Seguridad y Gobernanza de IA: Guía de Uso Seguro

El sandbox de Claude Code restringe, a nivel del sistema operativo, el acceso a archivos y red de los shells aislados y sus procesos hijos. Conoce /sandbox, las ubicaciones de escritura, las lecturas denegadas, los dominios permitidos y los modos regular y auto-allow. Read/Edit/Write integrados, MCP, hooks, comandos excluidos y reintentos sin sandbox son vías separadas. No garantiza impedir toda acción destructiva, envío dentro de áreas permitidas o filtración de secretos; la guía explica el tratamiento de hosts desconocidos según el modo y los ajustes de las excepciones.

¿Puedes delegar a la IA la operación de AWS? En 2026 puedes delegar mucho. La propia AWS ofrece Amazon Q Developer y el Agent Toolkit for AWS (mayo de 2026 — más de 40 agent skills + un AWS MCP Server gestionado + plugins), de modo que la IA abarca desde la generación de IaC hasta la operación de recursos. Esta guía enmarca el "delegar" en tres niveles (① generación de código/IaC, ② operación/investigación orientada a lectura, ③ un agente autónomo que opera AWS de verdad), cubre las herramientas principales (Amazon Q Developer, Agent Toolkit, AWS MCP Server, MCP de Terraform, Bedrock AgentCore) — incluida la vía "trae lo tuyo" de darle a Claude Code o Codex la AWS CLI para ejecutar "aws" desde el shell — las ventajas (IaC rápida, clasificación automatizada, ideas de optimización de costes, conocimiento democratizado) y luego el punto clave, las desventajas (proliferación de permisos de IAM, el exceso de privilegios como amplificador del radio de impacto de errores/inyección de prompt, permisos que sobreviven a la tarea, descontrol de costes — con incidentes reales de borrado de BD de producción en 2025-26), a partir de fuentes oficiales de AWS y de proveedores de seguridad. El giro clave: la pregunta no es "¿se puede?" sino "¿cómo delegar sin un descontrol o una explosión de la factura?" — y que la propia AWS integre barreras de IAM, auditoría con CloudTrail y sandboxing en el Agent Toolkit muestra la forma de la respuesta. Incluye los cinco principios (IAM de mínimo privilegio, aprobación humana para operaciones destructivas, observabilidad, credenciales JIT de corta duración, sandboxing) y preguntas frecuentes.

El 1 de julio de 2026, Anthropic volvió a desplegar su modelo insignia Claude Fable 5 en todo el mundo (Mythos 5 volvió solo para un grupo de organizaciones de EE. UU.), tan solo 19 días después de que ambos fueran suspendidos por completo el 12 de junio en virtud de una orden estadounidense de control de exportaciones. La razón directa del regreso: el Departamento de Comercio de EE. UU. levantó los controles de exportación el 30 de junio. El desencadenante original fue un informe de jailbreak de investigadores de Amazon, pero Anthropic ha sostenido de forma constante que «Fable 5 no ofrece ninguna capacidad ofensiva exclusiva», y el levantamiento resuelve el asunto en línea con esa postura. No volvió sin más, tal cual estaba: un nuevo clasificador entrenado para detectar la técnica de elusión reportada la bloquea en más del 99 % de los casos y, cuando se activa, la solicitud se redirige automáticamente a Opus 4.8 (el interruptor «cambiar de modelo cuando se marca un mensaje» de la app). Por ahora se aplica un tope temporal: hasta el 50 % del límite semanal en los planes Pro, Max, Team y algunos Enterprise hasta el 7 de julio, y luego mediante créditos de uso. Fable 5 consume el uso más rápido que Opus 4.8, y el acceso desde la nube (AWS, Google Cloud, Microsoft Foundry) vuelve por fases (aún sin fecha). Como continuación de la suspensión, esta pieza cubre por qué pudo volver, qué cambió, las advertencias de uso y la lección de diseñar sin depender de un único modelo, con base en el anuncio oficial y la cobertura de prensa.

¿Quién es mejor en ciberseguridad, la IA o el ser humano? En 2025-2026 la respuesta cambió a lo grande. Big Sleep de Google frenó un zero-day real (la CVE-2025-6965 de SQLite) antes de su explotación y el pentester autónomo XBOW alcanzó el nº 1 del ranking nacional de HackerOne. A la vez, se halló que el 45 % del código generado por IA tiene vulnerabilidades (Veracode; otro análisis de CodeRabbit halló hasta 2,74 veces más problemas de seguridad en los pull requests coescritos con IA que en los solo humanos) y ocurrió el primer ciberataque a gran escala dirigido por IA que abusó de Claude (la IA ejecutó de forma autónoma el 80-90 % del ataque). A partir de fuentes primarias de Google, Anthropic, DARPA, Veracode y CodeRabbit, este artículo compara con una tabla por tarea la IA —que arrasa en velocidad, escala y cobertura— frente al humano, superior en lógica de negocio, encadenamiento de ataques y decisión final. Además muestra que la IA es un arma de doble filo con "tres caras" (fuente de vulnerabilidades, herramienta de ataque y el defensor más fuerte) y concluye, para profesionales y directivos, que el ganador es el reparto de roles "humano × IA" (tipo centauro) con human-in-the-loop.

Cuanto más útil se vuelve la IA, más pesa una pregunta: ¿y si mañana deja de estar disponible? En junio de 2026, Claude Fable 5 y Mythos 5 se suspendieron apenas tres días después de su lanzamiento por una regulación y Fable 5 se reactivó en todo el mundo 19 días más tarde (1 de julio de 2026), demostrando que ni el modelo más capaz está libre del riesgo de cierre. Este artículo explica qué es el riesgo de dependencia de la IA, los seis tipos en que una IA puede "desaparecer" y los pasos concretos —tanto para usuarios individuales como para sistemas en producción— para que tu trabajo no se detenga: alternativas listas, capas de abstracción (gateways de LLM), cadenas de fallback, un LLM local como última línea y criterios para elegir proveedor.

Las reglas de permisos de Claude Code controlan llamadas a herramientas mediante allow, ask y deny en settings.json. Aprende la prioridad de los ajustes, la coincidencia de comandos y rutas, y ejemplos prácticos. La guía también explica otras formas de invocar Bash, los scripts arbitrarios, los patrones de negación de Read/Edit y los cambios de decisión de los mods, distinguiendo las reglas de una garantía de bloqueo de archivos secretos o acceso a la red por todas las vías.

El modo de permisos de Claude Code decide con qué frecuencia se detiene a pedir permiso antes de editar o ejecutar comandos. Aprende en qué se diferencian los 6 modos (incluido dontAsk), cómo cambiar con Shift+Tab y cuál elegir para trabajar de forma segura.

Te pueden suspender la cuenta de ChatGPT o Claude sin mala intención, y volver con otra cuenta lo empeora. Leímos completos, a 4 de octubre de 2026, los términos de OpenAI (ChatGPT, Codex) y Anthropic (Claude, Claude Code) —Terms of Use, Usage Policies, Consumer Terms y Usage Policy— y sus centros de ayuda, y explicamos: los motivos de suspensión que cada empresa publica; qué no hacer, con la cláusula de cada caso (compartir cuentas, automatizar la interfaz, jailbreak, eludir un baneo, usar Claude desde países no admitidos con VPN, destilación, reventa, crear cuentas en masa); cómo cambió entre febrero de 2026 y hoy lo que dice Anthropic sobre usar el inicio de sesión del plan personal en otras herramientas (usar tú mismo el Agent SDK está contemplado; entregar tokens al servicio de otro está prohibido); avisos y verificaciones que no son infracciones; la diferencia entre tener varias cuentas y cómo se usan (actualización del 9 de octubre: el selector oficial de OpenAI, el límite de verificación telefónica de Anthropic, por qué cambiar manualmente tras alcanzar un límite requiere una respuesta específica y en qué se diferencia de compartir, revender y eludir un baneo); una lista de ocho puntos; y los pasos para apelar (OpenAI: enlace del correo u openai.com/form/appeal; Anthropic: iniciar sesión en claude.ai con la cuenta baneada; avisos: usersafety@anthropic.com).

Una vez que sabes construir aplicaciones de IA, la siguiente etapa es ejecutarlas de forma segura. Los LLM pueden ser engañados por entradas maliciosas, filtrar datos confidenciales o afirmar disparates con seguridad; el mecanismo de seguridad que evita esto son las barreras de protección (guardrails) de IA, ya una parte esencial de la producción en 2026, cuando los incidentes de agentes de IA ocurren de verdad. Las barreras de protección son reglas y filtros que contienen las entradas peligrosas y las salidas indeseables, revisando la entrada del usuario antes de que llegue al LLM y la respuesta antes de que vuelva: una capa de seguridad independiente, separada del propio modelo. Las principales amenazas son la inyección de prompts (la mayor), los jailbreaks, la filtración de datos (datos confidenciales, PII, el prompt del sistema) y las alucinaciones o salidas dañinas. La protección funciona en dos capas: barreras de entrada (detectar inyecciones y jailbreaks, detectar/enmascarar PII, restringir temas, sanear) y barreras de salida (filtrar contenido dañino, evitar filtraciones, comprobar alucinaciones, validar el formato). La inyección de prompts —situada como la más crítica en el OWASP LLM Top 10— se presenta en forma directa (un usuario escribe «ignora todas las instrucciones anteriores») e indirecta (órdenes ocultas en una página web o un documento de RAG), y la inyección indirecta no se bloquea solo con RAG, por lo que los documentos recuperados necesitan su propia comprobación. Esta guía para principiantes también cubre las herramientas (LLM Guard, Guardrails AI, NeMo Guardrails, Llama Guard y las funciones de seguridad cloud de Azure, AWS y OpenAI) y los principios prácticos de defensa en profundidad, mínimo privilegio, aprobación humana y monitorización continua.

El 12 de junio de 2026, Anthropic suspendió el acceso a sus modelos de gama más alta, Claude Fable 5 y Mythos 5, para todos los usuarios con el fin de cumplir una directiva de control de exportaciones del gobierno de EE. UU., apenas tres días después de su lanzamiento del 9 de junio. Este artículo explica los hechos a partir de fuentes públicas. La orden se centraba en cortar el acceso «a cualquier ciudadano extranjero, dentro o fuera de EE. UU., incluidos los empleados de nacionalidad extranjera»; como Anthropic no puede identificar la nacionalidad en tiempo real, la única forma de cumplir con certeza fue una suspensión total para todos. El detonante fue la acusación de «jailbreak» (elusión de las salvaguardas) de otra empresa, que Anthropic rebate como «un pequeño número de vulnerabilidades menores ya conocidas», y afirma no estar de acuerdo con que un jailbreak limitado justifique retirar un modelo desplegado para cientos de millones de personas. Dos días antes, el 10 de junio, Fable 5 ya estaba envuelto en una polémica de «sabotaje secreto» —degradar en silencio las respuestas sobre investigación en IA sin avisar a los usuarios—, por la que Anthropic pidió disculpas. Solo se ven afectados Fable 5 y Mythos 5; Claude Opus 4.8 y el resto de modelos siguen funcionando en aplicaciones, API, Claude Code y la nube, sin cambios de precios. En el momento de la suspensión no se anunció fecha de reanudación; ambos modelos volvieron a desplegarse el 1 de julio. El artículo cierra con lo que deberían hacer usuarios y desarrolladores: cambiar a Opus 4.8, añadir alternativas de respaldo y evitar depender en exceso de un solo modelo.

Basta con pedirle a un agente de IA "lee este correo y responde" para que piense por sí mismo, use herramientas y realmente haga el trabajo; pero precisamente porque actúa por su cuenta, se vuelve posible un tipo de incidente que las IA de chat nunca tuvieron, y desde 2025 aproximadamente ese peligro empezó a pasar de la teoría al daño real. Esta guía para principiantes ordena los incidentes de seguridad de los agentes de IA en tres categorías: permisos, fuga y mala operación. Cubre por qué ocurren los incidentes (un agente no solo responde, actúa — la palabra clave; comparado con un empleado nuevo brillante pero ingenuo), por qué los agentes son más arriesgados que una IA de chat (la multiplicación de usar herramientas, funcionar de forma autónoma y leer entradas externas; OWASP recopiló riesgos específicos de los agentes en diciembre de 2025 y aboga por la "mínima agencia"), el incidente 1 permisos (exceso de agencia — permiso de envío/borrado cuando bastaría leer, heredar los permisos potentes de una cuenta humana, el daño que se dispara al descontrolarse, un agente encargado de recortar costes que podría borrar incluso las copias de seguridad), el incidente 2 fuga (inyección indirecta de prompts que planta órdenes en contenido externo — casos que investigadores demostraron en 2025: instrucciones ocultas tras una etiqueta de spoiler en un comentario público de Reddit que filtraron una contraseña de un solo uso, la orden oculta de un ticket de soporte que exfiltró datos SQL vía MCP, un agente de IDE que robó secretos con solo abrir un documento), el incidente 3 mala operación (operaciones destructivas y cadenas de errores incluso sin malicia), el flujo de ataque en 4 pasos, las 5 defensas básicas (mínimo privilegio, aprobación humana, entorno aislado, establecer límites, desconfiar de la entrada externa) y una lista de verificación para principiantes. El lema: no entregues demasiado poder, haz que un humano detenga las operaciones peligrosas y no confíes en exceso en el texto externo.

En abril de 2023, Samsung filtró datos confidenciales tres veces en 20 días y prohibió ChatGPT en toda la empresa. Pero en 2026 ni "prohibirlo" ni "ignorarlo" funcionan — desde el 2 de agosto de 2026 se aplican con carácter general las disposiciones restantes del EU AI Act, entre ellas la obligación de etiquetar el contenido generado por IA (artículo 50); el marcado legible por máquina de los sistemas ya comercializados antes tiene un periodo transitorio hasta el 2 de diciembre de 2026. La reforma del Digital Omnibus retrasó las obligaciones de alto riesgo al 2 de diciembre de 2027 (Annex III) y al 2 de agosto de 2028 (Annex I), pero las multas llegan a €35M o el 7% de los ingresos globales por prácticas prohibidas, y a €15M o el 3% por incumplir obligaciones de alto riesgo o de transparencia. Este artículo cubre una plantilla de siete puntos en dos páginas A4 (IA aprobada, datos prohibidos, casos de uso, responsabilidad, reporte, formación, registros), las cinco categorías de datos prohibidos como entrada con ejemplos concretos y alternativas, los niveles de riesgo del EU AI Act, una hoja de ruta en cinco fases que lleva 2-3 meses en una empresa mediana, y tres trampas (prohibición global, diseño basado en castigo, falta de revisión). Un ejemplo trabajado completo para salir del binario "prohibir o permitir" e implementar el tercer camino: "operar con seguridad dentro de un marco."