red team de Anthropic, Cathedral pasó varios días sondeando los sistemas propios de la empresa antes de cambiar de objetivo hacia ese software de terceros, donde encontró dos vulnerabilidades. Solo reportó una; la segunda la encontró y parcheó Anthropic por su cuenta.
| Cathedral | Anthropic | |
|---|---|---|
| Duración | Menos de 12 horas | Varios días de intentos |
| Alcance | Transcripciones, salarios, ofertas, Slack | Parte de ventas, RR. HH. e IT: contactos de clientes y socios, datos básicos de cuentas |
| Chats de Claude, código y pesos | — | Nunca expuestos |
| Reglas del bug bounty | Prácticas estándar de investigación | Divulgación incompleta; atacar a proveedores y extraer datos excede el safe harbor |
La respuesta de Anthropic fue la de manual: cerró los puntos de acceso el mismo día que detectó la intrusión, desactivó las aplicaciones de terceros hasta que se corrigió el fallo y avisó a las autoridades federales de EE. UU.
Por qué importa más allá de Anthropic
Lo llamativo no es que una empresa de IA tenga un incidente, sino por dónde vino. Anthropic es probablemente la organización mejor preparada para defenderse de ataques dirigidos por IA, y aun así el eslabón débil fueron integraciones de SaaS que casi nadie trata como parte de su superficie de ataque. Alex Stamos, responsable de seguridad de Cognition, lo resumió al Post: las aplicaciones de terceros integradas son un problema grande en todo el sector.
Para quien opera sistemas, esto deja tres lecciones bastante directas:
- Las integraciones son producción. Una app de CRM o de RR. HH. con un token que lee Slack o el directorio tiene tanto alcance como un servicio interno, pero rara vez pasa por la misma revisión, rotación de credenciales o monitorización.
- El coste del reconocimiento ha caído. Graham avisa de que los atacantes ya tienen agentes probando dependencias externas de forma continua, y que modelos entre media y una generación por detrás de la frontera bastan para hacerlo. Lo que antes requería un equipo durante semanas ahora es un proceso que corre solo.
- Atacarse a uno mismo, siempre. La receta de Graham es pentesting interno continuo con los mismos modelos y, a más largo plazo, reescribir software con verificación formal, que según él la IA hace por fin rentable. "Probablemente quieras hacerte red team todo el tiempo", escribió.
El caso también deja una pregunta incómoda para los programas de bug bounty: qué pasa cuando el investigador es un agente que encadena proveedores en horas y el safe harbor se escribió pensando en personas probando un dominio concreto. Que Anthropic y Cathedral discrepen sobre si se respetaron las reglas sugiere que muchos programas tendrán que precisar si los proveedores conectados entran o no en el alcance.
Lo que falta por saber
El alcance real sigue en disputa. Will Depue, exempleado de OpenAI, afirma, citando fuentes que considera fiables, que Cathedral obtuvo acceso de administrador a todo el Slack de Anthropic y podía entrar en cualquier cuenta. Graham lo niega, sin dar detalles por la sensibilidad del asunto. Tampoco se han publicado los nombres de los proveedores afectados ni las vulnerabilidades concretas, que es justo lo que permitiría a otras empresas comprobar si usan el mismo software.
Fuentes
- AI agents hacked Anthropic, maker of arguably the most capable AI models for cyberdefense, The Decoder, 28 de octubre de 2026.
- Researchers at cybersecurity start-up Cathedral got inside Anthropic, The Washington Post, 26 de octubre de 2026.