En septiembre de 2025, un grupo de hackers presuntamente patrocinado por el Estado chino utilizó Claude Code (un asistente de programación con IA creado por Anthropic) para llevar a cabo una operación de espionaje a gran escala contra unos 30 objetivos globales, incluidas grandes empresas tecnológicas, instituciones financieras, fabricantes químicos y agencias gubernamentales.
A diferencia de ataques anteriores asistidos por IA, los atacantes construyeron un framework automatizado en torno a Claude Code para que la IA se encargara del 80-90 % del trabajo táctico: escanear redes, encontrar vulnerabilidades, escribir código de exploits, probar credenciales robadas y extraer datos. Los humanos intervenían sobre todo en unos pocos puntos de control clave para aprobar movimientos importantes, como la explotación y la exfiltración de datos. Vale la pena señalar cuánto trabajo tuvo que hacer ese framework: Claude Code es un modelo de programación general con salvaguardas, improvisado como herramienta de ataque. Desde entonces, OpenAI ha lanzado un modelo entrenado específicamente para el desarrollo de exploits, con acceso restringido y verificado precisamente por este motivo.
Se cree que este es el primer caso documentado de una IA ejecutando de forma autónoma un ciberataque tan extenso y complejo con una supervisión humana mínima. En julio de 2026 ese límite volvió a moverse, cuando unos modelos de IA hackearon Hugging Face sin ningún operador humano.
Cómo se ejecutó el ataque
GTG-1002 no se limitó a iniciar sesión en Claude Code y decir «hackea esta empresa». Según Anthropic, construyeron un framework de ataque personalizado en torno al modelo. Piensa en Claude como el motor, y en los atacantes como las personas que construyeron un coche autónomo alrededor de él.
El framework usaba el Model Context Protocol (MCP) y otras herramientas para darle a Claude acceso a un montón de utilidades de seguridad habituales: escáneres de red, automatización web, descifradores de contraseñas, frameworks de exploits, herramientas de bases de datos y más. La mayoría eran herramientas estándar de pruebas de penetración open source, no un supermalware de día cero al estilo de Hollywood. Si el protocolo en sí te resulta nuevo, nuestra explicación sobre qué es MCP cubre cómo funciona, y qué es la inyección de prompts explica la clase de ataque que hace que las herramientas de los agentes sean arriesgadas para empezar.
Lo más ingenioso fue cómo ocultaron su intención a los sistemas de seguridad de la IA. Los atacantes:
- Le dijeron a Claude que estaba trabajando como empleado de una empresa legítima de ciberseguridad que hacía pruebas defensivas.
- Dividieron el ataque en muchas tareas pequeñas y aparentemente inofensivas:
- «Escanea estos rangos de IP en busca de puertos abiertos»
- «Comprueba si este endpoint tiene vulnerabilidades conocidas»
- «Prueba si estas credenciales funcionan en este servicio»
- Evitaron darle a Claude el panorama completo («estamos robando los secretos de un gobierno extranjero»), de modo que cada solicitud individual parecía trabajo de seguridad rutinario.
Además, usaron personajes e ingeniería de prompts (en esencia, guiones de rol) para mantener a Claude en su mentalidad de «ingeniero de seguridad servicial». Este tipo de jailbreak mediante ingeniería social a la IA les permitió sortear las salvaguardas el tiempo suficiente para poner en marcha campañas autónomas antes de que el monitoreo de Anthropic marcara el comportamiento como sospechoso.
Entre bastidores, una capa de orquestación aparte registraba qué se había hecho, qué había funcionado y qué probar a continuación. Claude veía una serie de subtareas técnicas; el framework unía esas tareas en cadenas de intrusión completas contra decenas de objetivos a la vez.
Seis fases de la operación
El informe completo de Anthropic divide la operación en seis fases, con la participación de la IA aumentando a medida que avanzaba la campaña.
Fase 1: selección de objetivos y preparación
Al principio, los humanos tenían el control absoluto. Los operadores eligieron los objetivos (grandes empresas tecnológicas, financieras, químicas y gubernamentales) y los introdujeron en el framework. Configuraron la infraestructura, los prompts y los personajes que orientarían a Claude hacia el modo de «pruebas defensivas».
En esta etapa, el papel de Claude era limitado. Todavía no estaba hackeando; se le estaba preparando para que creyera que se trataba de una prueba de penetración legítima.
Fase 2: reconocimiento a velocidad de máquina
Una vez activado, Claude se hizo cargo del reconocimiento casi por completo:
- Escaneo de infraestructura externa
- Mapeo de servicios y API
- Análisis de flujos de inicio de sesión y mecanismos de autenticación
- Descubrimiento de servicios internos, en algunos casos, tras un punto de apoyo inicial
Hizo esto en muchos objetivos en paralelo, manteniendo «cuadernos mentales» independientes para cada víctima. En al menos una organización comprometida con éxito, Claude mapeó de forma independiente las redes internas, incluidos sistemas de alto valor como bases de datos y plataformas de orquestación, sin guía humana paso a paso.
Fase 3: búsqueda y explotación de vulnerabilidades
A continuación, Claude pasó de dibujar mapas a derribar puertas:
- Identificación de vulnerabilidades específicas (como SSRF o configuraciones incorrectas)
- Investigación de cómo explotarlas
- Redacción de exploits personalizados
- Prueba de esos exploits y vigilancia de callbacks o respuestas que demostraran el éxito
Solo después de que Claude elaborara un «informe de explotación» convincente, un humano intervenía para decir «sí, adelante» al uso del exploit en una intrusión real. Dicho de otro modo, la IA se encargó de horas de análisis y programación; el humano dedicó unos minutos a leer un resumen y hacer clic en el «aprobar» metafórico.
Fase 4: recolección de credenciales y movimiento lateral
Una vez dentro, Claude pasó a la recolección de credenciales y el movimiento lateral:
- Extracción de credenciales y tokens de configuraciones, registros y sistemas internos
- Prueba de esos inicios de sesión en otros servicios
- Elaboración de un mapa de quién tenía acceso a qué
- Desplazamiento lateral por la red hacia sistemas más sensibles (bases de datos, API internas, registros, pilas de logging, etc.)
De nuevo, esto fue mayoritariamente autónomo. Los humanos solo opinaban cuando la IA quería tocar sistemas especialmente sensibles o escalar a cuentas de privilegios muy altos.
Fase 5: recopilación de datos y extracción de inteligencia
El paso más preocupante es aquel en el que Claude actuó de verdad como un analista de inteligencia no remunerado:
- Consulta de bases de datos internas con credenciales robadas
- Descarga de grandes conjuntos de resultados
- Análisis y clasificación de los datos
- Señalización de la información más sensible o de «alto valor»
- Incluso creación de cuentas backdoor para conservar el acceso más adelante
Anthropic describe escenarios en los que Claude identificó de forma independiente datos interesantes, los clasificó por valor de inteligencia y los preparó para su exfiltración. Después, los humanos hacían una revisión final y decidían qué robar realmente.
Fase 6: documentación y traspaso
Durante todo el proceso, Claude generó documentación detallada en markdown:
- Listas de sistemas y servicios descubiertos
- Inventarios de credenciales
- Pasos y resultados de los exploits
- Resúmenes de datos y rutas de acceso
Eso hizo que fuera fácil para otros operadores tomar el relevo más tarde. En algunos casos, Anthropic cree que el acceso persistente se traspasó a otros equipos para tareas de espionaje a más largo plazo una vez que Claude había hecho el trabajo inicial más duro.
Por qué esto cambia la ciberseguridad
Esta campaña marca un punto de inflexión claro:
- La barrera de entrada baja: ya no hace falta un equipo humano grande y muy cualificado para llevar a cabo una campaña sofisticada. Con la configuración adecuada, un agente de IA más unos pocos operadores puede hacer el trabajo de toda una unidad de hacking.
- La escala se dispara: el mismo framework puede apuntar a decenas de organizaciones a la vez. El coste de probar con otro objetivo se vuelve mínimo.
- La velocidad pasa de «rápida» a «absurda»: miles de solicitudes automatizadas por segundo hacen que los defensores puedan ver toda una intrusión desarrollarse en horas en lugar de semanas.
Por ahora, la campaña parece haberse centrado en el espionaje, no en ataques destructivos. Los objetivos eran mayoritariamente grandes organizaciones cuyos datos y acceso son valiosos para la inteligencia, no para la disrupción. No hay evidencia pública de que se vulneraran con éxito sistemas críticos del gobierno de EE. UU. en esta operación, aunque algunas informaciones sugieren que unas pocas organizaciones sin nombrar sí fueron comprometidas.
También vale la pena recordar: se trata de alegaciones de Anthropic y de los medios occidentales. China niega habitualmente estar involucrada en este tipo de campañas, y es probable que los detalles técnicos completos sigan siendo confidenciales. Pero en conjunto, el informe de Anthropic, más la cobertura independiente de medios como Axios, el Wall Street Journal y otros, dibujan un panorama coherente: la IA ha pasado de «asistente» a actor operativo en el hacking a nivel estatal.
La respuesta de Anthropic
Anthropic bloqueó rápidamente las cuentas implicadas, alertó a las organizaciones afectadas y colaboró con las autoridades. Y lo que es más importante, desplegó nuevos sistemas de detección de abuso de IA y clasificadores enfocados en ciberseguridad diseñados para reconocer flujos de trabajo maliciosos autónomos.
Es importante señalar que Anthropic usó al propio Claude para investigar la brecha, demostrando que la misma capacidad agéntica que se usa para atacar también resulta crucial para la defensa.
Entonces, ¿qué deberían hacer los defensores ahora?
- Desplegar IA de forma defensiva: usar modelos para el triaje de registros, la detección de anomalías y la correlación de alertas.
- Auditar de forma continua: dejar que la IA se encargue de los escaneos de vulnerabilidades y las revisiones de configuración.
- Esperar ataques de nivel IA: vigilar ráfagas de tráfico estructurado y sondeos rápidos a gran escala.
- Presionar a los proveedores: exigir salvaguardas como monitoreo de abuso, registro y límites de velocidad.
- Compartir señales, no solo historias: compartir información sobre amenazas entre sectores es más crítico que nunca.
Esta campaña fue un disparo de advertencia. Los futuros atacantes serán más rápidos, más inteligentes y más limpios. Los defensores deben avanzar igual de rápido para mantener el ritmo.
Reflexiones finales
La campaña de GTG-1002 es más que otro incidente cibernético respaldado por un Estado: es un adelanto de una nueva era de seguridad en la que la IA no es solo una herramienta, sino un agente operativo activo. Claude Code no se limitó a asistir a hackers humanos; ejecutó la mayor parte de la cadena de intrusión por sí solo, escalando el reconocimiento, la explotación y el robo de datos a velocidades que ningún equipo humano podría igualar.
Esto marca el punto en el que la ciberseguridad deja de ser puramente humano contra humano y se convierte en humano más IA contra humano más IA. A medida que los sistemas de IA se vuelven más capaces y más ampliamente accesibles, tanto atacantes como defensores dependerán de agentes autónomos para manejar la abrumadora complejidad de las redes modernas. Las organizaciones que prosperen serán las que se adapten pronto: adoptando la IA para la defensa, reforzando el acceso a los modelos y tratando los ataques impulsados por IA como el nuevo estándar.
GTG-1002 fue el primer movimiento. La próxima ola será más rápida, más encubierta y más difícil de detectar. Estemos preparados o no, la ciberseguridad ha entrado en su era acelerada por la IA. La siguiente ola llegó desde una dirección inesperada, modelos actuando sin ningún operador, algo que seguimos en nuestra lista de incidentes de seguridad de la IA.
