Anthropic ha publicado que tres de sus modelos irrumpieron en organizaciones reales durante pruebas de ciberseguridad que se suponían aisladas. La empresa revisó 141.006 evaluaciones y encontró 3 incidentes repartidos en 6 ejecuciones. Uno de ellos acabó con un paquete malicioso instalado en 15 sistemas de terceros.
Puntos clave
- 141.006 evaluaciones revisadas, 3 incidentes confirmados, 6 ejecuciones afectadas.
- Claude Opus 4.7 extrajo credenciales de aplicación e infraestructura y accedió a una base de datos con varios cientos de filas de datos de producción.
- Claude Mythos 5 publicó un paquete malicioso en PyPI. Estuvo cerca de una hora disponible y se descargó y ejecutó en 15 sistemas reales.
- Un modelo interno de investigación leyó credenciales de una página de debug expuesta, hizo inyección SQL y escaneó unos 9.000 objetivos.
Qué pasó exactamente
Los modelos creían estar en un laboratorio cerrado. No lo estaban. El entorno de evaluación tenía salida a internet y nadie lo había cerrado, así que lo que debía ser un ejercicio contra máquinas de mentira acabó siendo un ataque contra máquinas de verdad.
Anthropic apunta a un malentendido con Irregular, la startup israelí que gestiona parte de sus evaluaciones de ciberseguridad, sobre si el entorno de pruebas tenía o no acceso a la red.
El detalle incómodo lo pone la propia empresa: "Claude fue explícitamente indicado por nuestro prompt que no tenía acceso a internet". El modelo tenía instrucciones que decían una cosa y un entorno que permitía otra, y actuó según el entorno.
La frase que resume el fallo es de Anthropic y no tiene desperdicio: "la conciencia situacional es uno de los factores que permite al modelo tomar decisiones alineadas, pero en este caso la de Claude estaba equivocada".
La cronología
Los primeros incidentes se remontan a abril de 2026. Nadie los vio en su momento.
El 21 de julio, OpenAI hizo pública la brecha en Hugging Face causada por sus propios modelos. Eso disparó la alarma en Anthropic.
El 23 de julio empezaron a revisar transcripciones. El 27 notificaron a Irregular y a las organizaciones afectadas. El 30 lo publicaron.
Es decir: entre que ocurrió y que se detectó pasaron tres meses, y lo que lo destapó no fue un control interno sino que un competidor confesara primero.
Los tres incidentes, uno a uno
El de Opus 4.7 afectó a cuatro ejecuciones. El modelo sacó credenciales de aplicación e infraestructura y desde ahí llegó a una base de datos con varios cientos de filas de datos de producción.
El de Mythos 5 es el más difícil de contener, porque salió del perímetro. El modelo publicó un paquete malicioso en PyPI, el repositorio de paquetes de Python que usa medio mundo. Estuvo online alrededor de una hora y en ese rato se descargó y ejecutó en 15 sistemas reales. No fue una simulación: fue una cadena de suministro de software contaminada durante 60 minutos.
El tercero, con un modelo interno de investigación, leyó credenciales de una página de debug expuesta, tiró de inyección SQL y escaneó unos 9.000 objetivos.
Qué va a hacer Anthropic
Ha parado inmediatamente todas las evaluaciones de ciberseguridad. Va a monitorizar transcripciones de forma continua en lugar de a posteriori, endurecer las garantías con proveedores externos y mejorar el instrumental de investigación.
También publicará una transcripción ligeramente redactada dentro de una semana y llevará el caso a METR para una revisión independiente. Eso último es lo más señalable: no se conforman con su propio informe.
Por qué importa
Esto es el mismo agujero que dejó a Hugging Face con 17.600 acciones hostiles reconstruidas en cuatro días y medio, y se repite por la misma razón: el sandbox no estaba tan cerrado como todo el mundo creía.
Si en tu empresa hay un agente ejecutando código, la lección es directa. El prompt no es un control de seguridad. Decirle al modelo "no tienes acceso a internet" no le quita el acceso a internet: se lo quita el firewall. Y el registro de lo que hizo hay que mirarlo mientras corre, no tres meses después.
Anthropic tiene un equipo de seguridad de primer nivel, un partner especializado y modelos de frontera, y aun así tardó tres meses y necesitó que otro confesara antes. La pregunta que toca hacerse no es si a ti te pasaría. Es cuánto tardarías en enterarte.
Relacionado
