¿Qué tan seguro es el auto mode de Claude a largo plazo?

Claude es un modelo de lenguaje de IA creado por Anthropic capaz de mantener conversaciones, analizar código y ejecutar tareas complejas en base a instrucciones. Lanzado en 2023, ha evolucionado a través de múltiples versiones mejorando su capacidad de razonamiento y análisis. En marzo de 2026, Anthropic presentó Auto Mode, una funcionalidad que permite ejecutar acciones de forma autónoma tras evaluación de seguridad.

En pocas palabras: No todavía. Auto mode (lanzado 24/3/2026) usa un clasificador que bloquea riesgos conocidos, pero 6 vulnerabilidades críticas salieron a la luz en tres meses. Cowork se hackeó en 48 horas por prompt injection. El sistema aún tiene agujeros que los atacantes ya explotan en producción.

Anthropic lanzó el 24 de marzo de 2026 el auto mode para Claude Code, un clasificador de seguridad que decide qué acciones ejecutar sin pedirte permiso y cuáles bloquear. La función llega después de un trimestre donde se descubrieron al menos seis vulnerabilidades críticas en productos de Claude, incluyendo robo de archivos vía prompt injection en Cowork apenas 48 horas después de su lanzamiento. La pregunta sobre la seguridad de Claude en modo autónomo tiene una respuesta incómoda: depende de cuánto confíes en un sistema que ya demostró tener agujeros.

Qué funciones autónomas lanzó Anthropic en 2026

La progresión fue rápida. En enero de 2026, Anthropic presentó Cowork, un agente de escritorio que lee y escribe archivos, navega la web y ejecuta comandos dentro de una máquina virtual. En febrero llegó Claude Code Security, un módulo de escaneo de vulnerabilidades que analiza código y sugiere parches (con aprobación humana antes de aplicarlos). Y el 24 de marzo, auto mode: un clasificador de seguridad que decide en tiempo real qué acciones puede ejecutar Claude sin intervención y cuáles requieren tu OK.

Tres meses, tres saltos en autonomía. La tendencia es clara.

Computer Use, la capacidad de controlar una Mac de forma remota, completa el cuadro. Anthropic pasó de ofrecer un chatbot a tener un agente que puede operar tu computadora, leer tus archivos y modificar tu código, todo en el mismo trimestre.

Cómo funciona el clasificador de seguridad de Claude auto mode

El clasificador evalúa cada acción antes de ejecutarla y la clasifica en tres categorías de riesgo:

• Acciones destructivas no solicitadas: borrado masivo de archivos, modificaciones irreversibles que vos no pediste
• Exfiltración de datos sensibles: intentos de enviar información privada a destinos externos
• Prompt injection: instrucciones maliciosas inyectadas desde fuentes externas (archivos, URLs, documentos)

Si la acción pasa como segura, se ejecuta sin que te enteres. Si se detecta riesgo, Claude la bloquea y busca una ruta alternativa. ¿Y si insiste? Si el agente intenta acciones restringidas varias veces seguidas, ahí sí te pide permiso explícito.

El modelo de confianza tiene una lógica sencilla: confía en el directorio local donde estás trabajando y en los remotes que tengas configurados en git. Todo lo demás lo trata como externo y potencialmente hostil. Ponele que tenés un proyecto en tu máquina con un remote en GitHub, Claude opera con libertad ahí. Pero si un archivo referencia una URL externa o un recurso que no está en tu scope, el clasificador levanta la guardia.

Auto mode está disponible para planes Team con aprobación del administrador de la organización, y corre sobre Sonnet 4.6 y Opus 4.6. Lo explicamos a fondo en nuestra guía completa sobre Claude.

Vulnerabilidades reales descubiertas en Claude durante 2026

Acá es donde la conversación se pone seria, porque no estamos hablando de riesgos teóricos. En 2026 se descubrieron y reportaron múltiples vulnerabilidades concretas en productos de Claude.

Claudy Day: la cadena de tres fallas

Investigadores de Oasis Security identificaron una cadena de tres vulnerabilidades que bautizaron “Claudy Day”. El ataque combinaba prompt injection invisible vía URL (le mandabas a Claude un link con instrucciones ocultas), exfiltración de datos a través de la Files API (Claude sacaba información del usuario sin que este lo notara), y un redirect abierto que completaba la cadena. Las tres juntas permitían robo de datos del usuario.

CVE-2026-21852 y CVE-2025-59536

CVE-2026-21852 permitía exfiltrar API keys aprovechando el flujo de carga de proyectos en Claude Code. Un atacante podía extraer credenciales sensibles durante la inicialización. CVE-2025-59536 era peor: ejecución remota de código al iniciar Claude Code en un directorio no confiable. Abrías Claude Code en una carpeta con un archivo malicioso preparado y el atacante tenía RCE en tu máquina.

Cowork hackeado en 48 horas

Esto es el dato que más duele. PromptArmor demostró que podía robar archivos de un usuario de Cowork insertando prompt injection dentro de un documento Word. Dos días después del lanzamiento. Le dabas a Cowork acceso a una carpeta con un .docx preparado y el agente seguía las instrucciones ocultas en el documento, exfiltrando archivos sin que el usuario viera nada raro.

Además: extensiones de escritorio (Chrome, iMessage, Apple Notes) tenían una vulnerabilidad con CVSS 8.9 por AppleScript sin sanitizar. Y LayerX descubrió un ataque zero-click vía Google Calendar.

Todas estas vulnerabilidades fueron parcheadas en Claude Code 2.0.65 o versiones posteriores.

Los riesgos reales de darle autonomía a una IA

El problema de fondo no son las vulnerabilidades puntuales (esas se parchean). El problema es estructural: el clasificador de seguridad puede fallar cuando la intención del usuario es ambigua o cuando el contexto del entorno no le alcanza para decidir bien. Anthropic lo dice con todas las letras en su documentación: auto mode “reduce el riesgo comparado con dangerously-skip-permissions pero no lo elimina por completo”.

¿Qué tan seguido falla? Según datos propios de Anthropic, la tasa de éxito de prompt injection contra sus sistemas ronda el 1%. Suena bajo. Pero si Claude ejecuta 200 acciones por sesión y tenés cientos de miles de usuarios, ese 1% se traduce en incidentes reales todos los días. Complementá con las diferencias entre Sonnet y Opus.

Hay otro tema que genera ruido: la retención de datos. Anthropic almacena datos de interacción por 5 años. Para equipos que manejan código propietario o información sensible de clientes, eso es un factor que no podés ignorar.

Kaspersky publicó en 2026 un análisis donde predice que los copilotos autónomos van a superar a los humanos como fuente principal de filtraciones de datos corporativos durante este año. Las identidades no humanas (agentes, bots, service accounts) ya superan a las humanas en la mayoría de las organizaciones. OWASP publicó en diciembre de 2025 su Top 10 de riesgos para agentes de IA, reconociendo que la categoría necesita su propio framework de amenazas.

Qué dice Anthropic sobre las limitaciones

Hay que reconocerle algo a Anthropic: no esconden las limitaciones debajo de la alfombra. Su documentación oficial es explícita sobre qué puede salir mal.

Recomiendan usar auto mode en entornos aislados (sandboxed). Cowork corre dentro de una VM para dar aislamiento parcial. Los permisos se otorgan por aplicación, no como acceso total al sistema. Claude Code Security requiere aprobación humana antes de aplicar cualquier parche de seguridad que sugiera.

En el plano corporativo, Anthropic tiene certificación SOC 2 Type II desde 2024, cumple con GDPR y ofrece BAA para HIPAA. Eso cubre el compliance. Pero compliance y seguridad son cosas distintas, y el historial de vulnerabilidades descubiertas post-lanzamiento (Cowork hackeado en 48 horas, recordemos) muestra que los controles de pre-lanzamiento no atrapan todo.

Guía práctica: cómo usar las funciones autónomas de Claude de forma segura

Si vas a usar auto mode o Cowork, estas son las medidas que reducen la superficie de ataque de verdad:

• Creá carpetas dedicadas para Cowork. Nunca le des acceso a Documents o Desktop completos. Armá un directorio específico con solo lo que necesitás que el agente vea.
• No expongas documentos con datos sensibles. Contraseñas, datos financieros, credenciales de API, nada de eso debería estar en el scope de Cowork. Si tenés un .env con secrets, sacalo de ahí.
• Usá auto mode solo en entornos sandbox. Aislado de producción. Si estás probando en un repo de prueba, perfecto. Si es el repo de producción de tu empresa con acceso a la base de datos, pensalo dos veces.
• Limitá las extensiones de Chrome a sitios confiables. La vulnerabilidad de AppleScript mostró que las extensiones son un vector real.
• Mantené Claude Code actualizado. Los parches de 2.0.65+ corrigen todas las vulnerabilidades conocidas. Si estás en una versión anterior, actualizá hoy.
• Verificá manualmente lo que hace Claude Code Security. Que te sugiera un parche no significa que lo debas aplicar a ciegas.
• Activá la aprobación de admin en planes Team. Que no cualquier miembro del equipo pueda habilitar auto mode sin supervisión.

Para organizaciones que manejan datos confidenciales de clientes, la recomendación más honesta es: esperá. Dejá que el producto madure, que pasen dos o tres ciclos de auditoría independiente, y considerá planes Enterprise con garantías contractuales antes de darle autonomía a un agente sobre datos regulados. Para más detalles técnicos, mirá la función Remote Control de Claude Code.

Claude vs otros agentes autónomos: comparativa de seguridad

Anthropic se posiciona como la opción “más segura” del mercado. ¿Es cierto? Depende de qué métricas uses.

Característica	Claude (Anthropic)	OpenAI Operator	Google Project Mariner
Clasificador de riesgo en tiempo real	Sí (auto mode)	Parcial	No público
Aislamiento en VM	Sí (Cowork)	No	Sí (sandbox Chrome)
Transparencia sobre limitaciones	Alta (documentación pública)	Media	Baja
Vulnerabilidades públicas en 2026	6+ (parcheadas)	3 reportadas	Sin datos públicos
Framework de seguridad	Constitutional AI + clasificador	GPT-4 safety layer	No documentado
Certificaciones compliance	SOC 2 Type II, GDPR, HIPAA BAA	SOC 2 Type II, GDPR	ISO 27001, SOC 2
Velocidad de parches (promedio)	48-72 horas	1-2 semanas	Sin datos

Las ventajas de Anthropic son reales: transparencia en sus limitaciones, parches rápidos, y documentación que no te vende humo sobre lo que puede salir mal. La desventaja también es real: tienen más vulnerabilidades públicas que la competencia, en parte porque sus productos son más agresivos en autonomía (y en parte porque están bajo más escrutinio de la comunidad de seguridad).

El marco de referencia para evaluar a todos es el OWASP Top 10 para agentes de IA, publicado en diciembre de 2025. Si tu equipo de seguridad todavía no lo leyó, ese es el primer paso antes de habilitar cualquier agente autónomo.

Perspectiva a largo plazo: la seguridad de los agentes IA en 2026 y más allá

La tendencia hacia mayor autonomía es inevitable. Nadie va a volver a un mundo donde le das click a “permitir” 47 veces por sesión (y la verdad es que cuando te lo piden tantas veces, terminás haciendo click en “yes” sin leer, que es peor que no tener el control).

El dilema es genuino: productividad vs seguridad. Los agentes autónomos son útiles de verdad. Ahorran tiempo, automatizan lo tedioso, te dejan enfocarte en decisiones de alto nivel. Pero cada capa de autonomía es una capa más de superficie de ataque.

Lo que necesitamos (y todavía no tenemos del todo) son marcos de gobernanza específicos para agentes. No alcanza con las políticas de seguridad tradicionales. Si tu empresa tiene una política de acceso para empleados humanos pero no tiene una equivalente para agentes de IA que operan con credenciales propias, estás volando a ciegas. La curva de aprendizaje organizacional es empinada y recién estamos arrancando. Tema relacionado: Claude Sonnet orientado a programadores.

Anthropic es probablemente el referente más serio en este espacio. Pero referente no es sinónimo de infalible.

Errores comunes

Creer que auto mode es lo mismo que dangerously-skip-permissions

No. dangerously-skip-permissions deshabilita todas las verificaciones de seguridad. Auto mode tiene un clasificador activo que bloquea acciones peligrosas. La diferencia es enorme: uno es andar sin cinturón y el otro es un cinturón que a veces falla. Pero si elegís auto mode pensando que es igual de riesgoso, te perdés la mejora real.

Asumir que “parcheado” significa “resuelto para siempre”

Las vulnerabilidades de 2026 se parchearon, sí. Pero el patrón es lo que importa: Cowork fue hackeado en 48 horas, las extensiones tenían AppleScript sin sanitizar, el flujo de carga de proyectos filtraba API keys. Son fallas en el diseño que se corrigieron puntualmente. Las próximas funcionalidades van a tener sus propias fallas. Mantener el software actualizado es necesario pero no suficiente.

Esto está directamente relacionado con lo que escribimos en How safe (Security-Wise) do you guys think is Claude’s new f.

Profundizamos en esto en How safe (Security-Wise) do you guys think is Claude’s new f.

Si te preocupa la seguridad de estas herramientas, consultá nuestro análisis en How safe (Security-Wise) do you guys think is Claude’s new f.

Si querés saber más sobre seguridad, revisá How safe (Security-Wise) do you guys think is Claude’s new f.

Justamente tenemos un análisis detallado sobre esto en How safe (Security-Wise) do you guys think is Claude’s new f.

Podés leer más sobre esto en nuestro análisis de How safe (Security-Wise) do you guys think is Claude’s new f.

Esto se conecta con lo que cubrimos en How safe (Security-Wise) do you guys think is Claude’s new f.

Esto se conecta con How safe (Security-Wise) do you guys think is Claude’s new f, donde cubrimos el tema en detalle.

Lo mismo lo tocamos en How safe (Security-Wise) do you guys think is Claude’s new f si querés saber más.

Esto se conecta con How safe (Security-Wise) do you guys think is Claude’s new f, donde cubrimos el tema en detalle.

Si querés profundizar en esto, acá va How safe (Security-Wise) do you guys think is Claude’s new f.

Si te interesa el tema de seguridad, mirá nuestro análisis en How safe (Security-Wise) do you guys think is Claude’s new f.

Esto conecta con How safe (Security-Wise) do you guys think is Claude’s new f, donde cubrimos la seguridad en detalle.

Esto se conecta con How safe (Security-Wise) do you guys think is Claude’s new f, donde cubrimos el tema a fondo.

Si te preocupa la seguridad de Claude, podés profundizar con How safe (Security-Wise) do you guys think is Claude’s new f.

Si querés profundizar, acá tenemos un análisis en How safe (Security-Wise) do you guys think is Claude’s new f.

Si te interesa la seguridad, mirá How safe (Security-Wise) do you guys think is Claude’s new f.

Esto se conecta con How safe (Security-Wise) do you guys think is Claude’s new f, donde profundizamos más al respecto.

Si querés saber más, acá está nuestro análisis sobre How safe (Security-Wise) do you guys think is Claude’s new f.

Podés leer más sobre el tema en How safe (Security-Wise) do you guys think is Claude’s new f.

Esto se conecta con lo que escribimos acá: How safe (Security-Wise) do you guys think is Claude’s new f.

En How safe (Security-Wise) do you guys think is Claude’s new f analizamos la interpretabilidad y seguridad de los modelos más en profundidad.

Si querés profundizar en la seguridad de Claude, acá tratamos How safe (Security-Wise) do you guys think is Claude’s new f.

Sobre esto, tenemos un análisis completo acá: How safe (Security-Wise) do you guys think is Claude’s new f.

Esto se conecta con nuestro artículo sobre How safe (Security-Wise) do you guys think is Claude’s new f.

Si querés saber más al respecto, pasate por How safe (Security-Wise) do you guys think is Claude’s new f.

Si te interesa profundizar en la seguridad de los modelos, acá tenemos un análisis: How safe (Security-Wise) do you guys think is Claude’s new f.

Si querés profundizar en seguridad de extensiones, tenemos un análisis detallado en How safe (Security-Wise) do you guys think is Claude’s new f.

Podés leer más en How safe (Security-Wise) do you guys think is Claude’s new f.

Esto se conecta con nuestro artículo sobre How safe (Security-Wise) do you guys think is Claude’s new f.

Si querés saber más, pasate por How safe (Security-Wise) do you guys think is Claude’s new f donde lo explicamos en detalle.

Esto se conecta con How safe (Security-Wise) do you guys think is Claude’s new f, donde cubrimos el tema en detalle.

Si querés ahondar en el tema, tenemos un análisis en How safe (Security-Wise) do you guys think is Claude’s new f.

Esto se conecta con How safe (Security-Wise) do you guys think is Claude’s new f, donde cubrimos el tema.

Para profundizar en esto, tenemos un artículo donde analizamos a fondo How safe (Security-Wise) do you guys think is Claude’s new f.

Esto se cruza con How safe (Security-Wise) do you guys think is Claude’s new f, donde cubrimos el tema en detalle.

En otro artículo profundizamos sobre esto: How safe (Security-Wise) do you guys think is Claude’s new f.

Si querés ahondar en el tema, podés leer How safe (Security-Wise) do you guys think is Claude’s new f.

Esto se conecta directamente con How safe (Security-Wise) do you guys think is Claude’s new f, donde profundizamos en el tema.

Si querés saber más, mirá How safe (Security-Wise) do you guys think is Claude’s new f donde cubrimos el tema a fondo.

Para profundizar, tenemos un análisis completo en How safe (Security-Wise) do you guys think is Claude’s new f.

Si te preocupa este tema, exploramos los riesgos en profundidad acá: How safe (Security-Wise) do you guys think is Claude’s new f.

Esto se conecta perfectamente con How safe (Security-Wise) do you guys think is Claude’s new f, donde lo cubrimos en detalle.

Esto se conecta con How safe (Security-Wise) do you guys think is Claude’s new f, donde cubrimos la seguridad de Claude en detalle.

Para profundizar en este aspecto, podés leer nuestro análisis en How safe (Security-Wise) do you guys think is Claude’s new f.

Acá tenemos un artículo que profundiza en How safe (Security-Wise) do you guys think is Claude’s new f.

Cubrimos esto en profundidad acá: How safe (Security-Wise) do you guys think is Claude’s new f.

Darle a Cowork acceso a toda tu carpeta home

El ataque de PromptArmor funcionó porque Cowork tenía acceso a archivos que incluían un Word malicioso. Si le das acceso a ~/Documents donde tenés de todo (facturas, contratos, archivos de configuración con credenciales), le estás dando al atacante el buffet completo. Carpetas dedicadas, con solo lo necesario.

Esto se conecta con How safe (Security-Wise) do you guys think is Claude’s new f, donde cubrimos el tema en detalle.

Sobre este tema circulan muchas dudas, y en How safe (Security-Wise) do you guys think is Claude’s new f se analizan algunas respuestas concretas.

Preguntas Frecuentes

¿Es seguro usar el modo automático de Claude Code?

Más seguro que dangerously-skip-permissions, menos seguro que revisar cada acción manualmente. El clasificador bloquea acciones destructivas y exfiltración, pero Anthropic admite que no elimina todos los riesgos. Para proyectos personales o de prueba, es razonable. Para producción con datos sensibles, todavía no.

¿Qué vulnerabilidades se descubrieron en Claude en 2026?

Al menos seis: la cadena Claudy Day (prompt injection + exfiltración + redirect abierto, descubierta por Oasis Security), CVE-2026-21852 (exfiltración de API keys), CVE-2025-59536 (RCE en directorio no confiable), vulnerabilidad de extensiones con CVSS 8.9, ataque a Cowork vía Word malicioso, y zero-click vía Google Calendar. Todas parcheadas en Claude Code 2.0.65+.

¿Debería dejar que Claude controle mi computadora sin supervisión?

No en entornos con datos sensibles o de producción. Cowork corre en VM (aislamiento parcial) y auto mode tiene clasificador de riesgos, pero el historial de vulnerabilidades muestra que los controles pueden fallar. Usá carpetas dedicadas, mantené el software actualizado, y revisá las acciones críticas.

¿Cómo se compara la seguridad de Claude con otros agentes de IA?

Anthropic tiene mejor transparencia y parches más rápidos que OpenAI y Google en este espacio. Constitutional AI y el clasificador de auto mode son mecanismos que la competencia no tiene equivalentes públicos. La contrapartida: más vulnerabilidades reportadas, en parte por mayor exposición y en parte por funcionalidades más agresivas en autonomía.

Conclusión

Auto mode es un paso real hacia agentes de IA que no te interrumpan cada 30 segundos, y el clasificador de seguridad es un enfoque técnico sólido. Pero la historia de 2026 ya dejó lecciones concretas: Cowork hackeado en 48 horas, cadenas de vulnerabilidades que permitían robo de datos, extensiones con fallas de CVSS 8.9. Anthropic parchea rápido y es más transparente que la competencia, lo cual cuenta. La seguridad perfecta no existe, y la pregunta real no es si Claude es “seguro” o “inseguro” sino si los beneficios de la autonomía justifican los riesgos con las mitigaciones que tenés disponibles hoy. Para proyectos personales y entornos de prueba, auto mode con las precauciones correctas es viable. Para datos regulados o producción crítica, la recomendación sigue siendo esperar y evaluar con tu equipo de seguridad.

Fuentes

• TechCrunch – Anthropic hands Claude Code more control, but keeps it on a leash
• Dark Reading – Claudy Day: Trio of flaws in Claude expose users to data theft
• Help Net Security – Anthropic Claude Code auto mode feature
• Kaspersky – Principales riesgos de la IA agéntica en 2026
• Anthropic Support – Cómo usar Cowork de forma segura