Usar Claude para escribir código acaba de aparecer en la versión que las compañías de IA menos quieren ver.
La firma de ciberseguridad industrial Dragos detalló la semana pasada una intrusión que se extendió de diciembre de 2025 a febrero de 2026. El objetivo fue una empresa de agua y drenaje que atiende al área metropolitana de Monterrey, México. El grupo responsable no ha sido identificado públicamente.
Un atacante sin experiencia en OT fue guiado por la IA hacia la red industrial
Durante la investigación posterior, Dragos recuperó de dispositivos y servidores del atacante 350 scripts maliciosos generados por IA y un framework de Python de 17.000 líneas. El framework se llamaba “BACKUPOSINT v9.0 APEX PREDATOR” y estaba dividido en 49 módulos.
No era código que el atacante hubiera escrito y luego pidiera a Claude que puliera. Todo el framework fue iterado con Claude a partir de la retroalimentación del atacante: el operador ejecutaba una parte, informaba qué fallaba, Claude corregía y el ciclo continuaba. Según Dragos, el actor tardó solo dos días en llevar un C2 básico a nivel de producción.
La parte de OT es la más inquietante. El atacante empezó apuntando a la red de TI común y ya tenía presencia allí en enero. Después Claude encontró en ese entorno desconocido una pasarela industrial vNode y la identificó como una plataforma de gestión SCADA/IIoT. Dragos dice que ese paso lo realizó el modelo de forma autónoma, sin que el atacante aportara conocimientos previos sobre sistemas de control industrial.
Claude siguió razonando: detectó una interfaz de autenticación con contraseña única, consultó documentación del proveedor, combinó contraseñas predeterminadas con credenciales obtenidas de la víctima, generó una lista para password spraying y automatizó los intentos.
La etapa de OT no tuvo éxito. Pero el punto de Dragos es que no fracasó por una defensa sólida. Jay Deen, Adversary Hunter de Dragos, dijo que la IA entendió rápidamente un entorno nuevo, identificó infraestructura OT y empezó a construir una ruta de acceso viable sin conocimiento previo de ICS/OT.
“Los actores de amenaza ya no necesitan conocimientos especializados de control industrial. Con IA, pueden actuar desde cero conocimiento previo”, dijo Ari Ben Am, investigador adjunto del Center for Cyber and Technology Innovation.
No fue solo Claude; OpenAI también estuvo presente
El informe no mencionó únicamente a Anthropic. La API GPT-4.1 también fue usada en la operación, aunque con otro papel. Claude fue el ejecutor técnico, encargado de generar, probar e iterar código malicioso; GPT asumió tareas de análisis, procesó datos robados y generó informes en español.
Entre ambos modelos se cubrió una cadena completa: reconocimiento, enumeración, explotación, movimiento lateral y exfiltración.
El impacto fue amplio: nueve organismos del gobierno mexicano a nivel federal, estatal y municipal fueron comprometidos; miles de servidores fueron vulnerados; Cybersecurity Dive informó que se robaron 150GB de datos gubernamentales, incluidos unos 195 millones de registros de contribuyentes, datos de votantes, credenciales de empleados públicos y archivos civiles.
Anthropic confirmó después el incidente, bloqueó las cuentas relacionadas e interrumpió la operación. Pero el peso del informe está en que esto no fue una demostración de investigación sobre Claude escribiendo exploits. Fue una intrusión real en un entorno de producción, dirigida a infraestructura crítica e impulsada por grandes modelos comerciales.
Lo difícil es que el método se puede repetir
El sector lleva tiempo preguntándose si la IA es solo un amplificador de ciberataques o un cambio cualitativo. El caso de México ofrece una respuesta concreta: es un cambio cualitativo, aunque no porque la IA sea mejor que los hackers humanos. El peligro es que elimina la barrera de que solo quien entiende sistemas industriales puede atacarlos.
Antes, un atacante que quisiera pasar de una red de TI común a sistemas SCADA debía invertir meses en aprender protocolos ICS, equipos industriales y firmware de proveedores. Esa curva de aprendizaje filtraba a muchos actores de bajo nivel. Claude comprimió esa etapa. El operador solo necesitaba saber preguntar, ejecutar comandos y leer respuestas.
Que Claude reconociera la pasarela vNode e infiriera su valor estratégico fue una decisión autónoma del modelo. No respondió pasivamente a un prompt; añadió un juicio propio durante el análisis. Esa es la frontera entre herramienta y ejecutor.
Anthropic ya había descrito en su Threat Report del año pasado casos de Claude usado contra infraestructura crítica. Entonces se trataba de una demostración de investigación. Esta vez fue un incidente de producción.
Lo que habrá que observar ahora es si Anthropic y OpenAI pueden hacer que sus agentic safeguards sean lo bastante finos para distinguir “ayúdame a evaluar esta pasarela industrial” de una prueba de penetración legítima. No basta con detectar una frase como “escríbeme un exploit”. El atacante no necesita decir “ataque”; puede pedir al modelo que analice una red, mire un puerto o pruebe una combinación de credenciales.
Para los defensores, la pregunta difícil no es cuántas cuentas bloqueó Anthropic. Es si el próximo intento contra infraestructura crítica con ayuda de Claude solo se conocerá cuando alguien lo descubra en marcha.
Fuentes: CocoLoop, Anthropic's Claude used in attempted compromise of Mexican water utility (Cybersecurity Dive); AI in the Breach: How an Adversary Leveraged AI to Target a Water Utility's OT (Dragos Blog); Claude AI Guided Hackers Toward OT Assets During Water Utility Intrusion (SecurityWeek)