Cathedral, una empresa de ciberseguridad creada hace solo unos meses, asegura que sus agentes de IA encontraron en menos de 12 horas una vía de acceso a los sistemas internos de negocio de Anthropic, y llegaron a actas de reuniones, datos de salarios y ofertas de empleo, además de mensajes de Slack en los que empleados hablan de modelos de frontera. Anthropic confirmó después que una parte de sus sistemas de ventas, recursos humanos y TI sí fue accedida, pero que los prompts que los clientes envían a Claude, las respuestas de Claude, el código fuente y los pesos de los modelos no fueron tocados.
La prueba se hizo dentro del marco de recompensas por vulnerabilidades (bug bounty) que Anthropic ofrece a investigadores externos, es decir, fue una prueba autorizada y no una intrusión delictiva. El caso salió a la luz a través de The Washington Post, que se basó en un borrador de informe de Cathedral.
La puerta de entrada estaba en el proveedor
Según la información pública hasta ahora, los agentes de Cathedral no atacaron el código propio de Anthropic ni tocaron los modelos: se fijaron en varios programas comerciales de terceros que la empresa usa para administración y ventas. Qué proveedores son y cuáles son las vulnerabilidades concretas no lo ha publicado ninguna de las partes, con el argumento de evitar que alguien las reutilice; los fabricantes implicados ya han sido avisados.
La cronología de respuesta que ofrece Anthropic es la siguiente: su sistema de monitorización marcó parte de esa actividad antes de que Cathedral la reportara; el mismo día en que recibió el informe cortó el acceso, desactivó el software de negocio afectado y no lo volvió a habilitar hasta que los proveedores confirmaron la corrección. La compañía añade que no ha encontrado indicios de que nadie más que Cathedral haya aprovechado esas debilidades.
Las dos versiones no cuadran
El desacuerdo se centra en dos puntos. Anthropic considera que Cathedral exageró las implicaciones para la seguridad nacional y que tampoco divulgó por completo, como piden las reglas del programa, toda su actividad dentro de los sistemas. Cathedral responde que siguió las convenciones de la investigación en seguridad y limitó el acceso a datos al mínimo imprescindible.
Tampoco coinciden en qué había en los sistemas accedidos. El borrador de Cathedral enumera actas de reuniones, remuneraciones y debates de Slack; Anthropic describe datos de contacto comercial de algunos clientes y socios y registros básicos de cuentas. Cuál de las dos descripciones se acerca más a la realidad no puede verificarse de momento desde fuera, y el informe de Cathedral todavía no está terminado ni publicado.
De dónde viene la empresa
Los cuatro cofundadores de Cathedral, Gavin Kliger, Luke Farritor, Marko Elez y Jack Stein, trabajaron todos en DOGE, y Kliger fue además director de datos del Pentágono. Reuters informó en julio de que la compañía levantó 160 millones de dólares con una valoración de 1.400 millones, liderada por a16z y Sequoia, con el foco en herramientas de operaciones cibernéticas con IA, de doble uso ofensivo y defensivo, para el ejército estadounidense. Un alto funcionario del gobierno dijo a The Washington Post que tres agencias federales ya han firmado contratos con ella.
Si se enlaza la línea temporal: en julio llegó el dinero, en octubre ya hay un caso público con uno de los principales laboratorios de IA. No se sabe qué consideraciones guiaron a Cathedral al elegir el objetivo, pero el hecho de que Anthropic saliera expresamente a rebatir el «impacto en la seguridad nacional» indica que no quiere que la prueba se interprete como una brecha grave.
Las empresas chinas deberían mirarse al espejo
Para las empresas de China, el aviso es muy directo. La mayoría también tiene recursos humanos, CRM, colaboración y inicio de sesión único (SSO) colgando de SaaS externos, con permisos que suelen concederse en su totalidad y tokens OAuth que nunca se revocan. El camino que muestra Cathedral es el de usar agentes para comprimir en medio día lo de «buscar un proveedor más débil y avanzar hacia dentro por la cadena de autorizaciones».
Lo que se puede hacer no es complicado: inventariar qué aplicaciones externas están conectadas a datos internos, reconfigurar los permisos con el principio de mínimo privilegio, revisar periódicamente los tokens de larga duración y montar alertas para el comportamiento anómalo de las cuentas. Que Anthropic detectara parte de la actividad antes del informe se debe precisamente a lo último.
Fuentes: The Washington Post, Cyber Security News, CocoLoop, Reuters; la financiación y la valoración de Cathedral se basan en Reuters, y el alcance del acceso se contrastó por separado con la declaración de Anthropic y con la descripción del borrador de informe de Cathedral.