El exploit era el entregable
El viernes Anthropic amplió el acceso a capacidad cibernética de frontera para defensores, con salvaguardas diseñadas para que recibas el parche y nunca el prompt. El sábado The Register cubrió el otro extremo del mismo trato: enjambres de 26.000 agentes lanzando 17 millones de acciones ofensivas en tres días. Ambas salvaguardas rodean al modelo. La máquina donde un hallazgo se convierte en código que corre queda fuera, y esa es la máquina para la que está hecho Bromure Agentic Coding.
Hasta esta semana, la preocupación con un agente de código era que alguien engañara al tuyo para ejecutar un exploit. Ahora Anthropic y una fila de proveedores de red team están entregando a los defensores agentes que escriben exploits a petición, por buenas razones. Hazles la segunda pregunta: ¿en qué máquina corren?
El viernes, Anthropic amplió el acceso a su modelo más capaz para trabajo de seguridad. Claude Mythos 5 estaba cercado dentro de Project Glasswing, un conjunto pequeño de organizaciones que defienden software crítico. Ahora corre en Claude Security para clientes Enterprise, está entrando en los productos defensivos de los socios, y el Cyber Verification Program, que otorga salvaguardas reducidas a defensores verificados, también se está ampliando. Anthropic además puso 35 millones de dólares en créditos detrás del trabajo de seguridad en código abierto, a través de un nuevo Defender Advantage Fund.
El sábado, The Register cubrió el lado de la demanda del mismo trato. Rob Joyce, antes en la NSA, en la RSAC: “Te van a hacer red team pagues o no pagues por ello. La única diferencia es que sabes quién recibe los resultados.” Evan Peña, que dirigió el red team global de Mandiant y ahora cofunda Armadin: “Hemos encontrado más de 50 zero-days… que permiten a un atacante conseguir ejecución remota de código en un sistema real.” Los agentes, añadió, “no duermen y no se toman vacaciones.”
Ambas historias resuelven quién puede pedir capacidad ofensiva. Ninguna resuelve dónde corre el código que vuelve, y corre en algún sitio.
Anthropic dibujó la salvaguarda alrededor del modelo
El texto detalla el diseño, y es un buen diseño. El riesgo que Anthropic gestiona es el acceso directo al modelo: “El comportamiento más arriesgado ocurre cuando un usuario tiene acceso directo a un modelo, donde un actor malicioso puede intentar dirigirlo hacia usos dañinos. Pero si los usuarios solo pueden recibir salidas específicas, como un parche para una vulnerabilidad o una alerta de seguridad, ese riesgo es mucho menor.”
Así que un producto socio ejecuta Mythos en segundo plano para una tarea definida y devuelve un artefacto. Una herramienta de remediación devuelve parches sugeridos. La persona que sostiene la herramienta no puede darse la vuelta y pedir un exploit funcional, porque nunca habla con el modelo. Claude Security funciona igual: escanea un repositorio tuyo y devuelve cada hallazgo con una categoría CWE, una valoración de confianza y severidad, y una corrección sugerida. Un humano revisa y aprueba cada parche.
Una frase del anuncio mueve la historia a un portátil. Una vez que tienes el hallazgo, “abres Claude Code en la web para implementar la corrección.”
Es la decisión de producto correcta. Escanear y parchear son trabajos distintos, y el trabajo de parchear quiere un agente corriente en un repositorio corriente. También es donde una frontera sobre el acceso al modelo se queda sin alcance. El Cyber Verification Program llega al mismo punto desde el otro lado: su propósito declarado es “minimizar las interrupciones para los equipos aceptados que hacen trabajo legítimo de ciberseguridad en sistemas que están autorizados a proteger.” Salvaguardas reducidas, a propósito, para gente cuyos agentes necesitan escribir código ofensivo. Cada mes más portátiles corren un agente que escribirá y ejecutará una prueba de concepto cuando se lo pidan, que es justamente el sentido de dárselos a los defensores.
El control de acceso responde quién puede pedir. No responde qué puede tocar la respuesta.
Veintiséis mil agentes, tres días
Las cifras de The Register vienen de un ejercicio que Armadin condujo con TENEX.ai, descrito en una nota conjunta a principios de este mes. Tres días, una institución global sin nombrar, en condiciones de conocimiento cero: sin credenciales privilegiadas, sin listas blancas, sin acceso al código fuente. El enjambre indexó su reconocimiento en un grafo de conocimiento y después lanzó 26.000 agentes y 1.300 ataques contra más de 25.000 servicios, generando 17 millones de acciones ofensivas. Volvió con 238 hallazgos, 98 de ellos significativos, y 38 rutas de ataque validadas.
La mitad defensiva produjo el número más duro. TENEX.ai trió 101.169 alertas y reconstruyó todo a partir de 231.000 millones de eventos en bruto, en los que la actividad del atacante era un evento de cada 13.338.
Matt Hartman, antes jefe interino de ciberseguridad de CISA y hoy en Merlin Group, dijo a The Register que las organizaciones “van a tener que tratar a cada agente como una identidad privilegiada.” Jay Bavisi, de EC-Council, aportó la otra mitad. “Nadie hace pentest de la organización entera,” dijo, mientras que los atacantes “no tienen un problema de alcance.”
Tu propio agente tampoco tiene un problema de alcance, salvo que se lo des.
Cuatro cosas no fiables en una sesión de seguridad corriente
Deja el enjambre a un lado y mira a un ingeniero haciendo trabajo de encontrar-y-arreglar un martes. Claude Security marca algo. Abres un agente para escribir el parche, y para saber que el parche funciona le dejas reproducir el fallo. Esa sesión contiene cuatro cosas en las que la máquina no tiene motivo para confiar, y son las mismas cuatro venga el hallazgo de un enjambre o de un escáner.
El contenido del propio objetivo
Archivos fuente, un README, respuestas HTTP, cadenas de error, un AGENTS.md
versionado. Todo ello entra en el contexto del agente como texto, y a quien estás
probando escribió una parte.
El utillaje
Escáneres, ayudantes de fuzzing, bibliotecas de protocolo. Llegan como descargas de npm, PyPI, Cargo y Go, resueltas al vuelo, a menudo de paquetes que nadie en el equipo ha leído.
El alcance
El alcance de un ejercicio es una frase en un documento. Nada en el portátil sabe qué hosts están dentro, y un paso de reconocimiento que se va de paseo se parece a uno que se queda quieto.
Las credenciales al alcance
Una clave SSH, un kubeconfig, claves de nube, logins de registro de contenedores.
Ninguna pertenece a la tarea. Todas están a un cat de lo que esté corriendo.
Nadie cometió un error para llegar a esa lista. Describe las condiciones normales de hacer trabajo de seguridad en un ordenador de propósito general.
Bromure le da un control a cada una
Bromure Agentic Coding ejecuta el agente en una VM Ubuntu desechable sobre el framework Virtualization de Apple, con su propio kernel, solo las carpetas del Mac que elegiste montadas dentro, y un proxy MITM del lado del anfitrión como única salida. Esa es la frontera que falta en la mitad derecha del diagrama.
Algo lee el contenido del objetivo antes que el modelo. El panel Prompt Injection
puntúa el contenido de archivos, las páginas web y la salida de herramientas que el agente
trae, sus bloques tool_result, con un modelo PromptGuard local. Puntúa los archivos de
instrucciones que los agentes tratan como autoridad (CLAUDE.md, AGENTS.md, GROK.md, y
sus variantes anidadas y globales) con un clasificador ModernBERT afinado, junto a un
escáner determinista para la ofuscación en Unicode invisible que el modelo no sabe leer.
Ambos corren en tu Mac y no envían nada a ningún sitio. Tú eliges qué hace una detección:
registrarla, preguntarte, o hacer fallar la petición con un 451 antes de que el modelo vea
el texto.
Bromure revisa el utillaje en el registro. Cada descarga de paquete pasa primero por el
proxy del anfitrión: npm, PyPI, Cargo, RubyGems, Maven, NuGet, Go, Packagist. Una barrera
de antigüedad está activa por defecto en dos días, así que un escáner publicado esta mañana
no se instala. Los rangos de versión flotantes resuelven a la publicación más reciente
anterior al corte, y una referencia fijada a algo demasiado fresco vuelve como un 451 con
un error de Bromure encima. Las consultas a OSV bloquean versiones vulnerables conocidas a
la severidad que elijas. Bromure quita los scripts de instalación de los tarballs de npm al
vuelo, reescribiendo el tarball y el hash de los metadatos del registro para que la
verificación propia de npm siga pasando. El .npmrc dentro de la VM puede apretar todo
esto y no puede aflojarlo.
El alcance deja de ser un documento. En Guardrails, la tabla Outbound connections es un
cortafuegos por perfil: una fila por regla, cada una con una acción, un protocolo (tcp,
udp, web o any), un host o CIDR, puertos, y para web una lista de métodos HTTP. Las
reglas se evalúan de arriba abajo, gana la primera que casa, y Unmatched traffic es un
interruptor de dos posiciones. Ponlo en Deny, añade los hosts del ejercicio, y el problema
de alcance de Bavisi se convierte en un filtro de paquetes. La interceptación transparente
viene activa por defecto, así que un invitado que desactiva HTTPS_PROXY no cambia nada
sobre qué conexiones salen. Cada permiso y cada denegación aterrizan en el Security Log.
Las credenciales al alcance no son las credenciales. Los valores reales nunca entran en
la VM. El proxy cambia un señuelo por el token real en el cable, el kubeconfig del invitado
es sintético con certificados de cliente desechables, y AWS recibe un ayudante
credential_process que entrega al SDK un secreto falso de cuarenta caracteres mientras el
anfitrión vuelve a firmar SigV4 con el material verdadero. Cualquier cosa que rodee el
proxy recibe InvalidSignatureException de Amazon. Cada credencial lleva además una
política de escritura Off, Block destructive o Read-only, aplicada en el proxy del
anfitrión donde un agente comprometido no puede discutirla: una ejecución de validación que
no tiene por qué borrar un bucket de S3 se lleva un 403 seco cuando lo intenta. Require
approval to use convierte una credencial en una petición de consentimiento con una
concesión acotada en el tiempo de cinco minutos, una hora, o el resto de la sesión. Eso
encaja con una clave SSH durante un ejercicio de red team, donde quieres que la firma
ocurra y quieres saber que ocurrió.
El registro que ibas a tener que escribir de todas formas
El trabajo de red team produce papeleo. Qué tocaste, cuándo, bajo qué identidad, y qué volvió. Bromure escribe la mayor parte como efecto colateral. La ventana Security Timeline mantiene una única tabla cronológica de cada intercambio de credencial y cada firma, cada veredicto de paquete, cada permiso y denegación del cortafuegos, y cada detección de inyección, guardada en el Mac donde nada dentro de la VM puede editarla. Sube el nivel de traza de sesión y el proxy guarda también los cuerpos, cifrados con AES-GCM con la misma clave del llavero que tus secretos de perfil.
Entre ejercicios las capas de almacenamiento se separan. Erase home… devuelve el
/home/ubuntu del perfil a su estado tras la clonación y se lleva los clones, las cargas
útiles, el historial del shell y las cachés de los escáneres. Reset to base… descarta
todo lo que instalaste con sudo apt install y vuelve a clonar el disco de sistema del
espacio de trabajo. Los restos de un objetivo no te siguen al siguiente.
Dale a la capacidad un sitio donde aterrizar
El despliegue por etapas de Anthropic es la versión responsable de una decisión difícil. Entregar al defensor el artefacto en lugar del modelo es la forma que lleva capacidad de frontera a la gente que parchea hospitales y suministradores sin llevársela también a todo el mundo, y el paso de aprobación humana sobre los parches no es adorno. Armadin y TENEX.ai pasaron su ejercicio por una capa de control con un modelo de seguridad supervisor y un SOC de verdad mirando desde el otro lado. Todo el mundo se portó bien en las noticias de esta semana.
Lo que nada de eso cubre es el portátil. Todo ese cuidado termina en el momento en que un hallazgo se convierte en un archivo, y el archivo aterriza en una máquina de propósito general que lleva coleccionando credenciales desde el día en que IT la entregó. Joyce tiene razón en que te harán red team de una manera o de otra. No eliges si el agente ofensivo existe. Eliges en qué máquina se despierta, y puedes elegir una que tires después.
Fuentes: Anthropic, “Bringing the cybersecurity capabilities of Claude Mythos 5 to more defenders” (21 de agosto de 2026) · The Register, “If you're not using AI to attack your own systems, your adversaries will” (22 de agosto de 2026) · Armadin y TENEX.ai, “Largest Controlled Live AI Cyberattack on Record” (3 de agosto de 2026) · SecurityWeek, “Kevin Mandia's Armadin Launches With $189.9 Million in Funding”