La sofisticación ya no dice quién

La mayoría de las credenciales robadas valen lo que abren. Una clave de API de modelo robada vale más, y el informe explica por qué en tres palabras. Es mercancía: hay un mercado de reventa establecido, y los intermediarios alimentan redes fraudulentas de revendedores que rotan claves hasta agotarlas. Es cómputo: las cargas del atacante corren en la cuenta de la víctima, a su costa, con la escala que permitan sus límites. Y es cobertura: el tráfico lleva el nombre del titular legítimo, así que la primera parte investigada es la parte robada. Una campaña hacktivista funcionó un mes entera con claves ajenas. Una banda criminal, al robar las claves de IA de una víctima durante una intrusión, sencillamente pasó a ellas sus propias cargas de ataque. Otro actor comprometió el entorno de evaluación de una empresa de IA y se llevó primero las claves de producción; después lanzó desde la misma infraestructura una campaña contra unas treinta empresas de IA en cerca de cuatro días, encontrando un camino que funcionaba y repitiéndolo con pequeños ajustes. Su objetivo declarado, perseguido por más de una docena de vías, era acceder a un modelo sin publicar; nunca lo consiguió, y las claves que sí obtuvo fueron siempre claves de clientes, en sistemas de clientes. Leído así, “trate sus claves de modelo como credenciales de producción” deja de ser un lugar común. El atacante ya lo hace.

• 3cosas que es a la vez una clave de modelo robada: mercancía revendible, cómputo facturado a la víctima y el nombre de otro en el tráfico
• ~30empresas de IA atacadas desde una misma infraestructura en unos cuatro días, repitiendo un único camino que funcionaba

La lectura de Anthropic es que la brecha se ha cerrado: los marcos ofensivos de agentes disponibles públicamente reproducen el andamiaje para cualquiera que los descargue, varias de las operaciones de su informe corrieron sobre ellos o sobre derivados, y “debe suponerse que las capacidades descritas en este informe están al alcance de cualquier actor motivado para usarlas”. El grupo de inteligencia de amenazas de Google, que publicó dos días antes sobre una plataforma completamente distinta, describe las mismas tres conductas — flujos agénticos que sustituyen al prompting, credenciales de API exfiltradas como objetivo en sí mismo, entornos en la nube de las víctimas apropiados para ejecutar las cargas de IA del atacante — y llega a una conclusión más prudente: dice no haber observado que actores estatales o de operaciones de influencia logren capacidades de ruptura que alteren de raíz el panorama de amenazas. Ambas cosas pueden ser ciertas. Dos organizaciones que miran telemetrías distintas coinciden en cuál es la maquinaria y discrepan sobre lo que ya ha hecho, y esa segunda mitad es la que conviene sostener con holgura. También merece la pena ver de qué no va la discrepancia: ningún proveedor sugiere que los modelos se inventaran objetivos propios. La propia salvedad de Anthropic es que los humanos conservaron las decisiones que les importaban — elegir objetivos, convertir el robo en dinero, revisar resultados — y que autonomía y daño son ejes distintos. La autonomía multiplicó la escala y abarató el coste. No aportó la intención.

• 2 díasentre las publicaciones de los dos proveedores, sobre plataformas distintas, describiendo las mismas tres conductas

De poner los tres en paralelo se siguen dos cosas, y ninguna está en uno solo de ellos. La primera es que los proveedores ya están colaborando: el informe de Microsoft termina agradeciendo a Anthropic y OpenAI su colaboración en la investigación, lo que significa que dos proveedores de modelos competidores y un proveedor de plataforma trabajaron la misma intrusión antes de que ninguno la publicara. Póngase eso junto a la brecha de divulgación del sector — la notificación de incidentes es voluntaria casi en todas partes — y la cooperación privada va por delante de la norma pública. La segunda es más sutil y es el hallazgo menos comentado del informe. En los casos de ciber y armas el daño recae sobre un tercero: un ministerio, un fabricante, un huésped de hotel. En los de destilación recae sobre los demás usuarios del modelo. Si una empresa reenvía en silencio las peticiones de sus clientes a otro proveedor, los datos de esos clientes cruzan una frontera que nunca aceptaron. El informe da dos ejemplos de lo que llegó entonces: un usuario que valora como probablemente vinculado al ejército chino, cargando imágenes de cientos de cámaras de Chengdu sobre una persona vigilada y preguntando si se comportaba de forma anómala; y un operador que manejaba datos de una agencia rusa vinculada a defensa cuyas peticiones reenviadas expusieron credenciales activas de una base de datos gubernamental. Se concluya lo que se concluya sobre la disputa por los datos de entrenamiento, eso es un fallo de privacidad con consecuencias concretas, y les ocurrió a personas que no tenían ni idea de estar implicadas.

• cientosde cámaras cuyas imágenes de una persona vigilada llegaron a los servidores de una tercera empresa, porque el usuario no sabía adónde iba su petición

Para un defensor, la pérdida práctica aquí es una heurística. Cuando la capacidad era escasa, la calidad de una operación decía algo sobre quién estaba detrás, y ese atajo moldeó durante años cómo se clasificaban, escalaban y notificaban las intrusiones. Si un operador solitario, con un marco descargado y la clave de API de otra persona, puede montar una campaña multivíctima que parece un programa estatal, el atajo desaparece y nada barato lo sustituye. Lo que queda es la intención, y la intención no se ve en una captura de paquetes: se reconstruye después, a partir de los objetivos, de lo que se llevaron y de lo que el operador hizo con ello. Es un trabajo más lento y más caro, y ahora es el trabajo. Conviene leer el informe con su autoría a la vista — lo publica el proveedor cuyo producto se usó indebidamente, nombra a competidores y describe salvaguardas que vende — pero el hallazgo no depende de fiarse de él, porque un proveedor rival sin interés en Claude publicó los mismos mecanismos dos días antes desde su propia telemetría. Sobre hasta dónde ha llegado ya esto, ambos discrepan, y el lector tiene derecho a sostener esa parte con holgura.