Jason Clinton de Anthropic alerta sobre el empeoramiento de la ciberseguridad
Poques vegades ens preguntem què ha de succeir perquè una transferència arribi al seu destí, un document romangui privat o ningú més pugui accedir als nostres comptes. Simplement obrim el mòbil i seguim endavant, perquè hem incorporat aquests serveis a la nostra rutina amb la naturalitat de qui encén el llum de casa. Però darrere de cada operació hi ha decisions tècniques, controls i persones que han de fer que els usuaris rarament veiem. La nostra relació amb el digital està construïda, en bona mesura, sobre aquesta confiança que donem per descomptada.
Mai no hem tingut garanties absolutes en matèria de ciberseguretat, però sí que hem desenvolupat mecanismes per mantenir els riscos sota control. Una part fonamental d'aquesta estratègia consisteix a fer que superar determinades barreres resulti massa costós, complex o lent per a un atacant, mentre els equips responsables identifiquen vulnerabilitats i treballen per corregir-les. El problema és que la intel·ligència artificial està començant a modificar aquesta relació entre esforç i temps, facilitant tasques que abans podien exigir una investigació considerable. I quan descobrir un error es torna més ràpid, també augmenta la pressió sobre aquells que han de solucionar-lo.
Una de les veus que ha decidit advertir públicament sobre aquest escenari és Jason Clinton, subdirector de ciberseguretat d'Anthropic. El 22 d'octubre va publicar al seu compte personal de X un missatge que no deixa gaire espai per a l'optimisme: "Per molt malament que s'hagin posat les coses en els últims quatre dies, empitjoraran molt més abans de millorar. Responsables de seguretat, mai desaprofiteu una crisi: acudiu als vostres consells d'administració i demaneu ajuda ara mateix. No per a la intel·ligència artificial, sinó per al bàsic. (Hem d'aguantar uns 18 mesos)".
La seva trajectòria ajuda a entendre per què val la pena prestar atenció a aquestes paraules. Abans d'incorporar-se a Anthropic a l'abril de 2023 com el seu primer director de Seguretat de la Informació (CISO), Clinton va passar més d'una dècada a Google, on va arribar a dirigir la seguretat de la infraestructura de Chrome. Actualment ocupa el lloc de subdirector a l'empresa responsable de Claude, des del qual contribueix a definir la seva estratègia de seguretat. La seva experiència també apareix reflectida en dos articles publicats per Anthropic al juliol de 2026, dedicats a la seguretat dels agents d'IA i del desenvolupament de programari.
Per entendre el context d'aquesta advertència, convé aturar-nos en el que ha ocorregut durant els últims dies, encara que Clinton no hagi vinculat expressament les seves paraules amb aquests esdeveniments. Com hem documentat àmpliament a Xataka, el 20 d'octubre van començar a circular els identificadors de dues vulnerabilitats crítiques de PHP, abans que es publiquessin els seus detalls tècnics. Els errors, coneguts conjuntament com PHP2Shell i qualificats amb una gravetat de 9,2 sobre 10, podrien permetre a un atacant executar codi en servidors vulnerables sense autenticar-se.
L'urgència no va acabar amb la publicació d'aquestes correccions. Amazon assegura que ja havia detectat un intent d'explotació el 17 d'octubre, quatre dies abans de la divulgació oficial, mentre que Cloudflare, segons el seu conseller delegat, va arribar a registrar milions d'intents després de conèixer els errors. Davant aquesta pressió, ENISA i altres organismes europeus van recomanar aïllar de les xarxes públiques les aplicacions exposades que no poguessin actualitzar-se immediatament. L'urgència també va tenir conseqüències visibles: segons Reuters, administracions europees van suspendre temporalment serveis digitals com a mesura preventiva.
Aquest episodi il·lustra una de les grans preocupacions que està generant la intel·ligència artificial en l'àmbit de la ciberseguretat. Els models més avançats poden ajudar a trobar errors, analitzar-ne les causes i desenvolupar mètodes per explotar-los, reduint l'esforç que requereixen determinades tasques. De fet, la PHP Foundation reconeix que els primers indicis d'un d'aquests problemes es remuntaven a 2024, però les dificultats tècniques i la falta de recursos havien retardat la seva correcció. Descobrir una vulnerabilitat no significa que la seva solució sigui immediata: desenvolupar, comprovar i desplegar pegats continua exigint temps. Anthropic ja advertia d'aquesta situació en un document publicat a l'abril de 2026 i signat, entre altres, pel mateix Jason Clinton.
La preocupació de l'executiu venia d'abans. A l'agost havia reaccionat en X a una publicació de l'Agència de Seguretat Nacional dels Estats Units (NSA) sobre amenaces contra controladors industrials, utilitzats en infraestructures crítiques. L'organisme alertava d'activitats malicioses que recorrien a scripts generats amb IA contra determinats sistemes industrials, però va ser Clinton qui va fer un pas més: va assegurar que s'acostava un "tsunami de vulnerabilitats" i que podria no haver-hi temps suficient per aplicar pegats. Per això va reclamar aïllar determinades xarxes i utilitzar díodes de dades, dispositius que permeten transmetre informació en una sola direcció.
Pocas veces nos preguntamos qué tiene que suceder para que una transferencia llegue a su destino, un documento permanezca privado o nadie más pueda acceder a nuestras cuentas. Simplemente abrimos el móvil y seguimos adelante, porque hemos incorporado esos servicios a nuestra rutina con la naturalidad de quien enciende la luz de casa. Pero detrás de cada operación hay decisiones técnicas, controles y personas que deben que los usuarios rara vez vemos. Nuestra relación con lo digital está construida, en buena medida, sobre esa confianza que damos por sentada.
Nunca hemos tenido garantías absolutas en materia de ciberseguridad, pero sí hemos desarrollado mecanismos para mantener los riesgos bajo control. Una parte fundamental de esa estrategia consiste en hacer que superar determinadas barreras resulte demasiado costoso, complejo o lento para un atacante, mientras los equipos responsables identifican vulnerabilidades y trabajan para corregirlas. El problema es que la inteligencia artificial está empezando a modificar esa relación entre esfuerzo y tiempo, facilitando tareas que antes podían exigir una investigación considerable. Y cuando descubrir un fallo se vuelve más rápido, también aumenta la presión sobre quienes deben solucionarlo.
Una de las voces que ha decidido advertir públicamente sobre este escenario es Jason Clinton, subdirector de ciberseguridad de Anthropic. El 22 de octubre publicó en su cuenta personal de X un mensaje que no deja demasiado espacio para el optimismo: «Por muy mal que se hayan puesto las cosas en los últimos cuatro días, van a empeorar mucho más antes de mejorar. Responsables de seguridad, nunca desaprovechéis una crisis: acudid a vuestros consejos de administración y pedid ayuda ahora mismo. No para la inteligencia artificial, sino para lo básico. (Tenemos que aguantar unos 18 meses)».
Su trayectoria ayuda a entender por qué merece la pena prestar atención a estas palabras. Antes de incorporarse a Anthropic en abril de 2023 como su primer director de Seguridad de la Información (CISO), Clinton pasó más de una década en Google, donde llegó a dirigir la seguridad de la infraestructura de Chrome. Actualmente ocupa el puesto de subdirector en la empresa responsable de Claude, desde el que contribuye a definir su estrategia de seguridad. Su experiencia también aparece reflejada en dos artículos publicados por Anthropic en julio de 2026, dedicados a la seguridad de los agentes de IA y del desarrollo de software.
Para entender el contexto de esa advertencia, conviene detenernos en lo que ha ocurrido durante los últimos días, aunque Clinton no haya vinculado expresamente sus palabras con estos acontecimientos. Como hemos documentado ampliamente en Xataka, el 20 de octubre comenzaron a circular los identificadores de dos vulnerabilidades críticas de PHP, antes de que se publicaran sus detalles técnicos. Los fallos, conocidos conjuntamente como PHP2Shell y calificados con una gravedad de 9,2 sobre 10, podrían permitir a un atacante ejecutar código en servidores vulnerables sin autenticarse.
La urgencia no terminó con la publicación de esas correcciones. Amazon asegura que ya había detectado un intento de explotación el 17 de octubre, cuatro días antes de la divulgación oficial, mientras que Cloudflare, según su consejero delegado, llegó a registrar millones de intentos tras conocerse los fallos. Ante esa presión, ENISA y otros organismos europeos recomendaron aislar de las redes públicas las aplicaciones expuestas que no pudieran actualizarse inmediatamente. La urgencia también tuvo consecuencias visibles: según Reuters, administraciones europeas suspendieron temporalmente servicios digitales como medida preventiva.
Este episodio ilustra una de las grandes preocupaciones que está generando la inteligencia artificial en el ámbito de la ciberseguridad. Los modelos más avanzados pueden ayudar a encontrar fallos, analizar sus causas y desarrollar métodos para explotarlos, reduciendo el esfuerzo que requieren determinadas tareas. De hecho, la PHP Foundation reconoce que los primeros indicios de uno de estos problemas se remontaban a 2024, pero las dificultades técnicas y la falta de recursos habían retrasado su corrección. Descubrir una vulnerabilidad no significa que su solución sea inmediata: desarrollar, comprobar y desplegar parches sigue exigiendo tiempo. Anthropic ya advertía de esta situación en un documento publicado en abril de 2026 y firmado, entre otros, por el propio Jason Clinton.
La preocupación del ejecutivo venía de antes. En agosto había reaccionado en X a una publicación de la Agencia de Seguridad Nacional estadounidense (NSA) sobre amenazas contra controladores industriales, utilizados en infraestructuras críticas. El organismo alertaba de actividades maliciosas que recurrían a scripts generados con IA contra determinados sistemas industriales, pero fue Clinton quien dio un paso más: aseguró que se acercaba un «tsunami de vulnerabilidades» y que podría no haber tiempo suficiente para aplicar parches. Por eso reclamó aislar determinadas redes y utilizar diodos de datos, dispositivos que permiten transmitir información en una sola dirección.
We rarely ask ourselves what needs to happen for a transfer to reach its destination, a document to remain private, or no one else to access our accounts. We simply open our phones and carry on, because we have incorporated these services into our routine as naturally as turning on the lights at home. But behind every operation, there are technical decisions, controls, and people that users rarely see. Our relationship with the digital world is largely built on this trust that we take for granted.
We have never had absolute guarantees in terms of cybersecurity, but we have developed mechanisms to keep risks under control. A fundamental part of this strategy is to make overcoming certain barriers too costly, complex, or slow for an attacker, while the responsible teams identify vulnerabilities and work to correct them. The problem is that artificial intelligence is beginning to alter this relationship between effort and time, facilitating tasks that previously might have required considerable research. And when discovering a flaw becomes faster, the pressure also increases on those who must fix it.
One of the voices that has decided to publicly warn about this scenario is Jason Clinton, Deputy Director of Cybersecurity at Anthropic. On October 22, he posted a message on his personal X account that leaves little room for optimism: "No matter how bad things have gotten in the last four days, they are going to get much worse before they get better. Security leaders, never waste a crisis: go to your boards and ask for help right now. Not for artificial intelligence, but for the basics. (We have to hold on for about 18 months)."
His career helps to understand why it is worth paying attention to these words. Before joining Anthropic in April 2023 as its first Chief Information Security Officer (CISO), Clinton spent more than a decade at Google, where he led the security of Chrome's infrastructure. He currently holds the position of Deputy Director at the company responsible for Claude, from which he contributes to defining its security strategy. His experience is also reflected in two articles published by Anthropic in July 2026, dedicated to the security of AI agents and software development.
To understand the context of this warning, it is worth pausing on what has happened in recent days, although Clinton has not explicitly linked his words to these events. As we have extensively documented on Xataka, on October 20, identifiers for two critical PHP vulnerabilities began to circulate before their technical details were published. The flaws, collectively known as PHP2Shell and rated with a severity of 9.2 out of 10, could allow an attacker to execute code on vulnerable servers without authentication.
The urgency did not end with the publication of these fixes. Amazon claims it had already detected an exploitation attempt on October 17, four days before the official disclosure, while Cloudflare, according to its CEO, recorded millions of attempts after the flaws became known. In response to this pressure, ENISA and other European bodies recommended isolating exposed applications from public networks that could not be updated immediately. The urgency also had visible consequences: according to Reuters, European administrations temporarily suspended digital services as a preventive measure.
This episode illustrates one of the major concerns that artificial intelligence is generating in the field of cybersecurity. The most advanced models can help find flaws, analyse their causes, and develop methods to exploit them, reducing the effort required for certain tasks. In fact, the PHP Foundation acknowledges that the first indications of one of these problems dated back to 2024, but technical difficulties and lack of resources had delayed its correction. Discovering a vulnerability does not mean its solution is immediate: developing, testing, and deploying patches still requires time. Anthropic already warned of this situation in a document published in April 2026 and signed, among others, by Jason Clinton himself.
The executive's concern was not new. In August, he reacted on X to a publication by the US National Security Agency (NSA) about threats against industrial controllers used in critical infrastructures. The agency warned of malicious activities using AI-generated scripts against certain industrial systems, but it was Clinton who took it a step further: he assured that a "tsunami of vulnerabilities" was approaching and that there might not be enough time to apply patches. Therefore, he called for isolating certain networks and using data diodes, devices that allow information to be transmitted in only one direction.
¿Te ha interesado esta noticia?
Recibe cada mañana el resumen de IA y sociedad directo en tu email.
Suscríbete gratis →