Ciento cincuenta y un millones de intercambios con Claude en menos de tres meses. Esa es la dimensión del mayor caso de extracción masiva de datos documentado hasta ahora contra un modelo de inteligencia artificial, protagonizado por el laboratorio Qwen de Alibaba y detallado en el informe de amenazas que Anthropic publicó esta semana.
Ocho meses de abusos contra Claude: espionaje, misiles y laboratorios chinos
El informe cubre de diciembre de 2025 a agosto de 2026 y clasifica los usos indebidos en siete categorías: operaciones cibernéticas, operaciones de influencia, vigilancia masiva, fraude, uso indebido en biología, armas convencionales y destilación no autorizada de modelos. Los modelos más afectados fueron Haiku, Sonnet y Opus. Los modelos Fable y Mythos, más recientes, aparecen solo en un caso de destilación.
Anthropic señala que el informe documenta usos indebidos novedosos, no los habituales.
Antes de seguir: llévate las herramientas y prompts listos para usar, GRATIS. Probados uno a uno y ordenadas por la tarea que quieres resolver: vídeo, imagen, voz, escribir, automatizar tu negocio, clientes, web. Es gratis y la lista crece cada semana.
Entras también en el boletín semanal de La Prensa IA. Te das de baja cuando quieras, con una palabra.
El bucle de malware que se reescribe solo para esquivar antivirus
El capítulo de ciberoperaciones arranca con el actor de habla rusa que Anthropic identifica como GTG-20006. Este grupo construyó un bucle de retroalimentación: agentes de IA comprobaban si el malware en uso era detectado por productos de seguridad y, cuando un antivirus lo marcaba, los propios agentes reescribían y recompilaban el código malicioso hasta que lograba eludir la detección.
El resultado práctico es que escribir nuevas firmas de detección deja de ser una ventaja defensiva si el atacante puede recorrer el ciclo de cambios más rápido de lo que los defensores pueden publicar actualizaciones.
El grupo apuntó a más de 20 organizaciones, entre ministerios de gobierno, servicios de inteligencia, embajadas y contratistas de defensa, con foco en Ucrania y Europa. También robó un SDK propietario completo para un sistema de visión de drones. En algunos casos, el acceso se obtuvo a través de proveedores de wifi de hoteles comprometidos, un método que Microsoft describió en julio de 2026 como CaptiveCrunch.
ShinyHunters y 1,8 millones de apps decompiladas en busca de credenciales
El colectivo ShinyHunters, al que Anthropic asigna el identificador GTG-50014, centró su actividad en la extracción industrial de credenciales. Uno de sus miembros descargó 1,8 millones de aplicaciones de Android, las decompiló y buscó secretos codificados en el código fuente.
Anthropic llama a esta técnica «vibe hacking»: el operador humano fija un objetivo aproximado y el modelo evalúa el entorno e itera hasta completar la tarea. Uno de los hackers del grupo cobró recompensas en HackerOne mientras extorsionaba simultáneamente a dos empresas.
151 millones de intercambios: la campaña de Qwen de Alibaba contra Claude
La destilación no autorizada, que consiste en extraer las capacidades de un modelo a escala industrial para entrenar otro, ocupa una parte central del informe. Anthropic identificó ataques de siete laboratorios chinos adicionales desde su primera divulgación pública en febrero de 2026.
La campaña más grande registrada hasta ahora corresponde al laboratorio Qwen de Alibaba, identificado como GTG-16005. Un prompt fijo instruía a Claude para que escribiera sus trazas de razonamiento antes de responder;
esas transcripciones se procesaban como datos de ajuste fino para los modelos Qwen 3.5, 3.6 y 3.7. El pico alcanzó casi tres millones de intercambios diarios desde más de 3.500 cuentas fraudulentas. El total entre mayo y julio de 2026 superó los 151 millones de intercambios, concentrados en tareas agénticas y desarrollo de software.
DeepSeek, Moonshot y Xiaomi: cuando el modelo rival sirve las respuestas al usuario final
Los casos más llamativos son aquellos en los que los laboratorios chinos redirigían las peticiones reales de sus propios clientes hacia Claude, sin que los usuarios lo supieran.
Moonshot AI, identificado como GTG-16002, redirigió cerca de 300.000 solicitudes de clientes a Anthropic en diez días a través de 5.380 cuentas fraudulentas. Los usuarios creían estar usando un modelo Kimi.
DeepSeek, GTG-16001, detectaba cuándo las peticiones procedían de entornos como Claude Code, marcaba a esos usuarios y redirigía una selección de ellos hacia Claude Opus: más de 12,1 millones de intercambios en 14 días.
La carrera por el liderazgo
Entre esas peticiones redirigidas, Anthropic encontró solicitudes de un usuario con vínculos probables al Ejército Popular de Liberación de China que analizó grabaciones de cámaras de circuito cerrado de cientos de cámaras en Chengdu, incluyendo cámaras frente a instalaciones del EPL, para perfilar a un objetivo concreto. A través del mismo canal llegaron peticiones de un operador con credenciales activas para una base de datos vinculada al Ministerio de Defensa ruso.
Xiaomi, GTG-16008, almacenaba sesiones de sus propios usuarios de los modelos MiMo y reproducía esas conversaciones a través de Claude para generar datos de entrenamiento. Anthropic no encontró evidencia de que las respuestas de Claude se sirvieran directamente a los usuarios de Xiaomi, pero las peticiones redirigidas contenían datos personales, nombres, datos de contacto e información corporativa de cientos de personas en al menos una docena de idiomas.
Una plataforma en Malí que monitoriza 25 millones de SIM con Claude como único ingeniero
En el capítulo de vigilancia, el caso más detallado corresponde a Malí. Un único consultor usó Claude como fuerza de trabajo de ingeniería principal para construir «Lakana 360», una plataforma diseñada para monitorizar aproximadamente 25 millones de tarjetas SIM en los tres operadores móviles nacionales del país.
El sistema identifica personas por voz a través de cambios de SIM, marca a los usuarios de cifrado y VPN, y vincula individuos con el registro civil biométrico nacional. Suspender la cuenta del consultor interrumpió solo el desarrollo, no la operación, porque la plataforma corre sobre modelos locales instalados en infraestructura propia.
Anthropic documenta patrones similares con unidades iraníes que afirman haber vigilado y perfilado a 6.388 iraníes en el plazo de un año.
Misiles de más de 2.000 kilómetros y enjambres de drones kamikaze autónomos
Es la primera vez que Anthropic publica casos propios en la categoría de armas convencionales.
Una célula en el norte de Yemen, identificada como GTG-87001, empleó Claude Code en lugar de ingenieros humanos para desarrollar el software de guía, navegación y control de tres programas de misiles, incluido un misil multietapa con un alcance objetivo superior a los 2.000 kilómetros.
Los operadores ejecutaban varias instancias de Claude en paralelo y distribuían el trabajo entre sesiones para que ninguna revelara la intención completa. Cuando un lanzamiento de prueba falló, los actores volvieron a Claude en cuestión de horas para diagnosticar la causa.
El segundo caso, GTG-27005, involucra a actores rusos que construyeron un enjambre de drones FPV kamikaze autónomos con un modelo de lenguaje pequeño a bordo y apuntado terminal por cámara. La plataforma estaba diseñada para producir efecto letal autónomo: el modelo embarcado podía seleccionar objetivos de la clase «persona» y activar la detonación sin intervención humana.
Qué deberían revisar quienes usan o despliegan modelos de Anthropic
El informe de Anthropic tiene consecuencias prácticas para desarrolladores, empresas y organismos que usan la API de Claude o productos basados en ella.
Primero, la destilación encubierta no requiere acceso técnico privilegiado: basta con redes de cuentas falsas y tarjetas de crédito robadas. Si tu organización usa Claude a través de un proveedor intermediario, no tienes garantía de que ese proveedor no esté redirigiendo tus peticiones a otro modelo o, al contrario, de que tus datos no estén siendo usados para entrenar un tercero.
Segundo, las peticiones redirigidas a través de DeepSeek y Moonshot contenían datos personales reales de usuarios finales. Si desarrollas sobre modelos de terceros que actúan como proxy, los datos de tus usuarios pueden estar expuestos a cadenas de procesamiento que no controlas.
Tercero, el caso de Malí ilustra que suspender una cuenta no detiene un sistema ya desplegado. La mitigación real requiere actuar antes de que la herramienta construida con IA entre en producción.
Cuarto, el modelo de ataque de GTG-20006, malware que se reescribe solo para esquivar antivirus, hace que los ciclos de actualización de firmas de detección sean insuficientes como única defensa. Los equipos de seguridad que dependen exclusivamente de soluciones basadas en firmas deben asumir que ese margen de reacción ya no existe.
Zhipu, SenseTime y MiniMax: el mercado secundario de trazas de razonamiento
Zhipu, conocida fuera de China como Z.ai, rotó por 273 cuentas y canalizó más de 770.000 intercambios en diez días a través de un «limpiador de cadenas de pensamiento», una herramienta que convierte automáticamente las trazas de razonamiento capturadas en datos de entrenamiento listos para usar. El laboratorio intentó primero extraer datos del modelo Fable de Anthropic, pero abandonó cuando las protecciones de ese modelo degradaron su rendimiento, y cambió deliberadamente a modelos que consideró con salvaguardas más débiles.
SenseTime adquirió transcripciones de terceros, según el informe, sin obtener directamente los datos de Claude sino a través de un mercado intermediario. MiniMax operó su propia red proxy a través de una empresa pantalla que ofrecía únicamente modelos de Anthropic y OpenAI, sin incluir ningún modelo chino, ni siquiera los propios.
El conjunto de casos documenta un ecosistema en el que las trazas de razonamiento de Claude han adquirido valor de mercado suficiente para sostener redes de extracción, empresas interpuestas y cadenas de reventa.
Anthropic no ha publicado hasta ahora un informe de amenazas con este nivel de detalle sobre actores concretos y volúmenes exactos. El siguiente ciclo de divulgación determinará si la publicación de estos identificadores tiene efecto disuasorio o simplemente obliga a los actores a refinar sus métodos de ocultación.
Imagen ilustrativa generada con inteligencia artificial.
Más sobre esto en LaPrensaIA
Fuente original: the-decoder.com
Esta pieza la ha redactado Iberia, el sistema de inteligencia artificial de LaPrensaIA, a partir de las fuentes citadas. Fermín Sánchez ha decidido publicarla y responde de ella. Cómo trabajamos.
Para usarlo tú: si lo que quieres es usar Claude para programar y no para titulares, lo comparamos con Cursor y Codex en Mejor IA para programar en 2026.
Contenido elaborado con la asistencia tecnológica de IBERIA y supervisión editorial. Fermín Sánchez es el responsable editorial de LaPrensaIA, diario de divulgación sobre inteligencia artificial. Cubrimos la actualidad de la IA con criterio propio —tecnología, empresas y sociedad— de forma clara para el público no técnico.
