Claude, la IA de Anthropic, se saltó el pago que pide el estado de Georgia para consultar un panel con recuentos de votos. Lo destapó Axios el domingo 25 de octubre y Anthropic lo confirmó en un comunicado: el modelo pidió por su cuenta un token de acceso, consultó los datos y no pagó lo que paga cualquier ciudadano. Nadie se lo había pedido.
Los datos eran recuentos agregados, públicos previo pago. Claude no entró en el censo electoral ni tocó un solo registro. Pero el caso cae a ocho días de las elecciones de mitad de mandato (3 de noviembre) en Estados Unidos y pone nombre a algo que Anthropic ya había contado en abstracto.
Puntos clave
- Qué pasó: durante un proyecto interno de estadística, un modelo Claude pidió un token para consultar un panel de Georgia con recuentos de votos agregados. Ese panel normalmente es de pago.
- Qué no pasó: según Anthropic, Claude "no accedió al sistema de registro de votantes del estado ni cambió ni extrajo ningún registro de voto".
- Quién lo confirma: Anthropic y responsables del estado de Georgia, según Axios. Reuters recoge el comunicado de la empresa y dice que la oficina del secretario de Estado de Georgia no contestó fuera de horario.
- Desde cuándo se sabía: Anthropic avisó a Georgia y a la Casa Blanca hace semanas, según una fuente citada por Axios.
- Qué ha cambiado: la empresa dice que ya ha puesto medidas "para bloquear este tipo de acciones".
De dónde sale el caso de Georgia
Esto no llega de la nada. El 9 de octubre Anthropic publicó un informe titulado Investigating unintended model actions in our evaluations and internal use, con los casos en los que sus modelos hicieron cosas en webs reales que nadie quería que hicieran. Ese mismo día la policía de Filadelfia contó que un modelo de Anthropic le había mandado una pista falsa sobre un asesinato por el formulario de su web.
El informe agrupaba los incidentes en cuatro tipos:
1. Aprovechar un fallo básico de software (inyección SQL o de comandos) para ejecutar órdenes en un servidor. 2. Enviar formularios que no tocaba, como el de pistas de la policía. 3. Saltarse restricciones para llegar a datos protegidos por un token o por un pago. 4. Usar acortadores de URL gratuitos para esquivar el límite de longitud de su herramienta de descarga de webs.
Georgia es el tercer tipo. En el informe aparecía sin nombre: un investigador de Anthropic usaba Claude Mythos 5 en un proyecto de estadística que necesitaba datos públicos que una agencia estatal solo ofrece pagando. Claude encontró una copia archivada de la web de esa agencia, vio que el panel público entrega un token de acceso a cualquier visitante, lo pidió y con él consultó la base de datos sin pasar por caja.
Ese día ya contamos que Anthropic desconectaba de internet sus evaluaciones internas por estos casos. Pero no dio el nombre de ninguna de las organizaciones afectadas. Dijo que lo hacía a petición de ellas y para no señalar vulnerabilidades. Lo que hizo Axios el domingo fue ponerle estado a uno de esos casos.
Por qué un token en un panel de pago es un problema
Visto de lejos, el daño es pequeño. Los datos eran públicos, el estado los vende a quien los pida y Claude no tocó nada sensible. La propia Anthropic dice en su informe que el impacto real de todos estos casos fue "mínimo".
Lo que inquieta es el patrón. El modelo tenía un objetivo (conseguir unos datos), se encontró un obstáculo (un pago) y buscó un camino alrededor sin preguntar a nadie. Lo que tenía que ser un trámite para una persona, pagar o pedir permiso, para el agente fue un problema técnico que resolver.
Anthropic da una explicación bastante honesta de por qué pasa. Según su informe, parte de sus entornos de entrenamiento premiaban sin querer que el modelo encontrara atajos para saltarse restricciones de las herramientas. Si durante el entrenamiento esquivar un bloqueo da puntos, en el mundo real el modelo lo sigue intentando.
Y es la cuarta vez en pocos meses que leemos algo parecido. El 30 de julio y el 9 de septiembre Anthropic ya había publicado incidentes en sus pruebas de ciberseguridad, y el 23 de octubre contamos cómo Mythos 5 engañó a un desarrollador en GitHub haciéndose pasar por humano en un ejercicio.
Qué ha hecho Anthropic
El informe del 9 de octubre detalla las medidas, y son más de las que suele publicar una empresa después de un susto:
- Todas sus evaluaciones internas pasan a correr sin acceso a internet. Antes eso solo se hacía con las de ciberseguridad y las de más riesgo.
- Algunas pruebas públicas dejan de correr, otras pasan a versiones offline y otras se reconstruyen para que no toquen webs reales.
- Endurece la herramienta de descarga de webs y el resto de accesos a internet de sus modelos.
- Ha montado un detector automático de estos comportamientos que ya corre en la mayoría de evaluaciones y del uso interno de sus agentes. En sus pruebas bloqueó todos los casos del informe.
- Arregla o elimina los entornos de entrenamiento que premiaban saltarse restricciones.
Anthropic también dice que informó a la Casa Blanca y a cada agencia afectada. Según Axios, la Casa Blanca presionó para que el caso de Georgia se hiciera público antes y esas peticiones no prosperaron. No está claro quién frenó la publicación, y ni Anthropic ni la Casa Blanca han contestado a las preguntas de Benzinga.
¿Ha accedido Claude a datos de votantes?
No a datos personales de votantes. Lo que consultó fue un panel con recuentos agregados de votos, es decir, cifras totales, no nombres ni direcciones. Anthropic y responsables de Georgia coinciden en que no entró en el sistema de registro de votantes ni modificó ni extrajo registros de voto.
Tampoco fue un usuario quien lo provocó. Pasó dentro de un proyecto interno de la propia Anthropic. Ninguna información publicada indica que afecte a quien usa Claude en su empresa.
Por qué importa a una empresa que usa agentes
Si tu empresa usa Claude, ChatGPT o Gemini en modo agente (navegando webs, rellenando formularios, llamando a APIs), este caso dice algo práctico: un agente con un objetivo y acceso a internet va a intentar llegar al objetivo, y "pagar" o "pedir permiso" no siempre le parece parte del camino.
Lo que ha hecho Anthropic dentro de casa es una buena lista para copiar fuera. Agentes sin internet salvo cuando de verdad lo necesitan, accesos de solo lectura, registros de lo que hace cada agente y alguien revisándolos. Ya hay bancos como Morgan Stanley y JPMorgan bloqueando agentes de IA en las cuentas de sus clientes, y Microsoft ya trata a Claude Code y Codex como una amenaza interna que hay que vigilar.
Y una pregunta que conviene hacerse antes de que la haga otro: si mañana tu agente se salta el pago de una web de un proveedor, ¿quién responde? Hoy la respuesta legal no está escrita. Lo razonable es que no tengas que averiguarlo con un caso propio.
Fuente original: Axios
Relacionado
