Anthropic publicó hace unos días un informe sobre uno de los mayores ciberataques que utiliza inteligencia artificial. Desde hace un par de años vengo advirtiendo que esto se venía, y el gobierno peruano no se da cuenta de lo megaexpuesto que está a estos desarrollos. Lo que pasó: hackers chinos (con alta confianza, un grupo patrocinado por el Estado) convirtieron a Claude (una herramienta de IA para escribir código) en su equipo automatizado de pentesters y ejecutaron campañas de espionaje contra ~30 organizaciones globales: gobiernos, empresas tech, bancos y manufactureras químicas. Varios ataques fueron exitosos. El truco fue engañar a Claude haciéndose pasar por empleados de una firma legítima de ciberseguridad haciendo "pruebas defensivas". Una vez que Claude se lo creyó, lo pusieron a trabajar: escanear redes, identificar vulnerabilidades, escribir exploits personalizados, robar credenciales, moverse lateralmente, extraer datos sensibles, categorizarlos por valor de inteligencia y documentar todo para el siguiente turno. Miles de requests por segundo. Claude se encargó de casi todo automáticamente. Los humanos solo intervenían en 4-6 momentos críticos por campaña. El otro 80-90% era Claude trabajando de forma autónoma, como si fuera un equipo completo de hackers experimentados. Eso sí, todavía requería revisión de resultados por una persona en algunas etapas, pero ya sabemos lo rápido que mejoran estos modelos. Y aquí viene lo que debería preocuparnos: reproducir una versión básica de este sistema no requiere recursos extraordinarios ni equipos gigantes. Ese es el punto de usar Claude para esto. Estamos hablando de tal vez 1 mes de desarrollo para alguien con conocimientos medios. La barrera de entrada es baja y cada vez menor. ¿Por qué Perú debería preocuparse? Porque si gobiernos con mucha mejor infraestructura y recursos están siendo comprometidos con esta técnica, nosotros estamos caminando prácticamente con los ojos vendados por una autopista. Ya no necesitas un equipo élite de hackers; basta con saber hacer las preguntas correctas a un LLM y armar el framework básico. El Estado peruano tiene sistemas legados, poca inversión en ciberseguridad y muy mínima preparación para este tipo de amenazas autónomas. Es matemática simple: cuando los targets incluyen "agencias gubernamentales" y el ataque es mayormente autónomo, es solo cuestión de tiempo antes de que alguien apunte acá. Anthropic detectó todo en septiembre, baneó las cuentas, notificó a víctimas y autoridades, y mejoró sus sistemas. Ojalá no tenga que publicar un "se los dije" en el futuro, pero es probable que sí. Espero que alguien esté prestando atención. Descripción de lo que pasó: anthropic.com/news/disruptin… El informe completo: assets.anthropic.com/m/ec212…