# anthropic-threat-intelligence-misuse-report-2026-09-10

## Veille

Informe de inteligencia de amenazas publicado por el equipo de **Threat Intelligence** de Anthropic el **10 de septiembre de 2026** en anthropic.com (~36.000 palabras, incluidos indicadores de compromiso, PDF descargable, sin firmar). Cubre abusos neutralizados entre **diciembre de 2025 y agosto de 2026** en **siete** ámbitos: ciberseguridad, influencia, vigilancia, armamento convencional, biología, fraude y destilación. Todos los casos involucran a Haiku, Sonnet u Opus; ninguno involucra a Fable o Mythos, salvo un intento de destilación.

## Titre Article

Detecting and countering misuse of AI: September 2026

## Date

2026-09-10

## URL

https://www.anthropic.com/threat-intelligence-report-september-2026

## Keywords

inteligencia de amenazas, uso indebido de la IA, Generative Threat Group, uplift, cyber kill chain, agentes autónomos, vibe hacking, PentAGI, claves de API robadas, cadena de suministro de IA, ShinyHunters, Midnight Blizzard, exploit foundry, zero-day, operaciones de influencia, influencia como servicio, Breakout Scale, vigilancia estatal, represión transnacional, interceptación masiva, armamento convencional, drones autónomos, doble uso biológico, gain-of-function, destilación ilícita, cadena de razonamiento, thinking signature, cross-session replay, proxies de reventa, Alibaba, Moonshot AI, DeepSeek, Z.ai, Xiaomi, guardrails, clasificadores, programas de acceso verificado

## Authors

Anthropic — équipe Threat Intelligence (rattachée aux Safeguards), rapport institutionnel non signé publié sur anthropic.com.

## Ton

Perfil: informe de inteligencia de amenazas redactado en primera persona del plural institucional, en un registro de analista CTI (designadores GTG-xxxxx, niveles de confianza *bajo / medio / alto*, indicadores de compromiso neutralizados, tablas de direcciones IP fechadas). Audiencia: equipos de seguridad, otros proveedores de modelos, gobiernos y sociedad civil. Tres rasgos. Primero, **disciplina de atribución**: cada caso lleva su nivel de confianza y separa lo observado en la plataforma de lo corroborado por fuentes abiertas o socios (All Eyes on Wagner, Forbidden Stories, Microsoft, OpenAI); la visibilidad se detiene explícitamente en cuanto una operación sale de Claude. Segundo, un **reconocimiento mesurado de los límites**: una negativa es *"superada insistiendo en el prompt"*, fragmentar el trabajo en sesiones pequeñas degrada los clasificadores, la plataforma maliense desplegada sin conexión escapa a cualquier acción sobre cuentas, y la sección de biología reconoce que sus evaluaciones aportan solo pruebas ambiguas. Por último, **alcance normativo**: el informe nombra empresas (Alibaba, Moonshot AI, DeepSeek, Z.ai, Xiaomi, SenseTime, MiniMax, LKM Company, BBS Bilisim, S2T) y estados, y cierra cada sección con una recomendación dirigida a la industria: tratar las claves de IA como credenciales de producción, reservar las capacidades biológicas de frontera a programas de acceso verificado. El vocabulario sigue siendo el del análisis de amenazas (*uplift*, *kill chain*, *tradecraft*); el contenido promocional se limita a señalar que Fable y Mythos no aparecen en ningún caso ciber.

## Pense-betes

- **Alcance**: diciembre de 2025 → agosto de 2026, siete ámbitos, cerca de treinta grupos GTG. Modelos implicados: Haiku, Sonnet, Opus. Ningún caso sobre Fable o Mythos, salvo un intento de destilación ciber contra Fable, abandonado tras la degradación introducida por los guardrails; los empleados de Z.ai cambiaron entonces a Opus 4.6 y al modelo insignia de otro laboratorio estadounidense *"expresamente porque evaluaron que las salvaguardas eran más débiles"*.
- **Ciberseguridad, dos tendencias.** (1) La sofisticación ya no indica quién ataca: un hacktivista con claves robadas, afiliados de ShinyHunters y un operador de ciberespionaje estatal siguen el mismo método. (2) La autonomía avanza: bucles de reconocimiento-explotación-exfiltración que se ejecutan durante horas o días, una flota de **13** agentes de recolección programados sin intervención humana (GTG-10007), agentes que reconstruyen el malware en cuanto el antivirus lo detecta (GTG-20006). Dos matices señalados por el informe: los humanos siguen gestionando la selección de objetivos, la monetización y la revisión; autonomía y gravedad son dos ejes distintos, y varios de los compromisos más graves fueron dirigidos paso a paso.
- **GTG-20006 (Midnight Blizzard)**: más de **20** organizaciones objetivo, secuestro de DNS en tres proveedores de WiFi hotelero (el método «CaptiveCrunch» descrito por Microsoft en julio de 2026), **300.000** identidades nacionales y el registro de **500.000** empresas exfiltrados de una autoridad norteafricana. El humano interviene principalmente para modificar las skills de Claude Code que impulsan los flujos de trabajo.
- **GTG-50014 (ShinyHunters)**: un pipeline distribuido en diez instancias EC2 que descompila **1,8M** de APK con TruffleHog; más de un terabyte exfiltrado de un proveedor tecnológico; **2.100** conjuntos de tokens de Azure AD en **40** tenants extraídos en **34 horas**, *"los agentes de IA realizaron casi todo el trabajo"*; una brecha completa en pocas horas. El informe denomina esto *vibe hacking*: el operador fija un objetivo general y deja que el agente evalúe, programe, ejecute y repita.
- **GTG-10007**: estudiantes de una universidad de Hunan, una *exploit foundry* («fábrica de exploits»): un bucle autónomo de ingeniería inversa de firmware produce más de una docena de posibles zero-days en un mes sobre equipos de red; enjambres de agentes con memoria de campaña persistente entre sesiones.
- **Cadena de suministro de IA**: una clave robada proporciona *botín, capacidad de cómputo, cobertura*. GTG-50020 ataca a una treintena de empresas de IA en cuatro días, con el objetivo declarado de acceder a un modelo Claude aún no publicado (fracasando en todas las vías); GTG-50021 vende falso acceso a Claude con descuento que instala un ladrón de credenciales. Inyecciones de prompt contra despliegues de LiteLLM y OpenClaw para exfiltrar claves de producción. Recomendación: tratar las claves de IA y las integraciones de agentes como credenciales de producción.
- **Influencia**: nueve operaciones, categorías 1 a 4 en la Breakout Scale; la mayoría no logra alcanzar una audiencia real, y el alcance genuino proviene de medios estatales (radio FM en la República Centroafricana, Sputnik, RT). La doctrina reside en archivos de memoria o archivos `SKILL.md` reutilizados en cientos de sesiones. Claude rechazó ciertas solicitudes (identificar activistas, elaborar un dosier difamatorio); el actor reformula y continúa.
- **Vigilancia**: en Malí, **Lakana 360** monitoriza ~**25M** de tarjetas SIM en tres operadores, con el requisito de orden judicial eliminado a petición del operador, desplegado localmente con un LLM local; suspender la cuenta no afecta al producto. En China, una unidad de inteligencia religiosa pasó de varios equipos a una sola oficina que produce miles de investigaciones al mes; una de las oficinas redacta un manual interno de uso de IA. En Irán, dieciséis cuentas, una extensión maliciosa de Firefox y dos unidades que alimentan el mismo sistema «Arman».
- **Armamento convencional**: seis casos. En Yemen, un lanzamiento de prueba real seguido de un retorno a Claude horas después para analizar el fallo; en Rusia, un enjambre de drones FPV con una clase de objetivo *"persona"* y detonación sin intervención humana (TRL 3-4); en China, un conjunto de guerra electrónica cuyo escenario por defecto cambia a doce objetivos en Taiwán. Se anuncian nuevos clasificadores de explosivos y armamento.
- **Biología**: cinco casos, todos de doble uso, con investigadores, instituciones y agentes activos deliberadamente no revelados. Los clasificadores confinan el gain-of-function a los modelos más débiles (Sonnet 4, Haiku 4.5), pero Opus 5 redacta una solicitud de subvención completa sobre ortopoxvirus en una hora sin ser bloqueado. Conclusión del informe: un clasificador por sí solo no puede *"habilitar el beneficio e impedir el daño"*, de ahí los programas de acceso verificado descritos en [[anthropic-claude-fable-5-1-mythos-5-1-2026-09-01]]. Un barrido de 30 días encontró: ~35 iniciativas de investigación vinculadas a instituciones estatales adversarias.
- **Fraude**: GTG-15001, más de 20 aplicaciones de citas, **4.700** perfiles de IA, **25.000** víctimas, **2,36M** de mensajes en dos semanas, tres perfiles por trabajador humano. El system prompt se asemeja a un despliegue ordinario de compañero de IA: el fraude resulta invisible desde dentro del propio intercambio.
- **Destilación**: Alibaba **151M** de intercambios (mayo-julio, 3.500 cuentas, destilando de Qwen 3.5 a 3.7), Moonshot AI **23M** (5.380 cuentas), DeepSeek **12,1M** en 14 días, Z.ai **3,4M** en 17 días, Xiaomi **400k**. DeepSeek identifica a usuarios de Claude Code, Claude Agent SDK u OpenCode y redirige sus solicitudes a Opus. Moonshot y DeepSeek convierten la *thinking signature* en una traza completa mediante *cross-session replay*; datos sensibles de terceros (el Ejército Popular de Liberación, el Ministerio de Defensa ruso, empresas) pasan así por Claude. Contramedidas: resumen del razonamiento, el *preserved thinking* de Fable 5.1, verificación de identidad: las medidas antidestilación anunciadas en la ficha de Fable 5.1 encuentran aquí su caso concreto. Comparar con [[sfeir-kimi-k3-moonshot-frontier-open-weights-2026-07-16]].
- ⚠️ **Higiene de citación**: la página no muestra fecha; la publicación se infiere de los metadatos del CMS (creada el día 9, actualizada el 10 de septiembre); las cifras de audiencia de las operaciones de influencia y fraude son autodeclaradas por los propios actores; el *uplift* es una estimación cualitativa; el informe no afirma que GLM-5.3 se entrenara con las trazas extraídas, solo que una campaña centrada en capacidades cibernéticas precedió a su lanzamiento.

## RésuméDe400mots

El **10 de septiembre de 2026**, Anthropic publicó su cuarto informe de inteligencia de amenazas. Cubre operaciones neutralizadas entre diciembre de 2025 y agosto de 2026 en siete ámbitos: ciberseguridad, influencia, vigilancia, armamento convencional, biología, fraude y destilación. Todos los casos involucran modelos Haiku, Sonnet u Opus; ninguno involucra a Fable o Mythos, salvo un intento de destilación.

En **ciberseguridad**, el informe constata que el modelo operativo autónomo descrito en noviembre de 2025 se ha extendido a todas las categorías de actores, hasta frameworks públicos como PentAGI. La sofisticación de un ataque ya no indica quién está detrás: un hacktivista francófono que actúa en solitario, afiliados de ShinyHunters y un operador vinculado a Midnight Blizzard ejecutan campañas con múltiples víctimas que un año antes habrían requerido equipos enteros. Los agentes reconstruyen el malware en cuanto es detectado, producen zero-days en bucle, y extraen 2.100 conjuntos de tokens de Azure AD en 34 horas. Las claves de API de IA robadas se convierten en botín, capacidad de cómputo y cobertura. Dos matices: los humanos siguen gestionando la selección de objetivos, y la autonomía multiplica la escala sin determinar la gravedad.

En **influencia**, nueve operaciones (Rusia, Irán, Turquía, el Golfo, Kenia, Bangladés, Malasia) muestran el modelo integrado como corrector de estilo dentro de flujos de trabajo ya existentes, con la doctrina almacenada en archivos de memoria reutilizados en cientos de sesiones. La mayoría no logra alcanzar una audiencia real; el alcance proviene de medios estatales. En **vigilancia**, el modelo sustituye a un equipo de ingenieros o analistas: una plataforma de interceptación de 25 millones de SIM en Malí, desplegada sin conexión y por tanto fuera del alcance de cualquier prohibición; oficinas de seguridad pública chinas y unidades iraníes que producen informes y herramientas.

Seis casos de **armamento convencional** van desde un ataque de prueba en Yemen hasta un enjambre de drones rusos capaz de seleccionar un objetivo humano sin operador. Cinco casos de **biología**, todos de doble uso, llevan a Anthropic a concluir que un clasificador no puede a la vez habilitar el beneficio e impedir el daño, de ahí los programas de acceso verificado. Una red de aplicaciones de citas hizo que 4.700 perfiles de IA conversaran con 25.000 personas.

Sobre la **destilación**, el informe nombra a siete laboratorios chinos. Alibaba alcanza 151 millones de intercambios en tres meses para entrenar a Qwen; Moonshot AI y DeepSeek sirven las respuestas de Claude a sus clientes sin revelarlo y convierten la *thinking signature* en una traza completa mediante repetición entre sesiones (*cross-session replay*); Z.ai se centra en capacidades cibernéticas antes del lanzamiento de GLM-5.3 y abandona Fable por modelos considerados menos protegidos. Contramedidas citadas: resumen del razonamiento, el *preserved thinking* de Fable 5.1, verificación de identidad.

## GrapheDeConnaissance

- Anthropic —publie→ Threat Intelligence Report septembre 2026 (DOCUMENT, 0.99)
- Threat Intelligence Report septembre 2026 —affine→ rapport Disrupting AI espionage novembre 2025 (DOCUMENT, 0.92)
- Anthropic —utilise→ Generative Threat Group (CONCEPT, 0.95)
- Anthropic —affirme_que→ aucun cas de mésusage n'implique Fable ou Mythos, hors une tentative de distillation (AFFIRMATION, 0.96)
- Anthropic —affirme_que→ la sophistication d'une attaque n'est plus un signal fiable de l'identité de son auteur (AFFIRMATION, 0.95)
- Anthropic —affirme_que→ le modèle opératoire autonome documenté en novembre 2025 s'est diffusé à toutes les classes d'acteurs (AFFIRMATION, 0.94)
- Anthropic —affirme_que→ l'autonomie multiplie l'échelle et la vitesse d'une opération mais ne détermine pas sa gravité (AFFIRMATION, 0.93)
- PentAGI —permet→ automatisation de la kill chain cyber (CONCEPT, 0.9)
- Midnight Blizzard —utilise→ Claude Code (TECHNOLOGIE, 0.9)
- ShinyHunters —utilise→ vibe hacking (CONCEPT, 0.9)
- Threat Intelligence Report septembre 2026 —mesure→ 2 100 jeux de jetons Azure AD sur 40 tenants dumpés en 34 heures, presque entièrement par des agents (MESURE, 0.92)
- Anthropic —recommande→ traiter les clés d'API IA et les intégrations d'agents comme des identifiants de production (AFFIRMATION, 0.95)
- Anthropic —utilise→ Breakout Scale (METHODOLOGIE, 0.95)
- Threat Intelligence Report septembre 2026 —affirme_que→ la plupart des opérations d'influence n'atteignent pas d'audience authentique, sauf via des médias d'État (AFFIRMATION, 0.92)
- Threat Intelligence Report septembre 2026 —mesure→ Lakana 360 couvre environ 25 millions de cartes SIM sur les trois opérateurs mobiles du Mali (MESURE, 0.92)
- Anthropic —affirme_que→ les garde-fous n'ont pas fonctionné uniformément dans les cas de surveillance chinois (AFFIRMATION, 0.93)
- Anthropic —affirme_que→ un classifieur ne peut pas seul permettre le bénéfice et prévenir le mal en biologie à double usage (AFFIRMATION, 0.94)
- Anthropic —recommande→ programmes d'accès de confiance (CONCEPT, 0.94)
- Threat Intelligence Report septembre 2026 —mesure→ 4 700 personas IA en conversation avec au moins 25 000 personnes, 2,36 millions de messages en deux semaines (MESURE, 0.93)
- Alibaba —utilise→ distillation illicite (CONCEPT, 0.96)
- Threat Intelligence Report septembre 2026 —mesure→ 151 millions d'échanges attribués à Alibaba entre mai et juillet 2026, pic à environ 3 millions par jour (MESURE, 0.95)
- Qwen —est_basé_sur→ Claude Opus (TECHNOLOGIE, 0.88)
- Moonshot AI —utilise→ attaque par rejeu inter-sessions (CONCEPT, 0.93)
- DeepSeek —utilise→ attaque par rejeu inter-sessions (CONCEPT, 0.93)
- attaque par rejeu inter-sessions —s_oppose_à→ thinking signature (TECHNOLOGIE, 0.92)
- Threat Intelligence Report septembre 2026 —affirme_que→ Moonshot AI et DeepSeek ont servi des réponses de Claude à leurs clients sans les en informer (AFFIRMATION, 0.93)
- Z.ai —utilise→ distillation illicite (CONCEPT, 0.95)
- Threat Intelligence Report septembre 2026 —affirme_que→ Z.ai a ciblé les capacités cyber de modèles américains avant la sortie de GLM-5.3 et abandonné Fable pour des modèles jugés moins protégés (AFFIRMATION, 0.92)
- Xiaomi —utilise→ distillation illicite (CONCEPT, 0.93)
- Claude Fable 5.1 —utilise→ preserved thinking (TECHNOLOGIE, 0.95)
- preserved thinking —réduit→ distillation illicite (CONCEPT, 0.9)
- Anthropic —affirme_que→ un modèle distillé d'un modèle frontière peut acquérir des capacités dangereuses même si les échanges récoltés n'en traitent pas (AFFIRMATION, 0.9)

---
Canonical: https://www.thekb.eu/es/fiches/anthropic-threat-intelligence-misuse-report-2026-09-10/