Chats compartidos de Claude en Google: el fallo no está en el modelo, está en la fontanería de privacidad

Cientos de conversaciones compartidas de Claude fueron públicamente localizables a través de Google este fin de semana, según un hilo de Reddit recogido por CyberSecurityNews. Bastaba una búsqueda del tipo «site:claude.ai/share» para abrir chats ajenos sin necesidad de que el propietario enviara el enlace. Entre lo expuesto, siempre según ese reporte, había estrategia legal redactada por abogados, depuración de código y trabajo técnico de ingenieros, y conversaciones personales.

El mecanismo es más aburrido de lo que suena y por eso importa. La función de compartir de Claude genera una URL pública para que puedas mandar una conversación a otra persona; el reporte sostiene que esas páginas carecían de las etiquetas «noindex» adecuadas —la instrucción que le dice a un buscador «no metas esto en tu índice»—. En cuanto un enlace circulaba por un foro, una red social o un pegado accidental, Google podía rastrearlo e indexar el contenido completo. No hubo intrusión ni vulnerabilidad exótica: hubo una puerta abierta que nadie marcó como privada. El precedente es reciente y casi idéntico: los enlaces compartidos de ChatGPT vivieron el mismo episodio.

Para el domingo, los resultados afectados habían desaparecido en gran medida de Google, lo que apunta —según el medio— o a una desindexación rápida tras ganar atención o a un arreglo en el servidor de Anthropic. La compañía no había emitido declaración pública al cierre de esa información, y conviene decirlo sin adornos: mientras no la haya, no sabemos qué se corrigió exactamente. Y ahí está el punto que investigadores de seguridad citados en la pieza subrayan con razón: desaparecer del buscador no equivale a cerrar la puerta. Quien guardó o marcó como favorita una de esas URL puede seguir abriéndola salvo que el acceso se revoque en el lado del servidor. Desindexar es maquillaje; revocar es cirugía.

El daño potencial no es la vergüenza, es la fuga. Un abogado que pega su estrategia procesal en un chat compartido está manejando secreto profesional; un ingeniero que depura código propietario está manejando propiedad intelectual; una empresa que analiza sus datos de negocio está generando, sin saberlo, un documento indexable. En cualquier auditoría de cumplimiento, «estaba en una URL pública que Google rastreó» no es una defensa. Y a diferencia de una brecha clásica, aquí no hay atacante al que señalar: el vector es el propio botón de compartir.

Nuestra lectura: este es el patrón que llevamos meses viendo y que no tiene nada que ver con lo listos que sean los modelos. La capacidad avanza en la frontera —Fable, GPT, GLM— mientras la fontanería que rodea al modelo (enlaces, permisos, retención, indexación) se diseña con la mentalidad de una app de notas de 2014. La comodidad escala en semanas; los controles, cuando llegan, llegan tarde y por presión pública. La corrección es conocida y poco glamurosa: privacidad por defecto, «noindex» de fábrica, enlaces con caducidad, puertas de autenticación para lo sensible y un panel donde revocar de verdad, no solo ocultar. Que nada de eso sea el estado por defecto en 2026 es la noticia real.

Y es una noticia que importa más de lo que parece para el largo plazo que defendemos. Si la IA va a ser la infraestructura sobre la que se diagnostiquen enfermedades, se redacten contratos y se gobiernen empresas, su valor depende de una cosa: que la gente pueda contarle cosas difíciles sin calcular el riesgo. Cada episodio así entrena al usuario para autocensurarse, y un asistente al que se le oculta la mitad del contexto sirve para la mitad de las cosas. Mientras las plataformas no cierren esa brecha, la regla práctica es incómoda pero sana: revisa tus conversaciones compartidas en los ajustes de Claude, borra las que no necesites, no publiques esos enlaces en canales abiertos y trata cualquier chat compartido como si estuviera colgado en la web abierta. Porque, técnicamente, lo estaba.