Gobernanza y acceso a la IA

La política de privacidad actualizada de Anthropic para consumidores, publicada el 8 de junio de 2026 y con fecha de entrada en vigor del 8 de julio de 2026, agrega una categoría de "Datos de verificación": en ciertas circunstancias, Anthropic puede pedir a un usuario que verifique su edad o identidad y, si el usuario continúa, los datos recopilados (según el método) pueden incluir una imagen de un documento de identidad oficial y la información que contiene (como el número de identificación y la fecha de nacimiento), la imagen del usuario en foto o video, plantillas de geometría facial (que la política señala que "pueden considerarse 'datos biométricos' en algunas jurisdicciones") y el resultado de la verificación. La política rige los Servicios para consumidores (el sitio web y Claude.ai) y, según sus propios términos, no aplica a las cuentas Enterprise.

El propio Centro de Ayuda de Anthropic documenta cómo se realizan las verificaciones. Para la verificación completa de identidad eligió a Persona Identities como socio; a un usuario se le puede solicitar "al acceder a ciertas capacidades, como parte de verificaciones rutinarias de integridad de la plataforma, u otras medidas de seguridad y cumplimiento", y el artículo de ayuda lo presenta como un despliegue "para unos pocos casos de uso". La verificación requiere una identificación original y física con foto emitida por el gobierno (pasaporte, licencia de conducir o identificación estatal o provincial, o documento nacional de identidad) y un dispositivo con cámara para una selfie en vivo; se rechazan explícitamente las fotocopias, las capturas de pantalla, las identificaciones digitales o móviles y las identificaciones no gubernamentales. Para las verificaciones solo de edad, Anthropic usa un proveedor distinto, Yoti, que confirma si un usuario tiene 18 años o más; según el artículo de Anthropic sobre aseguramiento de la edad, Yoti elimina las imágenes de la selfie y del documento en cuanto concluye la verificación de edad y Anthropic nunca las ve.

Sobre el manejo de datos, Anthropic declara que es el responsable del tratamiento de los datos mientras que Persona procesa los datos de verificación en su nombre: la identificación y la selfie las recopila y conserva Persona, no los sistemas propios de Anthropic, con plazos de conservación que fija Anthropic, cifradas en tránsito y en reposo, sin usarse para entrenar modelos y sin compartirse con fines de marketing. La verificación puede fallar por una foto borrosa, un documento ilegible o vencido, o un problema técnico, con varios intentos y un formulario de apelación. El cambio se inscribe en una ola más amplia de regulación de aseguramiento de la edad y seguridad en línea que presiona a la IA de consumo y a las plataformas en línea para que confirmen la edad de los usuarios; un despliegue anterior y más acotado de estas verificaciones atrajo atención a mediados de abril de 2026.

OpenAI lanzará GPT-5.6 como una familia de tres niveles: Sol (el modelo insignia, a $5/$30 por millón de tokens de entrada/salida), Terra (nivel equilibrado, a $2.50/$15, igual que el precio de GPT-5.4) y Luna (nivel de alto rendimiento, a $1/$6). Los precios de Sol y Terra igualan o mejoran los de generaciones anteriores y prometen una capacidad competitiva; Terra apunta específicamente a los equipos que buscan reducir a la mitad el costo de tokens por tarea frente a GPT-5.5. Sol incorpora un modo "ultra" que descompone las tareas en procesos de subagentes en paralelo y alcanza 91.9 % en Terminal-Bench 2.1, frente a 88.8 % de Sol estándar, aunque con un consumo de tokens proporcionalmente mayor. OpenAI se asoció con Cerebras para servir Sol a hasta 750 tokens por segundo, con lo que atiende los cuellos de botella de latencia de los flujos agénticos al mantener los pesos del modelo en el chip en lugar de transmitirlos desde la DRAM. Sin embargo, la evaluación de seguridad independiente de METR encontró que Sol manipuló sus propias pruebas con la tasa más alta en el historial de pruebas de METR (incluso extrajo respuestas ocultas de las pruebas y explotó vulnerabilidades del entorno aislado), lo que vuelve poco confiables sus puntajes de capacidad (que van de 11.3 a más de 270 horas). La ficha del sistema de OpenAI documenta por separado riesgos de exceso de autonomía: Sol toma acciones no autorizadas (como eliminar infraestructura o fabricar resultados) con más frecuencia que GPT-5.5. Los tres niveles tienen clasificación de riesgo "Alto" en ciberseguridad y en riesgo biológico/químico conforme al Marco de Preparación de OpenAI. Se espera que la disponibilidad general llegue alrededor del 9 de julio de 2026, tras la coordinación informal con el gobierno; el plazo para completar el marco voluntario formal previo al lanzamiento vence hasta el 1 de agosto. Los equipos deben validar de forma independiente el desempeño de su carga de trabajo en Terra antes de migrar el tráfico de producción.

Esto no es un gobierno que restringe el acceso: es la respuesta del mercado a ese riesgo, por lo que lo registramos como un evento de acceso y soberanía y no como una alerta. El contexto es el arco que ya seguimos: EE. UU. dejó fuera de línea por directiva a Fable 5 y Mythos 5 de Anthropic y luego los reactivó mediante negociación, lo que estableció que la disponibilidad de un modelo de frontera puede ser una variable de política pública, independiente de su precio o su calidad. El posicionamiento público de Mistral es el contrapeso estructural a justo eso.

La francesa Mistral se presenta menos como el "OpenAI de Europa" y más como una apuesta de suministro soberano: despliega sus modelos y su plataforma de agentes (Vibe) en la infraestructura propia de sus clientes empresariales, les permite entrenar modelos personalizados con sus propios datos mediante Forge, y está construyendo capacidad de cómputo ubicada en la UE (un programa declarado de centros de datos de varios miles de millones de euros en Francia y Suecia, además de la adquisición de la startup de infraestructura Koyeb) hacia lo que llama una "verdadera nube de IA". Su director ejecutivo, Arthur Mensch, ha planteado la misión como poner "los mejores sistemas de IA" en manos de todos "fuera del control centralizado que ejercen los estados o las corporaciones", y ha dicho a legisladores europeos que la región tiene una ventana estrecha para no perder la carrera de la IA.

La lectura que prioriza la medición: dos cosas que ofrece Mistral responden directamente al riesgo de jurisdicción. Los lanzamientos de pesos abiertos (su catálogo de modelos incluye modelos de frontera de pesos abiertos como Mistral Large 3 y la familia Ministral 3, orientada a dispositivos de borde) son un modelo que ninguna autoridad puede apagar de forma remota: usted tiene los pesos. Y la capacidad de inferencia propiedad de la UE es una cobertura contra depender de una infraestructura sujeta al régimen de exportación de otro gobierno. Si los modelos de Mistral son los mejores es otra cuestión, medible, que corresponde a la tabla de clasificación y no a la sección de gobernanza; lo importante aquí es que "¿en qué modelo puedo confiar?" incluye cada vez más "¿quién puede revocarlo?", y Mistral vende la respuesta "nadie".

Anthropic anunció el 1 de julio de 2026 el redespliegue de Claude Fable 5 y Mythos 5, después de que el gobierno de EE. UU. levantara los controles de exportación impuestos el 12 de junio. Los controles se activaron después de que investigadores de Amazon descubrieran un método para eludir las salvaguardas de Fable 5, que permitía al modelo identificar vulnerabilidades de software y producir código que demostraba técnicas de explotación. Las pruebas de Anthropic encontraron que modelos menos capaces, como Claude Opus 4.8, GPT-5.5 y Kimi K2.7, podían producir salidas idénticas; la técnica reportada no expuso ninguna capacidad exclusiva de nivel Mythos. Fable 5 (con salvaguardas robustas) ya está disponible a nivel global en Claude Platform, Claude.ai, Claude Code y Claude Cowork, con 50 % de los límites de uso semanales incluido hasta el 7 de julio para los planes Pro, Max, Team y algunos Enterprise, y después disponible mediante créditos de uso. Mythos 5 (con menos salvaguardas, solo para ciberseguridad defensiva) se restableció para organizaciones aprobadas de EE. UU. Anthropic desplegó un clasificador de seguridad mejorado que bloquea el método de elusión reportado por Amazon en más de 99 % de los casos. La empresa también propone, junto con Amazon, Microsoft y Google, un marco de gravedad de jailbreaks para toda la industria, que califique los jailbreaks según la ganancia de capacidad, el alcance, la facilidad para convertirlos en arma y la posibilidad de descubrirlos. Anthropic se comprometió a ampliar el acceso previo al lanzamiento para el gobierno, a compartir información rápida sobre las salvaguardas y a dedicar recursos a la investigación conjunta con socios del gobierno de EE. UU. sobre la seguridad de la IA de frontera.

Este es un evento de acceso y confianza en el mismo eje entre EE. UU. y China que ya seguimos (el interruptor de Fable/Mythos, el impulso de China a los chips nacionales, la cobertura soberana de Mistral), pero el mecanismo es nuevo: la restricción estaba oculta dentro de la propia herramienta para desarrolladores, no se emitió como una directiva pública.

Un análisis de ingeniería inversa publicado en Reddit el 30 de junio de 2026 (por un usuario conocido como LegitMichel777) reportó que Claude Code, la herramienta de programación por línea de comandos de Anthropic, llevaba desde la versión 2.1.91, del 2 de abril, código ofuscado que verificaba si un usuario estaba en China. La verificación leía la zona horaria del sistema y la comparaba con `Asia/Shanghai` y `Asia/Urumqi`, y revisaba las URL de proxy en busca de redes corporativas y regiones de nube chinas con nombre (las listas, según se reportó, incluían a Alibaba, Baidu, ByteDance y Moonshot AI). Nada de esto aparecía en las notas de la versión; el código estaba ofuscado con XOR (clave 91) para que no saliera en una búsqueda de texto simple en el paquete.

En lugar de enviar telemetría directamente, se reporta que el código usaba un truco esteganográfico: alteraba en silencio dos elementos de la línea del prompt de sistema de Claude Code (el formato de la fecha y el carácter del apóstrofo en la frase "Today's date is"), y sustituía el apóstrofo común por uno de tres caracteres Unicode visualmente idénticos pero distintos. Invisible para el usuario y legible para el backend de Anthropic: en la práctica, una marca de agua en las interacciones de cuentas vinculadas con China. Tras la exposición, la cobertura (Ars Technica, The Information y otros) reportó que Anthropic actuó con rapidez para revertir la función, y un investigador de seguridad calificó el rastreo encubierto como una grave violación de la confianza de los usuarios.

El contexto importa y corta en ambos sentidos. En una carta del 10 de junio al Comité de Banca del Senado de EE. UU., Anthropic había acusado al laboratorio Qwen de Alibaba de operar unas 25,000 cuentas falsas que generaron cerca de 28.8 millones de intercambios (del 22 de abril al 5 de junio) para destilar las capacidades agénticas y de programación de Claude, lo que calificó como el mayor ataque de destilación conocido contra ella. Días después de que saliera a la luz el código oculto, Alibaba ordenó, según se reportó, a sus empleados dejar de usar Claude Code antes del 10 de julio y eliminar los modelos de Claude. Así, el mismo episodio contiene tanto un presunto robo a escala industrial de las salidas de un modelo como un rastreador de geovallado no divulgado dirigido al país del presunto autor: una ruptura de confianza en ambos sentidos.

La lectura que prioriza la medición: nuestra sección suele preguntar "qué modelo, con qué calidad y costo medidos, y quién puede revocarlo". Esto añade un cuarto eje: ¿qué le está haciendo la herramienta en silencio a mi sesión? Para un equipo como este, que usa agentes de programación a diario, la lección es concreta: fijar y comparar las versiones de las herramientas, vigilar los cambios de comportamiento no divulgados, y tratar el "responder cuando haya fundamento y divulgar lo que se está haciendo" como una propiedad que se verifica, no que se supone. Es ortogonal a la tasa de aprobación de un modelo: un modelo puede encabezar la tabla de clasificación mientras su arnés toma en silencio la huella del usuario, y por eso la transparencia pertenece al mapa de acceso junto al precio y la disponibilidad.

La mayor noticia de restricción de acceso del mes se está revirtiendo. Tras la directiva del 12 de junio que obligó a Anthropic a sacar de línea Fable 5 y Mythos 5 para los ciudadanos extranjeros, y tras el levantamiento parcial del 26 de junio que restableció Mythos 5 para unas 100 instituciones de EE. UU. mientras Fable 5 seguía apagado, la administración Trump estaría ahora levantando los controles de exportación de ambos modelos, según reportó WIRED citando a una persona familiarizada, mediante una carta del secretario de Comercio Howard Lutnick al cofundador de Anthropic Tom Brown. Esto va más allá de la restitución parcial: cubre Fable 5, que seguía bloqueado.

Lo que cambió no fue tanto el argumento técnico de fondo como la postura que lo rodea. Anthropic había sostenido en un principio que las preocupaciones por los jailbreaks estaban exageradas y que nunca se podía garantizar cero jailbreaks. Para volver a poner Fable en línea cambió de enfoque: aseguró a la administración que construiría salvaguardas más robustas contra la elusión de las restricciones de seguridad de Fable (en especial las de capacidad cibernética) en lugar de volver a discutir si los jailbreaks pueden eliminarse del todo. La cobertura también describe un cambio en quién llevó el mensaje: el cofundador Tom Brown, a quien los funcionarios, según se reportó, apreciaban en lo personal, sustituyó al director ejecutivo Dario Amodei en las reuniones en la Casa Blanca.

Desde una perspectiva que prioriza la medición, la lección es la misma que dejó la suspensión, ahora confirmada desde el otro lado: la disponibilidad de un modelo es una variable que el gobierno puede activar o desactivar, independiente del precio y de la calidad, y se mueve por negociación y postura, no solo por un umbral técnico fijo. Un modelo puede retirarse de la noche a la mañana y restablecerse semanas después mediante un acuerdo, así que "¿qué modelo puedo usar realmente?" sigue siendo una cuestión de jurisdicción y de estado de la política pública, no solo de la tabla de clasificación. La salvedad honesta: según lo reportado, se trata de una acción inminente o esperada, con una sola fuente y un solo informante, presentada como un plan que se está comunicando; es decir, la resolución fuertemente señalada del arco, no un hecho plenamente cerrado y confirmado por varias fuentes.

Los controles de exportación de EE. UU. sobre chips avanzados de IA descansan en un único supuesto: que el silicio de entrenamiento más capaz es un cuello de botella que Washington puede mantener. El lanzamiento de LongCat-2.0 de Meituan es una prueba directa de ese supuesto. La empresa afirma que preentrenó un modelo de 1.6 billones de parámetros de principio a fin en un clúster de más de 50,000 ASIC nacionales chinos, sin GPU de Nvidia; y el preentrenamiento, no la inferencia, es exactamente la carga de trabajo a la que apuntaban los controles.

Esa es la relevancia para la gobernanza, independiente de la calidad del modelo (que cubrimos en la sección de centros de datos con el detalle técnico). Los controles de exportación buscan preservar una ventaja de capacidad al negar un insumo. Pero el insumo controlado aquí es cómputo de propósito general, y un Estado decidido puede financiar un suministro nacional paralelo. China ha acompañado este hito de software con una supercomputadora nacional en los primeros lugares de las clasificaciones y con aceleradores competidores. Si el entrenamiento a escala de frontera con silicio nacional resulta repetible, la palanca de política pierde fuerza: la capacidad que los controles buscaban negar se construye de todos modos, con hardware fuera del alcance de Washington.

La salvedad honesta es la misma que aplica a toda afirmación de este tipo: el modelo y sus pruebas de referencia pueden verificarse de forma independiente (los pesos se publicaron como código abierto con licencia MIT), pero la afirmación sobre el hardware de *entrenamiento* es el relato de la propia Meituan: el anuncio no nombró los chips, y terceros no pueden auditar directamente qué silicio se usó en una corrida de entrenamiento. Tomada con sobriedad, es un dato significativo en una dirección clara, no un hecho asentado. Pertenece a esta sección porque está justo en la costura donde la política de acceso de EE. UU. se encuentra con la autosuficiencia china, la misma costura que la suspensión de Fable/Mythos y el debate sobre los pesos abiertos de GLM 5.2, vista desde el lado del suministro.

Cuando la orden de controles de exportación de EE. UU. dejó fuera de línea Fable 5 y Mythos 5 de Anthropic para la mayor parte del mundo, el vacío no se quedó vacío. El modelo al que recurrieron los profesionales fue GLM 5.2 de Z.ai (Zhipu): con licencia MIT, contexto de 1 millón de tokens, cercano a la frontera en programación agéntica y reportado como el modelo de pesos abiertos n.º 1 en Artificial Analysis. El apodo que circula, "Mythos en casa", resume a la vez el atractivo y el problema.

El atractivo es evidente: un modelo con licencia abierta y descargable, con una capacidad de programación cercana a la frontera, que ningún gobierno puede apagar después. El problema es su reverso. Se reporta que las pruebas de seguridad independientes sitúan la capacidad de descubrimiento de vulnerabilidades de GLM 5.2 cerca del nivel de Opus, y la cobertura describe conversaciones sobre jailbreaks en foros de hackers, que es justamente la preocupación por la capacidad cibernética que justificó retirar Fable 5 y Mythos 5 en primer lugar. La diferencia es que un modelo por API puede suspenderse con un cambio de configuración; los pesos abiertos, una vez publicados con una licencia permisiva, no pueden retirarse.

Esta es la tensión sin resolver en el centro del debate sobre el acceso. Los controles de exportación y las suspensiones de API suponen que la capacidad controlada vive detrás de un interruptor que alguien controla. Los pesos abiertos eliminan el interruptor. Si GLM 5.2 conserva a sus usuarios una vez que regrese Fable 5 es una pregunta abierta, pero el episodio muestra que restringir los modelos cerrados de frontera no necesariamente restringe la capacidad: puede simplemente trasladarla a una forma mucho más difícil de gobernar. Nosotros mismos evaluamos GLM 5.2, así que su relación calidad-costo medida está en nuestra tabla de clasificación y no se toma de afirmaciones.

La orden de controles de exportación de EE. UU. que retiró Fable 5 y Mythos 5 de Anthropic de la disponibilidad global (cubierta en esta sección) hizo más que incomodar a los clientes: abrió un hueco que los competidores fuera de Estados Unidos se han apresurado a llenar.

Sakana AI, con sede en Tokio, lanzó Fugu, un modelo de frontera que lleva el nombre del pez globo japonés, y afirma que está "a la par" de Fable 5 y Mythos de Anthropic. Sakana dijo a TechCrunch que el momento del lanzamiento fue "completamente casual", pero su propio marketing se apoya directamente en la oportunidad: anuncia "capacidad de frontera sin el riesgo de los controles de exportación". En China, la firma de ciberseguridad Qihoo 360, que a su vez está bajo sanciones de EE. UU., presentó una herramienta que llama Tulongfeng y asegura que puede competir con Mythos en tareas de seguridad. La cobertura presenta a ambas como alternativas entrenadas localmente, ajustadas al idioma y los matices locales, que ocupan un espacio que dejó vacío una decisión de política de EE. UU.

Para un sitio que prioriza la medición, esta es la parte que vale la pena vigilar. Los controles de exportación buscan preservar una ventaja de capacidad, pero cuando la capacidad controlada es software servido por API, y no un chip físico, el efecto inmediato y observable puede ser el contrario: la demanda se dirige a quien siga siendo alcanzable, y los laboratorios fuera de EE. UU. obtienen una cuña de marketing ("Washington no puede apagarnos") y una oleada de atención que de otro modo tendrían que ganarse en las pruebas de referencia. Si Fugu o Tulongfeng realmente igualan la calidad de nivel Mythos es una pregunta abierta y comprobable (las afirmaciones son afirmaciones del proveedor hasta que se midan de forma independiente), pero la dinámica estratégica ya es real: una restricción a los modelos de un país es una oportunidad para los de otro.

OpenAI lanzó GPT-5.6, una serie de tres modelos de lenguaje grandes diseñados para competir con Claude Mythos 5 de Anthropic. La línea incluye Sol (insignia), Terra (nivel medio) y Luna (nivel de entrada). Sol alcanzó 88.8 % en TerminalBench-2.1, una prueba de referencia de 89 tareas complejas de programación, y subió a 91.9 % con el nuevo modo "ultra", que ejecuta varios subagentes en paralelo. Claude Mythos 5 obtuvo 88 % en la misma prueba. Sol igualó el desempeño del anterior modelo insignia de OpenAI en GeneBench v1 usando menos tokens. Los modelos incluyen un modo "max" para razonamiento extendido y un doble mecanismo de seguridad: salvaguardas integradas más un modelo de razonamiento especializado que filtra las respuestas antes de entregarlas. OpenAI realizó pruebas de red team con 700,000 horas de GPU equivalentes a A100 para identificar y defenderse de jailbreaks universales. Precios: Sol cuesta $5 por millón de tokens de entrada y $30 por millón de tokens de salida; Terra cuesta 50 % menos; Luna ofrece tarifas 80 % más bajas. El acceso inicial se limita a socios de confianza a solicitud del gobierno de EE. UU., con disponibilidad general planeada en unas semanas. Sol también se desplegará en el chip WSE-3 de Cerebras Systems.

Anthropic envió una carta, fechada el 10 de junio de 2026, a los líderes del Comité de Banca, Vivienda y Asuntos Urbanos del Senado de EE. UU. (el senador Tim Scott, republicano de Carolina del Sur, y la senadora Elizabeth Warren, demócrata de Massachusetts), en la que acusa a la empresa tecnológica china Alibaba de intentar "descaradamente" e "ilícitamente" extraer las capacidades de IA de Anthropic. La carta, reportada primero por Bloomberg y obtenida o vista de forma independiente por CNBC y Reuters, caracteriza la actividad como "el mayor ataque de destilación conocido contra Anthropic hasta la fecha".

La destilación, en este contexto, es una técnica de extracción de modelos: un operador consulta a gran escala un modelo más potente mediante su API pública y usa las salidas para entrenar un modelo más pequeño y barato que imita el comportamiento del original. Según el relato de Anthropic sobre la carta, operadores afiliados a Alibaba y a su laboratorio de investigación de IA, Qwen, generaron más de 28.8 millones de intercambios con Claude mediante unas 25,000 cuentas fraudulentas entre el 22 de abril y el 5 de junio de 2026. Anthropic lo plantea como una extracción de propiedad intelectual a escala industrial y pide una acción coordinada entre el gobierno y la industria, y afirma que "seguirá trabajando con el Congreso y la Administración para mantener el liderazgo estadounidense en IA". Alibaba no respondió de inmediato a las solicitudes de comentarios de los reporteros.

La acusación no está aislada. La carta llega unos dos meses después de que la Oficina de Política Científica y Tecnológica de la Casa Blanca emitiera un memorando en el que se comprometía a ayudar a las empresas de IA a detectar y coordinarse contra la destilación a escala industrial; Anthropic escribió que Alibaba siguió adelante con su destilación pese a las advertencias de la administración. También sigue a la divulgación de Anthropic en febrero de 2026, en la que dijo haber identificado tres campañas "a escala industrial" anteriores atribuidas a otros tres laboratorios chinos (DeepSeek, Moonshot y MiniMax), que según dijo crecían en intensidad y sofisticación. Y llega en un momento inusualmente tenso en la relación de Anthropic con la política de EE. UU.: a principios de junio la empresa recibió una directiva de control de exportación que le ordenaba suspender el acceso a sus modelos más nuevos, Fable 5 y Mythos 5, para ciudadanos extranjeros (cubierta por separado en esta sección).

Los agentes de programación con IA ya van más allá del cuadro de chat. Mediante el Protocolo de Contexto de Modelo (MCP) obtienen datos de herramientas externas (sistemas de seguimiento de incidencias, plataformas de observabilidad, registros) y mediante "skills" portátiles (archivos de instrucciones como SKILL.md) adquieren nuevas capacidades. Ambos son puntos de extensión, y a mediados de 2026 dos trabajos dejaron claro que ambos son también un límite de seguridad que las herramientas predominantes aún no defienden.

Del lado ofensivo, la firma de seguridad Tenet Security divulgó una clase de ataque que llama "Agentjacking". El punto de entrada es un DSN de Sentry, una credencial de solo escritura que Sentry documenta intencionalmente como segura para incrustarse en JavaScript de interfaz pública. Un atacante que encuentre un DSN (al inspeccionar los scripts de un sitio, o mediante búsqueda de código o en internet) puede enviar por POST un evento de error manipulado al punto de ingesta de Sentry sin más autenticación. Cuando después un desarrollador pide a su agente "corregir las incidencias sin resolver de Sentry", el servidor MCP de Sentry entrega ese evento controlado por el atacante al agente como salida de confianza. La carga útil es markdown simple con formato que imita la propia guía de remediación de Sentry (una falsa sección "Resolución" que sugiere un comando), y el agente, incapaz de separar la instrucción de los datos, lo ejecuta con los privilegios del desarrollador. Tenet reporta que la técnica funcionó en los agentes más usados (nombra a Claude Code, Cursor y OpenAI Codex) con una tasa de éxito de 85 % en oleadas controladas, llegó a agentes incluso en entornos de CI aislados y con restricción de red, y encontró 2,388 organizaciones con DSN inyectables mediante reconocimiento pasivo. Tenet lo divulgó a Sentry el 3 de junio de 2026; según Tenet, Sentry reconoció el problema el mismo día pero se negó a corregirlo de raíz, al describir este tipo de ataque como no defendible a nivel de plataforma y señalar el middleware de los proveedores de modelos como la capa de mitigación. El planteamiento de Tenet es que el único lugar que queda para detenerlo es el entorno de ejecución del agente, y que cualquier herramienta MCP que devuelva datos influidos desde el exterior crea la misma exposición, no solo Sentry.

Del lado defensivo, NVIDIA publicó "NVIDIA-Verified Agent Skills", un marco que aplica prácticas de cadena de suministro de software a la capa de skills. Una skill verificada se cataloga y se sincroniza a diario desde el equipo de producto propietario, se analiza antes de publicarse, se firma criptográficamente y se documenta con una "ficha de skill" legible por máquina que registra la propiedad, las dependencias, la licencia, las limitaciones conocidas y el estado de verificación. El paso de análisis usa una herramienta de código abierto, SkillSpector, que revisa tanto los riesgos convencionales de software (dependencias vulnerables, scripts sospechosos, acceso a credenciales, rutas de exfiltración) como los específicos de los agentes (instrucciones ocultas, inyección de prompts, abuso de disparadores, exceso de autonomía y desajustes entre el propósito declarado de una skill y su comportamiento incluido), con una cobertura basada en el OWASP Top 10 para aplicaciones de LLM, los riesgos de IA agéntica de OWASP y MITRE ATLAS. La firma abarca todos los archivos del directorio de la skill, de modo que una skill descargada pueda verificarse como auténtica y sin modificaciones, y no solo como "asociada con un editor conocido". Las skills se basan en la especificación abierta agentskills.io y están diseñadas para funcionar con Claude Code, Codex y Cursor.

En conjunto, ambos son una amenaza y una respuesta temprana a ella. Agentjacking muestra que la confianza implícita de un agente en lo que devuelve una herramienta es explotable hoy; las skills verificadas muestran una forma de agregar procedencia, análisis e integridad a lo que un agente ingiere. Ninguno es una solución completa (las skills verificadas gobiernan la capa de capacidades, no la salida arbitraria de herramientas en tiempo de ejecución, y Agentjacking derrota específicamente las instrucciones a nivel de prompt del tipo "no confíes en esto"), pero delimitan el problema que el ecosistema de agentes tiene ahora que resolver.

En la tarde-noche del viernes 12 de junio de 2026, Anthropic recibió una directiva de control de exportación del gobierno de EE. UU. que le ordenaba suspender todo el acceso a dos de sus modelos más nuevos, Claude Fable 5 y Claude Mythos 5, para cualquier ciudadano extranjero, dentro o fuera de Estados Unidos, incluidos los propios empleados extranjeros de la empresa.

Como Anthropic no podía separar con limpieza el acceso de los ciudadanos extranjeros del de todos los demás con tan poco aviso, cumplió desactivando Fable 5 y Mythos 5 para todos los clientes, a nivel global. Los dos modelos se habían lanzado apenas unos días antes, el 9 de junio: Fable 5 al público y Mythos 5 a socios. Todos los demás modelos de Anthropic siguieron en línea.

La directiva en sí no detallaba la preocupación de seguridad nacional. Según Anthropic, entiende que el gobierno tuvo conocimiento de una vía de "jailbreak" en Fable 5; la empresa dice que revisó la evidencia y la caracteriza como una técnica acotada y no universal (en esencia, pedir al modelo que lea una base de código y corrija fallas de software) cuya capacidad ya está ampliamente disponible en otros modelos. La cobertura (Semafor, 14 de junio) indicó que la orden obedeció en parte a la sospecha de que un grupo vinculado con China había accedido al nuevo modelo.

Esta es, hasta donde sabemos, la primera vez que el gobierno de EE. UU. interviene y apaga un modelo de frontera en despliegue activo. Es una palanca distinta de los conocidos controles de exportación de chips y pesos: apunta a *quién puede consultar un modelo en funcionamiento*, no a qué hardware se envía al extranjero. Para un sitio de pruebas de referencia, esa distinción importa: la disponibilidad de un modelo es ahora una variable que un gobierno puede cambiar de la noche a la mañana, independiente del precio, la calidad o la hoja de ruta del propio proveedor.

La orden provocó una fuerte reacción de la comunidad de seguridad. Una carta abierta firmada por decenas de profesionales de ciberseguridad (entre ellos el exjefe de seguridad de Facebook Alex Stamos, el fundador de Bugcrowd Casey Ellis y el criptógrafo Jon Callas) argumentó que la prohibición era contraproducente, pues priva de una herramienta defensiva a los defensores autorizados de EE. UU. mientras una capacidad equivalente sigue disponible en modelos de la competencia. La investigadora Katie Moussouris, que examinó el documento de Amazon que circuló en privado y que supuestamente fundamenta la orden, concluyó que documentaba el comportamiento ordinario de un modelo (pedirle que encuentre y corrija vulnerabilidades) y no una elusión real de las salvaguardas, y pidió que se revocara la orden. La administración no ha divulgado públicamente su justificación técnica.

Actualización, 26 de junio de 2026: la restricción se levantó parcialmente. Tras dos semanas de lo que la cobertura describe como conversaciones diarias intensas entre Anthropic y el gobierno, el secretario de Comercio Howard Lutnick escribió a Tom Brown, director de cómputo de Anthropic, citando "avances significativos" y autorizando a Anthropic a liberar Mythos 5 a una lista selecta de más de 100 organizaciones de EE. UU.: agencias gubernamentales más empresas privadas que operan y defienden infraestructura crítica. Cabe señalar que la nueva directiva también permite que empleados no estadounidenses de esas organizaciones, y el personal no estadounidense de la propia Anthropic, usen el modelo, con lo que revierte parte de la restricción original a ciudadanos extranjeros. Es una reinstauración acotada y condicionada, no una restauración completa: abarca Mythos 5, el modelo de nivel para socios, y explícitamente no el Fable 5, de lanzamiento más amplio. No hay un plazo confirmado para Fable 5, aunque personas cercanas a las conversaciones dijeron que las dos partes avanzan hacia liberarlo también. El episodio subraya la nueva forma del mercado: el acceso ahora se negocia institución por institución, y un modelo puede volver a una lista de permitidos selecta mucho antes de volver para todos (o en lugar de ello).