› Estado a 10 de octubre de 2026.METR reveló el robo de una clave de API y el uso no autorizado de créditos gratuitos en su informe del 31.08.2026.
› Se trata de un caso clave para aprender a separar el valor nominal del recurso consumido frente a una pérdida real de caja, así como la pérdida de control de acceso frente a una filtración de datos confirmada.En resumenUn atacante manipuló a un agente para que revelase una clave de API.Durante tres semanas se consumieron créditos gratuitos con un valor estimado de 600.000 USD: METR, 31.08.2026.Esa valoración no supone una pérdida de efectivo directo por dicho importe.Cronología del incidenteMarzo (contexto previo): sustracción de la clave, no revelada públicamente hasta agosto.Mayo: sondeo independiente, en parte mediante agentes; un investigador notificó una vulnerabilidad en el visor.Publicación en agosto: METR detalló las mejoras de monitorización, rotación de credenciales y aislamiento de infraestructuras.Fuente de la cronología: METR, 31.08.2026.Cómo auditar la seguridad de tus clavesCategoríaPregunta de controlLímite de interpretaciónRecurso¿Cuánto saldo disponible se consumió?La valoración teórica no equivale a una factura bancaria.Secreto¿Qué permisos otorgaba la clave?La exposición de la clave no demuestra la descarga de datos confidenciales.Facturación¿Qué cobros reales se generaron?Cualquier importe exige una base de liquidación contable.Qué ocurrió: la clave filtrada y el fallo de seguridadLa aplicación de pruebas desplegada por un investigador en marzo sobre una instancia EC2 personal contenía un fallo de autenticación de tipo "fail-open".
› Respecto al evento de mayo, METR confirmó que no halló pruebas de que los atacantes explotaran la vulnerabilidad del visor ni de que descargasen información no pública: METR, 31.08.2026.Conviene analizar ambos hechos por separado.
› La sustracción de la clave plantea dudas sobre el control de permisos y el agotamiento de recursos.