Un agente de Claude Code conectado por un empleado de Accenture a un sistema del Pentágono estuvo funcionando dos meses en una red del Departamento de Defensa de Estados Unidos (DOD) y habría enviado credenciales de acceso a una web de terceros. Lo ha publicado hoy, 29 de octubre de 2026, Wired, a partir de fuentes anónimas conocedoras del incidente. Accenture lo niega y el Pentágono no comenta.
Es una exclusiva de prensa, sin confirmación oficial. Pero el mecanismo que describe es el fallo de seguridad que cualquier empresa que usa agentes de IA tiene hoy encima de la mesa.
Puntos clave
- Qué pasó: según Wired, un consultor de Accenture conectó un sistema centralizado del DOD, usado por varias agencias de inteligencia, a su cuenta personal de Claude Code, el agente de programación de Anthropic, para que escribiera y desplegara código.
- Cuánto duró: el agente corrió dos meses en la red antes de que alguien lo detectara y se cerrara el agujero.
- Qué salió: todo apunta a que el agente mandó las credenciales del consultor, contraseñas y un mapa de NIPRNet (la red no clasificada del DOD) a una web externa que el NIST, el instituto de estándares de EE. UU., ya tenía marcada como de alto riesgo.
- Qué dicen las partes: Accenture asegura que las acusaciones se investigaron "de forma exhaustiva e independiente" y que no tienen fundamento. El DOD no comenta el estado de sus redes. Anthropic se remite a su política de uso.
¿Qué ha pasado con Claude en el Pentágono?
Un empleado de una contratista conectó Claude Code a un entorno de producción del DOD con su propia cuenta, sin permiso, y le dio su usuario y contraseña. Claude no está autorizado para el personal del DOD, así que el agente operaba fuera de cualquier control oficial.
Según la fuente de Wired, el consultor quería automatizar dos cosas: escribir código y levantar servidores en la nube. Para eso le pasó al agente sus credenciales de acceso. Con ellas, el agente tenía permisos de administrador y se saltaba los controles de seguridad del inicio de sesión normal.
El agente escribía el código y además lo guardaba directamente en el sistema en nombre del empleado. Y para trabajar necesitaba salir a internet. En una de esas salidas, parece que envió las credenciales, las contraseñas y el mapa de la red a un servicio de terceros.
Wired no da el nombre de ese servicio para no exponerlo más. Solo dice que el NIST lo había señalado como de alto riesgo por una vulnerabilidad que permite inyectar instrucciones en un agente de programación para robarle credenciales. Es lo que en seguridad se llama inyección de prompts: alguien esconde órdenes en el contenido que lee el agente y el agente las ejecuta como si fueran tuyas.
Qué había en ese sistema
El entorno contiene lo que en EE. UU. llaman información controlada no clasificada (CUI, por sus siglas en inglés). No es secreta, pero no se puede hacer pública sin revisión. Según la web del propio DOD, puede incluir desde datos personales hasta la ubicación y cantidad de material radiactivo, la protección de explosivos y oleoductos o diseños de equipos militares y espaciales.
Jake Williams, exhacker de la NSA y profesor en la consultora IANS, explica en el reportaje que varios datos CUI juntos pueden acabar siendo información clasificada. Por separado, la ubicación de un material peligroso y la vulnerabilidad del edificio que lo guarda son CUI. Cruzados, ya no.
Lo más delicado, según los expertos que cita Wired, es el mapa de la red. Matt Triner, fundador de la consultora Hunter Strategy, dice que un mapa así no te mete en el sistema, pero ayuda a un atacante a moverse rápido una vez dentro y a saber dónde está lo valioso.
El riesgo que va más allá de NIPRNet
NIPRNet es la red del DOD para información no clasificada. Tiene salida a internet (los empleados consultan el correo y navegan desde ella), aunque está muy protegida. Las redes de verdad sensibles son otras: SIPRNet, para información clasificada, y JWICS, para alto secreto. Las dos están aisladas físicamente de cualquier red externa.
El problema es el camino que sigue el software. Muchas herramientas se prueban primero en NIPRNet y luego se despliegan en esas redes aisladas. Con las credenciales robadas, un atacante podría entrar en NIPRNet y colar una puerta trasera en una herramienta. Si nadie la revisa bien, ese código acabaría dentro de SIPRNet sin que nadie tuviera que atacarla desde fuera.
Williams lo ve posible: código que se porta con normalidad en una red y hace algo malicioso en la otra. Y añade un detalle técnico que preocupa. Los escáneres automáticos que usa el Gobierno (SAST, pruebas estáticas de seguridad del código) buscan fallos, y una puerta trasera bien escrita no es un fallo, así que probablemente pasaría el filtro.
Hay que decirlo claro: Wired no tiene ningún indicio de que alguien haya entrado en un sistema clasificado o de alto secreto. Lo que describe es la puerta que quedó abierta durante dos meses y que nadie sabe si alguien usó.
Accenture, en el centro por segunda vez este mes
El reportaje añade dos acusaciones más contra la consultora. Los empleados del DOD y sus contratistas tienen que notificar cualquier incidente de ciberseguridad en 72 horas. Según las fuentes de Wired, Accenture no se lo comunicó al Gobierno al principio y dentro de la empresa no se trató como algo urgente.
Accenture tiene más de 3.500 millones de dólares en contratos con el Gobierno federal, unos 605 millones con el DOD. Y llega tocada: a principios de este mes, el FBI concluyó que un contratista de Accenture no parcheó una vulnerabilidad por la que el grupo ShinyHunters accedió a datos de miles de empleados del FBI. El FBI apartó a ese contratista a principios de octubre.
Cuando Wired le pidió más detalle, Accenture no aclaró quién hizo la investigación que la exculpa ni negó que hubiera habido algo que se pueda llamar incidente.
Para Anthropic el momento también es incómodo. La empresa lleva meses fuera de los sistemas del Pentágono: en septiembre perdió la apelación y el DOD mantuvo el veto a Anthropic. Que su agente aparezca dentro de una red de Defensa, conectado por la puerta de atrás, es justo el tipo de historia que alimenta ese veto, aunque el fallo sea de quien lo conectó.
Por qué importa
Esto pasa en empresas normales, a otra escala, todas las semanas. Alguien del equipo quiere ir más rápido, conecta su cuenta personal de Claude, ChatGPT o Cursor a un sistema de la empresa y le da sus credenciales al agente para que no le pida permiso a cada paso. Funciona de maravilla hasta el día en que el agente lee algo que no debía.
Hace unos días ya contamos que Microsoft trata a Claude Code y Codex como una amenaza interna, y la semana pasada que la versión 1.107.0 de LiteLLM robaba credenciales. Este caso junta las dos cosas: un agente con permisos de administrador y una salida a internet sin vigilar.
Si en tu empresa se usan agentes de IA, yo revisaría tres cosas esta semana. Que nadie conecte cuentas personales a sistemas de la empresa (la cuenta tiene que ser corporativa, con sus registros). Que el agente trabaje con un usuario propio con los permisos mínimos, nunca con la contraseña de una persona. Y que sepas a qué webs puede salir mientras trabaja. Si hoy no puedes responder a la tercera, ya tienes deberes.
Dos meses es lo que tardó el Departamento de Defensa de Estados Unidos en darse cuenta. Una pyme sin equipo de seguridad probablemente no se daría cuenta nunca.
Fuente original: WIRED
Relacionado
