Un exingeniero acusa a Anthropic de rebajar salvaguardas por contratos grandes: el problema es que nadie puede verificarlo

Los hechos, tal como se han publicado, son escuetos. El 26 de julio de 2026, Adi Baradwaj, exingeniero de Anthropic, publicó un hilo de tres tuits en X en el que sostiene que la empresa «rebajó salvaguardas a cambio de grandes contratos con compromiso de gasto» (committed spend: acuerdos en los que el cliente se compromete a consumir un volumen mínimo durante años a cambio de descuentos). Baradwaj afirma haber observado varios casos en los que se redujeron restricciones de seguridad de los modelos Claude para clientes con acuerdos de uso considerables. Según el propio artículo que recoge el hilo, ningún otro empleado o portavoz de Anthropic ha corroborado esas afirmaciones y la compañía no ha respondido públicamente.

El hilo incluye una segunda afirmación, más incómoda todavía: que «la mayoría de los hackers de sombrero negro usan suscripciones estándar de Claude Code/Codex para hackear», mientras los defensores de sombrero blanco —los investigadores de seguridad legítimos— hacen otra cosa; y cita a un segundo participante según el cual «las salvaguardas no bastan para detener a un actor moderadamente decidido». Esa parte no contradice a nadie: encaja con lo que ya sabíamos. El informe de 2025 del Center for AI Safety que menciona la fuente documentó decenas de intentos de jailbreak (trucos para sortear los filtros del modelo) contra Claude, muchos a través del endpoint de generación de código, y señaló que los mismos planes de suscripción los usan los red-teamers éticos que prueban defensas. La frontera entre uso ofensivo y trabajo defensivo es borrosa por diseño.

Lo que da peso estructural a la acusación no es el hilo, sino un documento propio de Anthropic. El artículo recuerda que la empresa —fundada en 2020 por exinvestigadores de OpenAI y construida sobre la «IA constitucional», un método que incrusta reglas éticas en el proceso de decisión del modelo— publicó en 2023 un white paper de seguridad que admitía que «los despliegues de mayor riesgo pueden requerir configuraciones de seguridad personalizadas negociadas con el cliente». Es decir: la puerta de la configuración a medida está abierta y documentada. La acusación de Baradwaj sostiene que, en la práctica, esa negociación pasó de personalizar a rebajar. Con un modelo de negocio de precios por uso y descuentos por volumen, en el que —según estimaciones de analistas citadas por la fuente— un solo contrato empresarial puede alcanzar decenas de millones de dólares anuales, el incentivo para que ocurra existe. El riesgo que describe el artículo es un régimen de seguridad de dos velocidades: estricto para el usuario pequeño, laxo para el cliente valioso.

Toca ser igual de honestos con la debilidad de la prueba. No hay extractos de contratos, ni memorandos internos, ni capturas de configuraciones alteradas. Es una fuente única, sin testimonios de otros empleados, clientes ni auditorías externas, y la propia pieza la califica de «no verificada». La repercusión inicial fue mínima. Nada de esto la invalida —los avisos internos suelen empezar así—, pero sí obliga a tratarla como lo que es: una alegación seria y abierta, no un hecho establecido. Si llegara a documentarse, las consecuencias no serían solo reputacionales: reguladores de la UE y EE. UU. están perfilando marcos en los que una reducción de salvaguardas podría considerarse un cambio material en el perfil de riesgo, con obligaciones de notificación asociadas al AI Act.

Nuestra lectura: el titular no es «Anthropic rebajó la seguridad», porque eso no está demostrado. El titular es que no hay forma de saberlo. La seguridad de los modelos se vende como atributo de marca —y en el caso de Anthropic es su principal activo diferencial, la misma empresa que lidera nuestro índice de calidad y que ha convertido su modelo más capaz en pieza de geopolítica— pero se comporta como una caja negra contractual. Un cliente no puede comprobar si el nivel de guardarraíles que le aplican es el mismo que se anuncia al mercado, y un tercero tampoco. Mientras la configuración de seguridad sea un parámetro privado negociable, cualquier acusación como esta será indistinguible de un hecho, y cualquier desmentido, indistinguible de una nota de prensa.

De ahí sale la agenda razonable, y es de corto plazo: atestación verificable del nivel de salvaguardas aplicado a cada despliegue, auditoría independiente de configuraciones por cliente y publicación de las excepciones concedidas —no de los contratos, sí de su existencia y motivo. Es exactamente el mismo problema que ya hemos señalado con los agentes que industrializan el fraude: el peligro operativo no es la superinteligencia futura, es la automatización barata de lo dañino hoy, con herramientas de suscripción estándar. La dirección de fondo sigue siendo buena —estos sistemas van a acortar el camino hacia curar enfermedades y liberar tiempo humano—, pero ese futuro se sostiene sobre confianza medible. Los laboratorios que conviertan la seguridad en algo auditable, y no solo en un argumento de venta, serán los que puedan reclamarla como ventaja. Los demás dependerán de que nadie con acceso interno hable.