La startup de ciberseguridad Cathedral usó agentes de IA para entrar a sistemas internos de Anthropic a través de software empresarial de terceros, informó The Decoder el 28 de octubre. Lo hizo dentro del propio programa de recompensas por fallas (bug bounty) del creador de Claude.
Cathedral describió su acceso a datos internos y sistemas de mensajería en un borrador de informe que revisó The Washington Post. La empresa fue fundada por exintegrantes de DOGE, la agencia de eficiencia del gobierno de Estados Unidos, y vende herramientas de seguridad basadas en IA a organismos públicos y empresas.
Los investigadores entraron por programas externos de administración y ventas. Según su informe, agentes de IA que corrían modelos avanzados encontraron en menos de doce horas caminos hacia transcripciones de reuniones, datos de sueldos, ofertas de empleo y mensajes de Slack.
¿Qué datos quedaron expuestos?
Anthropic confirmó que los investigadores accedieron a un conjunto limitado de sistemas de ventas, recursos humanos y TI, que incluía datos de contacto de algunos clientes y socios y datos básicos de cuentas de usuario. Según la empresa, nunca quedaron expuestos los chats con Claude, el código fuente ni los pesos de los modelos.
Anthropic cerró los puntos de acceso afectados el mismo día que detectó la intrusión, desactivó los programas de terceros hasta resolver el problema y avisó a las autoridades federales de Estados Unidos.
Anthropic y Cathedral no coinciden en la duración ni en el alcance
Cathedral dice que el incidente tomó menos de doce horas. Anthropic sostiene que los intentos de ataque se extendieron por varios días. De acuerdo con Logan Graham, del equipo rojo de Anthropic, la startup pasó días probando los sistemas propios de la empresa antes de cambiar el foco al software de terceros. Ahí Cathedral encontró dos vulnerabilidades y reportó solo una. Anthropic dice que detectó y corrigió la segunda por su cuenta.
Anthropic también acusa a Cathedral de romper las reglas del programa al no informar todo lo que encontró. Graham agregó que atacar a proveedores externos y extraer datos excedió las protecciones de puerto seguro (safe harbor) del programa, aunque valoró que se descubrieran las vulnerabilidades. Cathedral sostiene que siguió prácticas estándar de investigación en seguridad.
Cuántos datos se vieron de verdad sigue en disputa. Will Depue, exempleado de OpenAI, afirmó que Anthropic minimiza el incidente. Según Depue, varias fuentes que él considera muy confiables le dijeron que Cathedral obtuvo acceso total de administrador al espacio de trabajo de Slack, podía leer todos los mensajes y entrar a cualquier cuenta de usuario.
Depue agregó que tanto Anthropic como OpenAI guardaban todos sus secretos de investigación en Slack, con claves de API de administrador repartidas por sus sistemas. Jacob Coxon, que dejó Anthropic en septiembre de 2026, ya había criticado a la empresa por llevar investigación de IA peligrosa en software de oficina como Slack.
Graham respondió que las fuentes de Depue estaban equivocadas. Por lo delicado del tema no quiso entrar en detalles, pero coincidió con la preocupación de fondo de Depue, que la industria tiene que reinventar su seguridad cada año. Depue insistió en que Anthropic precise qué afirmaciones eran falsas y revele qué vio Cathedral. También culpó al ritmo de la carrera de la IA, en la que los ejecutivos priorizan la velocidad por sobre la seguridad.
Alex Stamos, jefe de seguridad de Cognition, una startup de IA que usa los modelos de Anthropic, dijo a The Washington Post que considera relevantes los hallazgos. Señaló que las aplicaciones de terceros integradas son un problema grande en toda la industria y que Anthropic podría haber protegido mejor sus servicios externos.
Los agentes de IA cambian la ciberseguridad
Tras meses de advertencias sobre ataques informáticos con IA, y después de sus propios incidentes de seguridad accidentales, ahora Anthropic está del lado de la víctima. Según The Decoder, el caso muestra lo rápido que los agentes de IA están cambiando la forma de atacar, y pesa más porque Anthropic es probablemente la empresa mejor preparada para defenderse de ataques dirigidos por IA.
Graham aprovechó para advertir que los atacantes ya operan agentes de IA las 24 horas, con foco en las dependencias externas. Dijo que incluso modelos que van media o una generación detrás de la frontera actual sirven para estos ataques, y que los adversarios futuros tendrán sistemas más capaces.
Su respuesta son las pruebas de penetración internas y continuas, y reconstruir software con verificación formal, algo que según él la IA vuelve viable en costos.
"Probablemente quieres hacerte equipo rojo a ti mismo todo el tiempo. Los modelos actuales son muy creativos", escribió Graham.
Lo que Graham no explicó es cómo Cathedral llegó tan adentro, cuando Anthropic tiene acceso a los que probablemente son los modelos de IA más capaces del mundo para ciberdefensa.
