Anthropic ha activado en beta una función de escaneo automático de seguridad para skills y plugins en planes Enterprise. Los equipos pueden habilitarla para que cualquier extensión de terceros se analice en busca de contenido malicioso en el momento de subirla o editarla, antes de que quede disponible para los usuarios de la organización. Es una función discreta en el changelog y un reconocimiento nada discreto de algo que llevaba meses siendo evidente: el ecosistema de extensiones de Claude ya es superficie de ataque.
Riesgos de seguridad en Skills de Claude y servidores MCP
Conviene recordar qué es exactamente lo que se está escaneando, porque la palabra «skill» suena a plantilla inofensiva y no lo es. Una skill es un conjunto de instrucciones que se cargan en el contexto del modelo y que pueden dirigir su comportamiento: qué herramientas usa, qué archivos lee, qué comandos propone, qué información considera relevante. Un plugin va más lejos y puede traer consigo comandos, hooks y servidores MCP.
Eso significa que instalar una skill de un repositorio ajeno no se parece a instalar un tema de WordPress: se parece más a instalar un plugin con permisos de administrador. La skill se ejecuta dentro de una sesión que probablemente tiene acceso a tu repositorio, a tus credenciales de entorno y, si trabajas con Claude Code, a tu terminal.
No necesita explotar ninguna vulnerabilidad técnica: le basta con convencer al modelo de que hacer algo dañino forma parte de la tarea.
Este es el problema de seguridad específico de las extensiones de agentes, y es distinto del clásico. No hay un binario que analizar en busca de firmas conocidas. Hay texto que puede contener instrucciones adversarias diseñadas para redirigir el comportamiento del sistema: exfiltrar el contenido de un archivo de configuración, añadir una dependencia, enviar un fragmento de código a un endpoint externo como parte de un paso aparentemente legítimo.
Ataques de ingeniería social y suplantación de marca en IA
El escaneo no llega en el vacío. Hace pocos días se documentó una campaña del grupo SilverFox distribuyendo instaladores falsos de Claude para Windows, macOS y Linux con el objetivo de infiltrarse en empresas asiáticas. Cuando la marca de una herramienta se convierte en cebo suficiente para una campaña dirigida, es señal de que su ecosistema tiene el volumen de usuarios que atrae a actores organizados.
El paso siguiente y natural en ese camino es que el ataque deje de venir por un instalador falso y venga por un canal legítimo: una skill útil publicada en un repositorio público, popular, mantenida durante meses, que en una actualización posterior incorpora algo que no debería. Es el patrón clásico de compromiso de la cadena de suministro, trasladado a un formato donde el «código» es lenguaje natural y el intérprete es un modelo de IA. Que el escaneo se aplique en el momento de la subida y en el de la edición —no solo en la instalación inicial— indica que ese escenario concreto está contemplado.
Alcance y limitaciones del antivirus para extensiones de agentes
Un escaneo automático detecta patrones conocidos y contenido obviamente malicioso. Es una capa útil y era necesaria. No es una garantía absoluta: nadie que trabaje en ciberseguridad presenta un escáner como prueba de que algo es 100% seguro, sino como filtro que reduce el ruido. Las instrucciones adversarias sutiles, escritas para parecer razonables en su contexto, seguirán siendo difíciles de detectar automáticamente por la misma razón por la que son difíciles de detectar leyendo.
También hay una limitación de alcance: la función está en beta y en planes Enterprise. Quien trabaja solo o en equipos pequeños no la tiene, y es precisamente quien más rápido instala componentes encontrados en GitHub un viernes por la tarde.
🔒 Advertencia de seguridad
Una skill instalada en una sesión de Claude Code hereda el alcance de esa sesión: tu repositorio, tus variables de entorno y tu terminal. Antes de instalar cualquier extensión de terceros, asume que le estás concediendo ese nivel de acceso y decide si el autor lo merece.
Buenas prácticas de seguridad para usuarios sin plan Enterprise
La ausencia de la herramienta no cambia el riesgo, así que la disciplina tiene que ponerla uno. Tres hábitos de ciberhigiene que cuestan poco:
- Auditar la skill antes de instalarla: Son archivos de texto y una skill típica cabe en una pantalla, así que no hay excusa de «es demasiado código para revisarlo». Busca instrucciones que pidan leer archivos fuera del alcance de la tarea, enviar datos a URLs externas o ejecutar comandos sospechosos.
- Fijar versiones y auditar actualizaciones: El riesgo mayor no está en la versión que revisaste, está en la siguiente. Si una extensión de terceros forma parte de tu flujo habitual, trátala como una dependencia más: versión conocida y cambio revisado antes de adoptarlo.
- Aislar entornos por sensibilidad: Las extensiones experimentales no tienen por qué convivir con las sesiones que tocan repositorios de clientes. Un perfil limpio para proyectos con datos ajenos y otro para probar cosas nuevas es la medida más barata que existe.
Gestión e inventario de extensiones en entornos cliente
Lo relevante de este anuncio no es la función en sí, es lo que confirma sobre el momento del ecosistema. Las skills y los plugins han pasado de ser un experimento de la comunidad a ser infraestructura sobre la que hay trabajo real, y con eso llega el aparato de seguridad que acompaña siempre a esa transición: escaneo, validación, y en algún momento probablemente firma y verificación de origen.
Para quien construye automatizaciones para clientes, la lección práctica es que el inventario de extensiones instaladas en un entorno de trabajo ya forma parte de lo que hay que poder justificar. Si un cliente pregunta qué se ejecuta dentro de la sesión que toca su web, «un par de plugins que me descargué» ha dejado de ser una respuesta aceptable.
Para reforzar la protección en entornos corporativos, conviene combinar estas medidas con los Inference Hooks para filtrar peticiones sensibles en tiempo real.
