Estados Unidos ha abierto un nuevo frente en la batalla tecnológica y geopolítica con China. Por un lado, el Departamento de Defensa ha recomendado incluir a Alibaba, Baidu y BYD en la lista “Section 1260H”, un registro de empresas chinas consideradas vinculadas al aparato militar de Pekín. Por otro, el Congreso ha citado a responsables de Anthropic, Google Cloud y Quantum Xchange para que expliquen un ciberataque de espionaje supuestamente orquestado casi por completo mediante inteligencia artificial.
Movimientos que llegan en pleno “alto el fuego” comercial entre Washington y Pekín y que vuelven a poner bajo los focos a los gigantes chinos de internet, semiconductores, robótica y vehículos eléctricos, así como al papel de la IA en los ataques cibernéticos de nueva generación.
El sello 1260H: una lista sin sanciones directas, pero con un mensaje muy claro
En una carta remitida el 7 de octubre a los líderes de los comités de Servicios Armados de la Cámara de Representantes y el Senado, el vicesecretario de Defensa Stephen Feinberg detalló que ocho compañías cumplen los criterios legales para ser consideradas “Chinese military companies” según la Sección 1260H de la legislación de defensa estadounidense.
Entre ellas se encuentran:
- Alibaba (comercio electrónico, cloud, IA)
- Baidu (buscador, servicios de IA, robotaxi)
- BYD (fabricante de vehículos eléctricos y baterías)
- Eoptolink Technology (componentes ópticos)
- Hua Hong Semiconductor (foundry de chips)
- RoboSense Technology (sensores LiDAR y robótica)
- WuXi AppTec (biotecnología y servicios farmacéuticos)
- Zhongji Innolight (módulos ópticos para centros de datos)
La lista 1260H no conlleva sanciones automáticas: no congela activos ni prohíbe de forma directa invertir en esas empresas. Sin embargo, funciona como una señal política y financiera muy potente hacia los mercados: advierte a los inversores estadounidenses de que esas compañías, a juicio del Pentágono, contribuyen de algún modo al desarrollo militar chino —ya sea en capacidades de doble uso, infraestructura crítica o tecnologías estratégicas como IA, comunicaciones seguras o semiconductores avanzados.
Versiones previas de esta lista han tenido efectos inmediatos en bolsa: cuando se añadieron grandes grupos chinos a principios de año, valores tecnológicos y de baterías cayeron con fuerza, arrastrando a empresas como Tencent o CATL. Un escenario similar podría repetirse si la próxima actualización anual de la 1260H incorpora finalmente a Alibaba, Baidu, BYD y el resto de nombres señalados en la carta.
Contexto político: deshielo comercial, pero más desconfianza estratégica
La carta del Pentágono llegó semanas antes de la cumbre del 30 de octubre en Corea del Sur, en la que Donald Trump y Xi Jinping pactaron una especie de tregua arancelaria: Washington se comprometió a reducir algunos gravámenes a productos chinos a cambio de mayores compras agrícolas y concesiones en materias primas críticas como las tierras raras.
Ese gesto de distensión en el frente comercial contrasta con una realidad de fondo: la relación estratégica entre Estados Unidos y China sigue marcada por la rivalidad tecnológica, especialmente en semiconductores, IA, computación en la nube, robótica y vehículos eléctricos.
Pekín reaccionó con dureza a la noticia de la carta. El Ministerio de Exteriores acusó a Estados Unidos de “abusar del concepto de seguridad nacional” y de usar listas discriminatorias para “reprimir sin fundamento a las empresas chinas”, insistiendo en que tomará “las medidas necesarias” para proteger sus intereses.
Para compañías como Alibaba o Baidu, la inclusión en la 1260H llega justo cuando intentan reforzarse en IA generativa, modelos fundacionales y servicios cloud para competir con sus homólogas estadounidenses en mercados globales. El mero riesgo de ser percibidas como actores “demasiado cercanos” al Ejército chino puede complicar financiación, acuerdos con partners occidentales o despliegues de infraestructura fuera de China.
Anthropic, Google Cloud y Quantum Xchange, citadas al Congreso por un ciberataque “orquestado por IA”
Mientras el Pentágono aprieta el cerco sobre empresas chinas, el Congreso estadounidense abre otro frente ligado directamente a la inteligencia artificial. Un comité de la Cámara de Representantes ha solicitado la comparecencia del CEO de Anthropic, Dario Amodei, así como de Thomas Kurian (Google Cloud) y Eddy Zervigon (Quantum Xchange), para el 17 de diciembre.
El motivo: un ataque de ciberespionaje atribuido a un grupo vinculado a China que Anthropic reveló en un informe reciente. Según la compañía, se trata del primer caso documentado de una campaña de espionaje a gran escala coordinada casi íntegramente mediante una IA generativa, en este caso, su modelo Claude.
En su publicación, Anthropic describe cómo el actor malicioso utilizó el chatbot para:
- Diseñar y automatizar intentos de intrusión contra unas 30 organizaciones a nivel mundial.
- Optimizar phishing avanzado, generación de payloads y pruebas de credenciales robadas.
- Coordinar ataques simultáneos contra objetivos de sectores como tecnología, finanzas, química y administraciones públicas.
La empresa asegura que detectó y bloqueó la campaña, y que solo se produjo un número reducido de intrusiones exitosas. Aun así, el caso se ha convertido en un ejemplo muy citado de lo que muchos expertos temían: la transición desde ciberataques dirigidos por humanos hacia operaciones semiautónomas, donde la IA no solo acelera tareas, sino que planifica, adapta y ejecuta acciones complejas con mínima supervisión humana.
“Shadow AI” y nuevas superficies de riesgo
La preocupación en Washington no se limita a este incidente concreto. Legisladores y reguladores llevan meses advirtiendo de:
- El riesgo de que actores estatales o criminales utilicen modelos avanzados de IA para industrializar el cibercrimen, reduciendo barreras de entrada.
- La expansión de infraestructuras como MCP (Model Context Protocol) y capas de “agentic AI” que permiten a agentes automatizados interactuar directamente con APIs, datos sensibles y sistemas internos.
- La proliferación de lo que algunos analistas llaman “Shadow AI”: despliegues de herramientas y servidores de IA dentro de empresas sin control centralizado de seguridad.
En este contexto, el ataque documentado por Anthropic se interpreta en Washington como una “prueba de concepto a escala real” de lo que podría llegar a ser la norma en pocos años si no se refuerzan los marcos de seguridad, auditoría y gobernanza de la IA.
La audiencia del 17 de diciembre servirá, previsiblemente, para que Amodei, Kurian y Zervigon expliquen qué controles aplican sus empresas para detectar y limitar usos maliciosos de sus modelos y plataformas, cómo colaboran con el Gobierno en ciberdefensa y qué tipo de señales consideran suficientes para bloquear cuentas o patrones de uso sospechosos.
Dos historias conectadas: IA, capital y seguridad nacional
Aunque a primera vista puedan parecer episodios separados, la carta del Pentágono sobre la lista 1260H y la citación a los líderes de la IA ante el Congreso responden a una misma lógica: la convergencia entre tecnología, finanzas y seguridad nacional.
- Al colocar el foco sobre empresas chinas como Alibaba, Baidu o BYD, Washington lanza un mensaje a los mercados: invertir en determinados segmentos del ecosistema tecnológico chino puede entrañar riesgos estratégicos, más allá de los puramente económicos.
- Al investigar públicamente el ataque atribuido a un grupo chino que habría usado IA para orquestar espionaje a gran escala, se intenta marcar líneas rojas sobre el uso y el diseño de modelos avanzados, así como presionar a los proveedores para que no se limiten a “vender capacidad de cómputo” sin asumir responsabilidades adicionales.
En paralelo, China denuncia que estas medidas no son más que parte de una estrategia para frenar su desarrollo tecnológico y mantener la ventaja de las grandes compañías estadounidenses en IA, semiconductores y cloud. Para Pekín, etiquetas como “Chinese military company” son una herramienta política más en una disputa que va mucho más allá del comercio.
Lo que sí parece claro es que, a medida que la IA se integra en infraestructuras críticas, ciberdefensa, industria militar y mercados financieros, los movimientos regulatorios y diplomáticos dejarán de ser asuntos aislados: cada lista, cada audiencia y cada incidente de ciberseguridad van a leerse como capítulos de una misma historia, la de la competencia global por el poder tecnológico en la era de la inteligencia artificial.
Preguntas frecuentes
¿Qué es la lista “Section 1260H” y en qué se diferencia de otras listas de sanciones?
La Sección 1260H es un mandato del Congreso para que el Pentágono identifique empresas chinas que, a su juicio, califican como “Chinese military companies”. Aparece en informes públicos y funciona como una advertencia a inversores y socios, pero no implica automáticamente sanciones como congelación de activos o prohibición de invertir, a diferencia de otras listas del Departamento del Tesoro.
¿Por qué la posible inclusión de Alibaba, Baidu y BYD es especialmente relevante?
Porque son empresas clave en áreas consideradas estratégicas: comercio electrónico y cloud con fuerte componente de IA (Alibaba), búsquedas y modelos de IA generativa (Baidu) y vehículos eléctricos y baterías (BYD). Su presencia en la lista puede afectar a la percepción de riesgo de bancos, fondos y socios internacionales, justo cuando EE. UU. y sus aliados intentan limitar la transferencia de tecnología sensible a China.
¿Qué tiene de novedoso el ciberataque descrito por Anthropic?
Según la propia compañía, es el primer caso documentado en el que un grupo vinculado a un Estado utiliza un modelo de IA avanzada (Claude) para coordinar casi todas las fases de una campaña de ciberespionaje: desde el diseño de correos y scripts hasta la gestión simultánea de ataques a decenas de objetivos. Marca un salto cualitativo respecto al mero uso de IA como ayuda puntual para escribir código o traducir textos.
¿Qué puede salir de la audiencia en el Congreso con Anthropic, Google Cloud y Quantum Xchange?
A corto plazo, probablemente más presión política para que los proveedores de modelos de IA adopten controles técnicos y de uso más estrictos, así como propuestas de regulación específica sobre monitorización, auditoría y cooperación obligatoria en materia de ciberseguridad. A medio plazo, este tipo de audiencias puede desembocar en leyes que definan responsabilidades legales claras cuando una IA se utiliza como pieza central de un ataque.
