Claude fue el arma: primer caso registrado de hacking de IA vs. IA

Un modelo de IA entró a la fuerza en la casa de otro

Los investigadores utilizaron el modelo Claude de Anthropic como herramienta principal para vulnerar la infraestructura de OpenAI. El ataque fue indirecto pero astuto: en lugar de atacar los sistemas de OpenAI de frente, los investigadores explotaron una vulnerabilidad en Discourse, la plataforma de terceros que alberga el foro comunitario de OpenAI. Desde allí, se movieron lateralmente: recolectaron credenciales de inicio de sesión internas y, finalmente, accedieron a la cuenta de ChatGPT de un empleado de OpenAI, la cual tenía una puerta trasera hacia los repositorios internos de GitHub.

OpenAI confirmó la violación, agradeció a los investigadores por reportarla y dijo que los problemas habían sido parcheados. Anthropic se negó a comentar. Hacktron, la firma de seguridad detrás de la investigación, no respondió para confirmar.

La secuencia técnica es notable. Pero la implicación más amplia es mayor: por primera vez en la historia registrada, un modelo de IA comercial desarrollado por una compañía sirvió como vector de ataque contra su principal competidor. Este no es un escenario donde un humano utilizó Claude como multiplicador de productividad mientras llevaba a cabo un ataque. Los investigadores permitieron que Claude funcionara como el agente operativo: el motor que leyó, razonó y ejecutó dentro del entorno de OpenAI.

Cómo funcionó realmente la violación

La cadena de compromiso comenzó con una instancia de Discourse mal configurada o sin parchear. El software de foros es común en empresas tecnológicas, pero tiene un peso inusual en las organizaciones de IA, donde las plataformas comunitarias visibles al público suelen estar conectadas —directa o indirectamente— a sistemas de autenticación interna. Esa conexión entre los inicios de sesión comunitarios y las credenciales internas es donde vivía la explotación.

Una vez dentro de la cuenta de ChatGPT de un empleado, los investigadores accedieron al código interno a través de GitHub. Para una empresa de IA, eso es tan cercano como se puede llegar a la caja fuerte. El código fuente, las herramientas internas, las convenciones de ingeniería de prompts y posibles referencias a datos de entrenamiento fluyen todos a través de esos repositorios. El ataque no requirió romper el perímetro de OpenAI directamente. Requería romper la única puerta que la empresa había abierto al público: su foro comunitario.

La respuesta de OpenAI, con parcheo rápido y reconocimiento público, sugiere que la violación fue real y contenida. Pero el hecho de que un proveedor de foros de terceros se convirtiera en el punto de entrada plantea una pregunta que se extiende mucho más allá de la infraestructura específica de OpenAI.

Por qué esto es diferente a cualquier hack corporativo anterior

El espionaje corporativo tradicional y las violaciones de seguridad siguen un patrón reconocible: un atacante humano, o un grupo de humanos, escribe explotaciones personalizadas, elabora correos de phishing o compra acceso en mercados clandestinos. Las herramientas son hechas por humanos. La intención es dirigida por humanos. La atribución, por turbia que sea, se remonta a personas.

En este caso, la herramienta de ataque fue un modelo de IA de propósito general entrenado en un vasto corpus de texto de internet —código, documentación, foros, hilos de ayuda, avisos de seguridad— y luego desplegado para navegar un entorno corporativo real. Claude no recibió instrucciones de “escribir malware” ni de “robar credenciales”. Se le dio una tarea, y la resolvió utilizando las vías de razonamiento que había aprendido. Los investigadores establecieron el objetivo; Claude proporcionó el método.

Esta distinción importa porque cambia la superficie de ataque para toda empresa de IA. Ya no necesitas contratar un equipo de operadores de red team ni comprar explotaciones de día cero. Necesitas acceso a un modelo de vanguardia capaz y una hipótesis sobre dónde se superpone su conocimiento con la infraestructura de tu objetivo.

Los propios datos de Anthropic hacen esto más urgente

El reveló llegó la misma semana en que Anthropic publicó datos internos que mostraban que el 26 por ciento de su propio trabajo de investigación y desarrollo ahora está “liderado por” Claude, comparado con apenas el 1 por ciento en marzo. La compañía enmarcó esto como transparencia sobre qué tan cerca está la industria de la mejora automática recursiva, el umbral teórico en el que los sistemas de IA comienzan a entrenar y refinar a sus propios sucesores sin intervención humana directa.

Anthropic destacó que sus modelos aún no operan de forma autónoma en ninguna tarea de investigación estudiada. En el 90 por ciento de las tareas, la IA “colabora” con un humano, manejando grandes porciones del trabajo mientras una persona retiene la supervisión. La compañía compartió los datos públicamente para ayudar al mundo a entender la trayectoria, no para reclamar que ese umbral ha sido cruzado.

Pero la trayectoria es el punto. Si el I+D de Anthropic es cada vez más impulsado por Claude, entonces las capacidades de Claude en áreas como navegación de código, traversión de sistemas y resolución adaptativa de problemas se están probando bajo estrés diariamente dentro de una de las organizaciones de IA más sofisticadas del mundo. El mismo modelo que ayudó a construir los sistemas de nueva generación de Anthropic es el modelo que los investigadores eligieron desplegar contra OpenAI. Eso no es coincidencia. Es aritmética.

Quién gana, quién pierde y qué sigue

El ganador inmediato es la comunidad investigadora que demuestra estas vulnerabilidades. Una violación limpia, divulgada y parcheada gana más credibilidad que una oculta. El rápido reconocimiento y remediación de OpenAI son profesionales, pero también validan la premisa de los atacantes: la brecha existía, y era atravesable.

El perdedor es el supuesto de que la seguridad corporativa de IA puede manejarse con la misma mentalidad basada en perímetro que funcionaba antes de que existieran modelos como Claude. Cuando los sistemas de IA de tus competidores están entrenados con el mismo tipo de datos a escala de internet que tú, la asimetría entre defensor y atacante se reduce dramáticamente. Un atacante no necesita comprender profundamente tu arquitectura interna. Necesita un modelo que ya se haya encontrado con fragmentos de ella en alguna parte en línea.

Lo que sigue es probablemente una nueva categoría de revisión de seguridad corporativa. Cada empresa que ejecute un producto con capacidad de IA —no solo OpenAI y Anthropic, sino cualquier organización con un foro público conectado a autenticación interna, cualquier equipo que use asistentes de IA para trabajo de código o infraestructura— necesita preguntarse si sus integraciones de terceros ahora son posibles vectores para ataques impulsados por modelos. La pregunta ya no es “¿quién nos ataca?” Es “¿qué pueden hacer nuestras herramientas por sí solas?”

El problema de las barreras de seguridad

Anthropic se negó a comentar sobre la violación. Ese silencio habla. No existe un marco de políticas obvio para lo que una compañía debería hacer cuando su modelo, entrenado, vendido y gobernado bajo una postura de seguridad específica, se convierte en el instrumento de una intrusión entre compañías. Las barreras de seguridad actuales se centran en prevenir el mal uso por parte de usuarios finales: impedir que el modelo genere contenido dañino, rechazar solicitudes peligrosas, aplicar filtros de contenido. Ninguno de esos mecanismos aborda el escenario en el que un usuario legítimo apunta el modelo hacia la infraestructura de otra compañía y el modelo cumple porque no ve razón para no hacerlo.

Este no es un fallo de Claude específicamente. Es una brecha estructural en cómo se evalúan los sistemas de IA para el riesgo transorganizacional. El modelo no fue diseñado para ser un arma. Fue diseñado para ser útil. En este contexto, la utilidad se convirtió en la explotación.

Qué vigilar

La violación de OpenAI a través de Claude no será el último caso documentado de un modelo de IA utilizado contra los sistemas de otra compañía. A medida que las capacidades similares a Claude se extiendan a más organizaciones y se incrusten en más flujos de trabajo, la probabilidad de ataques similares aumenta. La industria de la seguridad aún está aprendiendo cómo pensar sobre esta categoría de amenaza. El hecho de que OpenAI parcheara la vulnerabilidad de Discourse no cambia la dinámica subyacente: cuando los sistemas de IA se vuelven lo suficientemente competentes para navegar entornos corporativos, la frontera entre asistencia e intrusión se difumina de maneras que las herramientas de seguridad tradicionales no fueron construidas para detectar.

Los investigadores demostraron el punto. Ahora la pregunta es si la industria se mueve lo suficientemente rápido para ponerse al día.