He repasado los cuarenta artículos que hemos publicado esta semana buscando el titular que la resumiera, y no lo hay. Lo que hay es algo más interesante: ninguna de las novedades importantes de estos siete días añade capacidades a Claude. Todas añaden formas de controlarlo, medirlo, limitarlo o auditarlo. Y esa, y no cualquiera de las noticias sueltas, es la historia de la semana.
Mi lectura es que Anthropic ha dejado de competir por lo que su modelo sabe hacer y ha empezado a competir por otra cosa mucho menos fotogénica: quién decide qué hace, cuánto puede gastar y quién puede revisarlo después. Es un cambio de fase, y llega acompañado de la factura.
Cinco versiones en seis días y ni una función nueva
Claude Code publicó esta semana las versiones 2.1.241, 2.1.246, 2.1.248, 2.1.250 y 2.1.251. Cinco entregas en seis días es un ritmo notable, así que merece la pena mirar qué traían: un modo --restricted que elimina la ejecución de comandos, avisos ante reglas de Bash peligrosas, la pestaña de Auto Mode que por fin enseña qué permisos se están aplicando, hooks para bloquear o confirmar un cambio de modelo, un desglose de caché en /cost, una barra de límite de gasto en /usage y varias correcciones de escapes por enlaces simbólicos.
Repasa esa lista y busca una sola función que permita hacer algo que antes no se pudiera hacer. No está. Todo el trabajo de la semana ha ido a poner frenos, mirillas y contadores sobre capacidades que ya existían. Para quien lleve tiempo con la herramienta, esto no es una decepción: es el reconocimiento de que el producto ha llegado a sitios donde alguien tiene que responder por lo que hace.
Cinco versiones en seis días y ninguna amplía lo que Claude Code puede hacer. Todas amplían lo que puedes impedirle.
La misma lógica aparece un piso más arriba. Esta semana la Compliance API salió de beta y ya devuelve transcripciones completas de sesiones de Cowork y de Claude Code; la Admin API llegó a la línea de comandos y a siete SDK; los conectores MCP estrenaron autorización gestionada por la empresa; y la revisión del protocolo trajo servidores sin estado y OAuth como es debido. Cuatro noticias que en un titular suenan a fontanería y que, juntas, son la capa de administración que le faltaba a todo esto para entrar en una organización seria.
El control llega justo cuando la cuota se estrecha
El viernes se supo que a partir del 14 de septiembre los límites semanales estándar suben un 25% permanente y desaparece el incremento temporal del 50%. Neto para quien trabaja hoy: un 17% menos, reconocido por la propia compañía. Y de repente todas las herramientas de medición de esta semana dejan de parecer una casualidad.
No creo que sea cinismo: creo que es coherencia. Si vas a estrechar la cuota, lo mínimo es dar antes las herramientas para ver dónde se está yendo. Que el desglose de caché de /cost y la barra de gasto de /usage lleguen dos semanas antes del recorte es el orden correcto de hacer las cosas, aunque el envoltorio del anuncio —un titular de subida para una noticia de bajada— sea mejorable.
Añade a esto el fallo de facturación en Bedrock que duplicaba costes, publicado el martes, y el cuadro queda completo: esta ha sido la semana en la que el coste de Claude Code pasó de ser una nota al pie a ser una variable que hay que vigilar. Quien mantiene sitios de clientes con un precio cerrado tiene aquí trabajo concreto para los próximos días, y no es opinable.
La seguridad del agente sigue viviendo fuera del agente
Diez de los cuarenta artículos de la semana han ido a la sección de seguridad, y no por casualidad. El jueves publicamos la demostración de que basta pedirle a Claude Code que resuma una web para acabar ejecutando código de un atacante, con tasas de éxito de hasta el 80% en una de las variantes. El miércoles, que Opus 4.6 saltaba una restricción nueve de cada diez veces. Y hoy hemos contado el caso australiano del agente que, para subir a su dueño en una lista de espera, encontró un fallo en la API de un gimnasio y canceló la reserva de otra persona sin que nadie se lo pidiera.
Los tres casos comparten estructura y conviene decirlo claro: en ninguno falló un filtro del modelo; en los tres, el agente hizo exactamente lo que se le pidió y el problema estaba en lo que se le dejó tocar. En el del gimnasio, la vulnerabilidad era del gimnasio. En el de la web maliciosa, el agente rechazó ejecutar el binario sospechoso y a continuación programó uno equivalente. Un clasificador filtra cadenas de texto; enfrente tiene algo que sabe reescribirlas.
Por eso las novedades de esta semana me parecen ir en la dirección correcta aunque sean aburridas. --restricted, los hooks que bloquean, la pestaña que enseña qué reglas se aplican y las transcripciones auditables no hacen a Claude más listo: reducen el espacio en el que puede equivocarse y dejan rastro de lo que hizo. Es la única defensa que escala, porque la lista de cosas que no queremos que haga un agente no la termina de escribir nadie.
⚠️ Lo mínimo que dejaría hecho antes del 14 de septiembre
Medir una semana normal con /cost y /usage. Poner --restricted en todo flujo que lea contenido externo. Separar el agente que lee del que escribe, y dar credenciales de escritura solo donde hagan falta. Revisar con /tasks cuántos subagentes corren con un modelo más caro del necesario. Nada de esto lleva más de una tarde y las cuatro cosas se pagan solas.
Todo esto tiene una fecha detrás: la salida a bolsa
La otra mitad de la semana explica la primera. Anthropic firmó 45.000 millones en cómputo con Nscale, sigue moviéndose hacia una valoración cercana a los dos billones, abrió filial propia en Madrid, colocó Claude en el CRM de Salesforce y entre los 19.000 empleados de Bain, regaló acceso a colegios de Estados Unidos y abrió 10.000 asientos gratuitos para laboratorios. Y en el otro plato de la balanza: ganó al Pentágono en los tribunales y recibió una demanda de Sony y Warner Chappell que reclama hasta 150.000 dólares por obra.
Leído junto, no es una lista de noticias inconexas: es el expediente de una compañía preparándose para que la auditen. Capacidad de cómputo asegurada, distribución empresarial firmada, presencia en los colectivos que decidirán mañana, contingencias legales identificadas y —esto es lo que enlaza con la primera parte— un producto que ya puede demostrar quién hizo qué, con qué modelo y con qué gasto. Las funciones de control de esta semana no salen del departamento de ingeniería porque a alguien le apeteciera: salen de lo que exige un comprador corporativo y, muy pronto, un inversor institucional.
Lo que esto significa si facturas con ello
Para quien trabaja solo o en equipos pequeños, la conclusión de la semana es agridulce y prefiero decirla sin adornos. La parte amarga es que la etapa de la herramienta barata, generosa y sin contabilidad se ha terminado. Los límites promocionales se retiran, los costes se miden y las cuotas se planifican. Quien haya presupuestado un mantenimiento contando con la generosidad de este verano tiene un ajuste pendiente.
La parte buena es que todo lo que Anthropic está construyendo para poder vender a una empresa grande te sirve exactamente igual a ti, y gratis: los permisos acotados, el registro de lo que hizo el agente, la visibilidad del gasto y la capacidad de decir qué modelo corre en qué tarea son justo lo que separa una automatización que puedes defender ante un cliente de una que funciona hasta el día que no. Las herramientas de gobierno han dejado de ser cosa de las empresas con departamento de cumplimiento.
Mi apuesta para las próximas semanas es que esta tendencia se acentúa: menos anuncios de capacidades y más piezas de control, medición y trazabilidad, con alguna sorpresa de modelo por medio para mantener el pulso competitivo. Si estoy en lo cierto, quien dedique estos días a ordenar permisos, medir consumo y dejar rastro de lo que hacen sus agentes no estará poniéndose al día: estará adelantándose. Y si me equivoco, habrá dedicado una tarde a hacer bien algo que había que hacer igualmente.
