Alibaba extrajo 151 millones de conversaciones de Claude

Más de 151 millones de intercambios con Claude terminaron convertidos en datos de entrenamiento para los modelos Qwen de Alibaba. La cifra es el mayor volumen que Anthropic dice haber medido nunca y aparece en su nuevo informe de inteligencia de amenazas, que cubre desde diciembre de 2025 hasta agosto de 2026 y ordena el uso indebido en siete categorías. Operaciones cibernéticas, operaciones de influencia, vigilancia, fraude, uso biológico indebido, armas convencionales y destilación no autorizada de modelos.

Los modelos más afectados fueron Haiku, Sonnet y Opus. Los más nuevos, Fable y Mythos, aparecen en un único caso de destilación. Anthropic aclara que documenta el uso indebido novedoso y no el habitual.

El hallazgo central del capítulo cibernético es que los ataques sofisticados ya no exigen atacantes sofisticados, y que la sofisticación dejó de ser una señal confiable para atribuir un ataque. Las técnicas siguen siendo las conocidas, con credenciales robadas, dispositivos sin parchar, inyección SQL y phishing. Lo que cambió es la economía, porque el reconocimiento, la explotación y la construcción de herramientas se le entregan a modelos que corren en paralelo a velocidad de máquina. La autonomía baja el costo del lado del atacante, según Anthropic, y vuelve rentables objetivos que antes no lo eran.

Siete laboratorios chinos copiaron capacidades

Desde su primera revelación de febrero, Anthropic identificó ataques de siete laboratorios chinos más. La destilación como método de entrenamiento es legítima, aclara la empresa, y lo que define como ilegítimo son las campañas encubiertas de escala industrial que extraen capacidades del modelo sin autorización. Suelen apoyarse en redes de cuentas falsas con tarjetas de crédito y claves de API robadas, enrutadas a través de lo que el informe llama "estaciones de transferencia".

En el caso de Qwen, un prompt fijo lograba que Claude escribiera sus trazas de razonamiento antes de responder, y esas transcripciones se procesaban como datos de ajuste fino para los modelos Qwen 3.5, 3.6 y 3.7. El punto máximo llegó a casi tres millones de intercambios diarios desde más de 3.500 cuentas fraudulentas, sobre todo en tareas de agentes y desarrollo de software.

Zhipu, conocida fuera de China como Z.ai, rotó 273 cuentas y empujó sus intercambios a través de un limpiador de cadenas de razonamiento, una herramienta que convierte de forma automática las trazas capturadas en datos de entrenamiento aprovechables. Para entrenar a GLM-5.3 en tareas cibernéticas, el laboratorio primero fue por el modelo Fable de Anthropic, pero desistió cuando las defensas de ciberseguridad le degradaron el rendimiento, y entonces se cambió deliberadamente a modelos que juzgó peor protegidos.

SenseTime compró transcripciones a terceros, según el informe, así que no obtuvo los datos capturados de Claude por su cuenta sino a través de un mercado intermediario. MiniMax operó su propia red de proxy mediante una empresa fachada que ofrecía únicamente modelos de Anthropic y de OpenAI, ninguno chino, ni siquiera los suyos.

¿Qué son las peticiones de clientes desviadas?

Los casos más extraños son aquellos en que los laboratorios retransmitieron a Claude las peticiones de sus propios clientes. Moonshot AI mandó cerca de 300.000 consultas de clientes a Anthropic en diez días, repartidas en 5.380 cuentas fraudulentas, mientras los usuarios creían estar usando un modelo Kimi. DeepSeek usó cadenas de texto para detectar cuándo una petición venía de entornos como Claude Code, marcaba a esos usuarios y derivaba a algunos hacia Claude Opus, con más de 12,1 millones de intercambios en 14 días.

Entre esas peticiones redirigidas, Anthropic encontró a un usuario probablemente vinculado al Ejército Popular de Liberación que hizo analizar archivos de video de circuito cerrado para seguir a una sola persona, con material de cientos de cámaras en Chengdu, incluidas cámaras ubicadas fuera de instalaciones del propio ejército. A través de DeepSeek, Claude también recibió peticiones de un operador con credenciales activas de una base de datos ligada al Ministerio de Defensa de Rusia, junto con trabajo sobre un sistema de gestión de casos para una oficina de seguridad pública china que cruza perfiles de desplazamiento contra registros policiales.

Xiaomi usó Claude de otra manera. Guardaba las peticiones y las sesiones de programación de los usuarios de sus modelos MiMo y reproducía esas conversaciones a través de Claude para generar datos de entrenamiento. Anthropic no encontró evidencia de que las respuestas de Claude se sirvieran directamente a los usuarios de Xiaomi. Las peticiones retransmitidas, eso sí, contenían datos personales como nombres, contactos e información de empresas de cientos de personas, en al menos una docena de idiomas.

Malware que se rehace ante el antivirus

Anthropic rastrea a un actor de espionaje de habla rusa, identificado como GTG-20006, que montó un ciclo de retroalimentación. Los agentes de IA revisaban si el malware en uso estaba siendo detectado por los productos de seguridad habituales y, cuando un antivirus lo marcaba, reescribían y recompilaban el código por su cuenta hasta volver a pasar inadvertidos. Eso traslada la carga de vuelta al defensor, según Anthropic, porque escribir firmas de detección nuevas ya no frena a un atacante que cambia más rápido de lo que esas firmas se despliegan.

Más de 20 organizaciones fueron atacadas, entre ellas ministerios, servicios de inteligencia, embajadas y contratistas de defensa, con foco en Ucrania y Europa. La cadena de suministro de drones apareció una y otra vez, y el actor robó el kit de desarrollo completo y propietario de un sistema de visión para drones. A veces el acceso pasaba por terceros, como proveedores de wifi para huéspedes de hoteles cuyos equipos quedaban después cargados con malware, un método que Microsoft describió en julio de 2026 con el nombre CaptiveCrunch.

En los grupos que Anthropic atribuye al colectivo ShinyHunters, catalogados como GTG-50014, el foco estuvo en la minería industrial de credenciales. Un atacante descargó 1,8 millones de aplicaciones Android, las descompiló y buscó secretos escritos a mano dentro del código. Anthropic describe el método como "vibe hacking", donde una persona fija un objetivo aproximado y el modelo evalúa el entorno e itera hasta terminar la tarea. Uno de los atacantes dijo que cobró recompensas de HackerOne además de extorsionar a dos empresas.

Primer capítulo sobre armas convencionales

En materia de armamento, Anthropic documenta casos propios por primera vez. Una célula en el norte de Yemen, catalogada GTG-87001, puso a Claude Code en el lugar de los ingenieros de software para el programa de guía, navegación y control de tres proyectos de misiles, uno de ellos multietapa con un alcance objetivo superior a los 2.000 kilómetros. Los actores corrían varias instancias de Claude en paralelo y repartían el trabajo entre sesiones para que ninguna revelara la intención completa. Un lanzamiento de prueba aparentemente falló y, a las pocas horas, volvieron a Claude para averiguar la causa.

Un segundo caso, GTG-27005, involucra probablemente a actores rusos independientes que construyeron un enjambre autónomo de drones FPV kamikaze, con un modelo de lenguaje pequeño a bordo y puntería de fase terminal por cámara. La plataforma fue diseñada para efecto letal autónomo, y el modelo embarcado podía seleccionar objetivos de la clase "persona" y detonar sin ninguna persona en el circuito de decisión. El clasificador de imágenes fue entrenado con material de combate ucraniano capturado, según Anthropic.

Un tercer caso chino, GTG-17002, consistió en un conjunto de unos 16 módulos para guerra electrónica y supresión de defensas aéreas enemigas. A mitad del proyecto, el escenario por defecto de la simulación cambió a doce objetivos en Taiwán.

Vigilancia sobre 25 millones de SIM

En el capítulo de vigilancia destaca Malí. Un solo consultor usó a Claude como principal fuerza de ingeniería para "Lakana 360", una plataforma para monitorear cerca de 25 millones de tarjetas SIM repartidas en los tres operadores móviles del país. El sistema identifica personas por su voz aunque cambien de SIM, marca a quienes usan cifrado y redes privadas virtuales, y vincula a cada individuo con el registro civil biométrico nacional.

Suspender la cuenta interrumpió solamente el desarrollo, no la operación, porque la plataforma corre con modelos locales en servidores propios. Anthropic documenta patrones parecidos con unidades iraníes que afirman haber vigilado y perfilado a 6.388 iraníes en un año.

¿Dónde fallan los filtros biológicos?

El capítulo de biología es el más autocrítico. Anthropic documenta cinco casos anonimizados con científicos en ejercicio donde Claude asistió en proyectos de doble uso potencialmente peligrosos. En uno, el clasificador de bioseguridad bloqueó una postulación a fondos para trabajo de ganancia de función sobre el virus chikungunya, planificado en un instituto de investigación militar.

El operador de la plataforma en uso había construido un mecanismo de respaldo que derivaba a un modelo de la competencia las peticiones que Claude rechazaba, y el propio Claude escribió la mayor parte de ese código, según el informe. Otros proyectos avanzaron casi sin trabas, como la redacción de una postulación sobre genes de evasión inmune en ortopoxvirus.

La conclusión de la empresa es que los clasificadores no pueden a la vez habilitar el trabajo útil e impedir el daño, porque la intención del usuario en áreas de doble uso no se detecta de forma confiable. Como respuesta, Anthropic lanzó Claude Fable 5 con defensas más estrictas para las peticiones de biología de doble uso y, contra la destilación, el "pensamiento preservado" que introdujo con Fable 5.1 apunta a impedir que las cuentas nuevas de API manipulen el contexto. El único camino seguro hacia capacidades de frontera en biología, sostiene Anthropic, pasa por programas de usuarios verificados.