El 10 de septiembre de 2026 Anthropic publicó Detecting and countering misuse of AI: September 2026, un reporte sobre abusos de Claude que detectó y cortó entre diciembre de 2025 y agosto de 2026. No es el anuncio de un producto nuevo. Es el fabricante abriendo la cocina: qué vieron, qué cortaron y qué sigue fuera de su alcance. En esta entrada miro ese documento desde el asiento de quien dirige sistemas en México y Latam —no para armar una alerta de portada, sino para preguntar qué cambia cuando la API y las llaves se vuelven botín, cuando la influencia también habla español, y qué parte del problema no te resuelve el brochure de safeguards.
Imagina a Martín, director de sistemas en una empresa mediana. En el Slack de ingeniería alguien pegó hace meses una API key de Claude “para que el equipo pruebe agentes”. Nadie le puso dueño ni techo. Un viernes, finanzas pregunta por un gasto raro de tokens. La actividad parece legítima: sale con la llave de la empresa. Martín no sabe si fue un desarrollador curioso o alguien más. Esa escena, en distintas versiones, es la que el reporte de Anthropic vuelve incómoda. La compañía insiste en que, en varios de los casos que disrumpió, las llaves eran de clientes, no un golpe a los sistemas propios de Anthropic. Si en la junta alguien resume “Anthropic fue hackeado”, conviene pedir la página. Higiene, no pedantería.
El reporte agrupa casos notables —no el misuse cotidiano— en siete frentes: operaciones cibernéticas, influencia, vigilancia, estafas y fraude, misuse biológico de doble uso, armas convencionales y destilación ilícita. En esos relatos aparecen Haiku, Sonnet y Opus. Anthropic afirma que no vio misuse con modelos de clase Fable o Mythos, salvo un caso de destilación. Yo lo leo como claim del fabricante, no como certificado de inmunidad. Usan nombres internos (GTG) y hablan de uplift: cuánto empuja la IA en velocidad, escala o profundidad. Sirve para entender su lectura. No sirve para copiar números ajenos al KPI del comité.
Lo que más me importa no es la fantasía de que “Claude ataca solo”. Es la prosaica: la cadena de suministro de IA convertida en botín y en cómputo ajeno. Anthropic describe tendencias que ya deberían sonar en cualquier mesa de riesgos. La sofisticación del ataque ya no delata si detrás hay un Estado o un operador chico; la IA achicó esa brecha de labor y herramientas. En buena parte de los casos del reporte hay agentes que ejecutan u orquestan pasos —reconocer, explotar, sacar datos— con humanos todavía eligiendo blancos y revisando. Y las llaves de API y los tokens de sesión robados sirven de botín, de cómputo a costa de la víctima y de disfraz: la actividad se ve como si la hubiera hecho el dueño legítimo. También aparecen reseellers de “Claude barato” que proxyean a otro modelo y cosechan credenciales. Traducción a la vida de Martín: si la key viaja por el chat como tip de restaurante, ya prestaste el traje.
Los casos concretos —espionaje, crimen financiero, research ofensivo, hacktivismo, intentos de colarse en entornos de evaluación— los dejo en marco a propósito. Este blog no es un taller ni un feed de indicadores. El reporte trae detalle para quien defiende; aquí la lección operativa es otra. Un ataque “muy elaborado” puede ser un actor chico con buen andamiaje. Tus agentes y tus llaves son credenciales de producción.
Hay un segundo hilo que me importa en Latam. Anthropic también mira operaciones de influencia: servicios que venden influencia, IA como mesa editorial, construcción de relatos, lavado de quién está detrás, personas inventadas. Muchas operaciones, dice, no llegan a audiencia real porque las cortan mientras todavía están en Claude. Eso es el vendor mirando su tubo. Fuera de Claude, el texto puede vivir igual. El ángulo regional: Anthropic afirma con alta confianza que salida de ciertas cuentas llegó a medios como Sputnik Moldova, RIA Novosti, Sputnik en Español, Sputnik Africa y RT English. En un caso describe a alguien que traduce y adapta contenido de Telegram en ruso al español latinoamericano para Sputnik en Español y un canal asociado. Eso no prueba que tu empresa en México ya fue blanco. Prueba algo más útil: el español de la región está en el mapa. No solo el deepfake de moda. Para sistemas y comunicación, la pregunta deja de ser solo “¿detectamos el video falso?” y pasa a ser “¿por dónde entra un texto que ya parece periodismo y quién lava la atribución antes de que llegue a nuestra gente?”.
Anthropic detecta abuso mientras se construye dentro de Claude. Cuando el contenido o el ataque ya viven afuera, dependen de fuentes abiertas y de partners. Ban, detecciones, compartir información. Útil. Incompleto. El propio framing lo admite: no resolvieron el ecosistema. Tu organización no puede firmar ese PDF como plan de seguridad. Gobierno de llaves, borde, agentes y canales autorizados siguen siendo tuyos.
¿Qué haríamos, en la práctica, sin convertir esto en checklist de comité? Empezar por tratar las API keys, las sesiones y los agentes —Claude Code u equivalentes incluidos— como secretos de producción: dueño, rotación, techos, bitácora. Cerrar la puerta a proxies opacos que prometen Claude a mitad de precio. Dejar de reservar la respuesta “seria” solo para amenaza estatal, porque el andamiaje de IA achica esa diferencia. En influencia, mirar el lavado de fuentes y la adaptación al español de la región, no solo el deepfake. Y no tomar el ban del vendor como control de borde: cuando el abuso sale de Claude, importan tu detección y la de tus partners. Tampoco copies uplift ni tiempos de breach del reporte como si fueran tu medición.
Es un buen momento para cuestionar, con tu equipo, una sola frase: ¿quién puede gastar tokens a nuestro nombre, con qué techo, y cómo nos enteramos si alguien usa nuestra llave para otra cosa? Si la respuesta no cabe en una oración clara, el reporte de septiembre de 2026 te acaba de señalar el hueco. Anthropic corta en su tubo. El resto del camino —credenciales, canales, agentes sin humano— sigue siendo de ustedes. Invito a que lo revisen juntos, sin novela y sin esperar a que el próximo GTG llegue con nombre propio a la portada.