Particular Advisory.
Explaining Constants.

El binario llega sin verificación criptográfica.

La distribución pública del CLI claude se efectúa mediante un guion de instalación servido por curl que, tras un redirect 302, descarga el ejecutable desde Google Cloud Storage. En ningún punto del trayecto se ofrece, a fecha de hoy:

• una firma OpenPGP del binario emitida por una clave atribuible a Anthropic,
• un atestado Sigstore con su correspondiente entrada en transparency log,
• un manifiesto firmado que enumere los hashes verificables por la persona usuaria.

El único anclaje de confianza es el certificado TLS DV del dominio, que prueba el control del dominio pero no la identidad del emisor ni la integridad del software entregado. El modelo de confianza resultante es TOFU —trust on first use—, modelo que la industria considera insuficiente para software que opera con permisos amplios sobre datos personales y código fuente de quien lo instala.

Encuadre normativo · seguridad de producto

• RGPD (Reg. UE 2016/679) · arts. 25 y 32 — privacidad por diseño y medidas técnicas que garanticen la integridad del tratamiento.
• LSSI-CE (Ley 34/2002) · arts. 12 bis y 38.3 — deberes de información y diligencia del prestador de servicios.
• TRLGDCU (RDL 1/2007) · arts. 11, 12 y 128 — producto seguro y responsabilidad objetiva por daños derivados de productos defectuosos.
• Cyber Resilience Act (Reg. UE 2024/2847) — obligación de SBOM, actualizaciones firmadas y gestión transparente de vulnerabilidades; exigible desde 2027 con sanción de hasta 15 M € o 2,5 % de facturación.
• Directiva NIS2 (Dir. UE 2022/2555) · art. 21.2(d) — seguridad de la cadena de suministro.
• Directiva 2019/770 (contenido digital) — conformidad subjetiva y objetiva del suministro digital.

La oferta a quien usa Linux es asimétrica al mismo precio.

Quien usa GNU/Linux abona el mismo importe que el usuario de macOS o Windows y recibe, de facto, una paridad nominal de funciones que no se sostiene en la operativa real. La afirmación que se recoge a continuación no proviene del firmante: proviene del propio asistente Claude, servicio comercializado por Anthropic. Una instancia previa de dicho asistente, durante una sesión de auditoría técnica sobre la entrega del CLI, manifestó al firmante que a Anthropic no le sale rentable mantener la paridad real en Linux. La autoría es, por tanto, del propio sistema de la contraparte en su rol de asesor del consumidor. Su valor es indiciario y autoincriminatorio. Se invita a Anthropic a confirmarla, matizarla o desmentirla con datos.

Si la afirmación es cierta, lo que persiste a coste igual es:

• soporte de plataforma desigual,
• frecuencia de releases desigual,
• calidad de empaquetado desigual —curl install.sh en Linux frente a paquetes firmados .dmg o MSI en otros sistemas—,
• canal de actualización desigual,
• visibilidad del estado del producto en cada plataforma desigual.

La asimetría se traslada al consumidor europeo, que paga sin descuento ni transparencia. Esta segunda constante, según su materialización en cifras y la posición de Anthropic en el mercado europeo de modelos de lenguaje, puede activar marcos normativos distintos a los del eje I.

Encuadre normativo · competencia y consumo

• TFUE · art. 102 — abuso de posición dominante por discriminación contractual o trato desigual injustificado entre clientes.
• Ley 15/2007 de Defensa de la Competencia — equivalente español; instrucción ante la CNMC.
• TRLGDCU (RDL 1/2007) · art. 8 — derechos básicos del consumidor: información veraz y no discriminación.
• Directiva 93/13/CEE sobre cláusulas abusivas — desequilibrio importante entre prestación y contraprestación, en perjuicio del consumidor.
• Reglamento 2018/302 sobre geo-blocking — prohibición de discriminación injustificada por nacionalidad o residencia.
• Carta de Derechos Digitales (España, 2021) — apartado III, derecho a la no discriminación en entornos digitales.