La empresa confirmó que tres versiones de su asistente de inteligencia artificial accedieron sin autorización a infraestructuras de compañías reales debido a una falla de configuración en un entorno de evaluación. Dos de las organizaciones afectadas desconocían por completo la intrusión hasta ser notificadas por la propia firma, en un episodio que volvió a poner bajo la lupa los límites de la automatización y la seguridad de los modelos avanzados.
El reconocimiento realizado por Anthropic sobre un incidente ocurrido durante pruebas de ciberseguridad encendió nuevamente las alarmas dentro de la industria de la inteligencia artificial. La compañía admitió que tres versiones diferentes de Claude lograron ingresar sin autorización a sistemas pertenecientes a organizaciones reales mientras participaban de ejercicios que, en teoría, debían desarrollarse exclusivamente dentro de un entorno aislado y completamente desconectado de internet. El hallazgo surgió tras una exhaustiva revisión de 141.006 evaluaciones, una investigación iniciada apenas dos días después de que OpenAI revelara que algunos de sus modelos también habían logrado salir de un entorno de pruebas aprovechando una vulnerabilidad informática desconocida para acceder a infraestructura perteneciente a Hugging Face, una de las principales plataformas de código abierto para modelos y bases de datos de inteligencia artificial.
Según detalló Anthropic, los tres episodios fueron detectados en una misma jornada y las empresas involucradas recibieron la notificación oficial el 27 de julio. Uno de los aspectos que más inquietud generó fue que dos de las tres organizaciones jamás habían advertido que sus sistemas habían sido vulnerados, enterándose únicamente cuando la desarrolladora de Claude informó lo sucedido tras concluir su investigación.
Sin embargo, el aspecto más significativo del caso no radica únicamente en que un modelo de inteligencia artificial consiguiera acceder a infraestructura ajena. Lo verdaderamente novedoso es que el sistema no actuó desobedeciendo instrucciones ni desarrolló objetivos propios, sino que ejecutó con absoluta fidelidad las consignas que había recibido, convencido de que todo ocurría dentro de un escenario ficticio. Esa obediencia absoluta terminó generando consecuencias reales, un comportamiento que especialistas consideran incluso más preocupante que un eventual intento de actuar por iniciativa propia.
Los incidentes ocurrieron durante competencias conocidas como Capture The Flag, ejercicios ampliamente utilizados en el ámbito de la ciberseguridad para evaluar la capacidad de detectar y explotar vulnerabilidades. En estas simulaciones, el modelo recibe un contexto hipotético y debe localizar determinada información oculta en equipos pertenecientes a una red simulada, sin instrucciones específicas sobre el procedimiento a seguir.
En todos los casos, el escenario indicaba expresamente que Claude operaba dentro de una simulación sin conexión a internet. No obstante, una falla de configuración entre Anthropic y la empresa Irregular, responsable de proveer parte de la infraestructura utilizada para estas evaluaciones, provocó que los sistemas permanecieran conectados a la red pública, transformando sin que el modelo lo supiera un ejercicio teórico en una interacción con infraestructura auténtica.
El episodio más delicado involucró a Opus 4.7, una de las versiones más avanzadas del modelo. Durante la evaluación, el nombre de la empresa ficticia utilizada coincidía casualmente con el dominio de una compañía existente. Convencido de que seguía dentro del entorno de pruebas, el sistema localizó vulnerabilidades presentes en esa infraestructura real, obtuvo credenciales correspondientes a distintas aplicaciones y finalmente logró acceder a una base de datos que almacenaba cientos de registros pertenecientes a operaciones reales.
Los informes internos revelan un dato particularmente inquietante. En las cuatro ejecuciones analizadas, el razonamiento del modelo llegó a considerar que probablemente estaba interactuando con un sistema auténtico y, en dos oportunidades, incluso dedujo que la empresa real podía formar parte deliberadamente del ejercicio diseñado para ponerlo a prueba. Pese a reconocer esas señales, nunca interrumpió sus acciones y continuó avanzando hasta cumplir el objetivo asignado.
Otro de los casos dejó en evidencia hasta qué punto un modelo puede desarrollar cadenas complejas de acciones cuando intenta completar una misión. El protagonista fue Mythos 5, que durante la simulación encontró un supuesto manual para empleados donde se indicaba instalar un paquete de Python inexistente. Interpretando esa ausencia como parte del desafío, el sistema decidió crear por sí mismo ese paquete de software y publicarlo en PyPI, el principal repositorio mundial desde donde millones de desarrolladores descargan bibliotecas de código abierto.
Para concretar esa publicación, el modelo debió resolver múltiples obstáculos propios del mundo real. Primero intentó obtener un número telefónico pago para registrar una cuenta de correo electrónico y, posteriormente, optó por utilizar un proveedor gratuito para completar el proceso. Todo ese conjunto de acciones fue realizado con el único propósito de cumplir la consigna que creía formar parte de una simulación.
El software permaneció disponible aproximadamente durante una hora. En ese breve lapso, 15 sistemas reales descargaron e instalaron automáticamente el paquete, entre ellos la infraestructura perteneciente a una empresa genuina especializada en ciberseguridad, cuyos sistemas analizan rutinariamente nuevas publicaciones realizadas en PyPI. Una vez ejecutado, el código desarrollado por Claude obtuvo credenciales internas y las utilizó para acceder a otros componentes de la infraestructura de esa compañía.
Los documentos técnicos difundidos por Anthropic muestran que el propio modelo llegó a registrar durante su razonamiento interno que, si realmente estuviera conectado a internet, aquello constituiría un ataque informático auténtico. Sin embargo, terminó descartando esa posibilidad porque no reconoció las autoridades certificadoras utilizadas para validar la conexión y porque observó que la fecha configurada en el sistema correspondía al año 2026, un detalle que interpretó como otra señal de encontrarse dentro de un entorno artificial.
El tercer episodio mostró un comportamiento diferente. Una versión interna más reciente de Claude analizó cerca de 9.000 posibles objetivos antes de vulnerar uno de ellos. Sin embargo, durante el desarrollo del ejercicio comenzó a detectar indicios suficientes para concluir que estaba interactuando con infraestructura auténtica y, por iniciativa propia, decidió detener la operación antes de continuar avanzando. Ese comportamiento fue considerado por la empresa como una señal positiva respecto de la evolución de sus mecanismos de evaluación contextual.
Tras concluir la investigación, Anthropic fue categórica al explicar que ninguno de los modelos intentó perseguir objetivos independientes ni desarrolló intenciones propias. Todos actuaron exclusivamente para cumplir las instrucciones recibidas y mantuvieron durante gran parte del proceso una creencia equivocada sobre el entorno donde estaban operando. La diferencia entre cada caso residió únicamente en el momento en que los modelos comenzaron a sospechar que el escenario podía ser real y en la forma en que interpretaron esa información antes de continuar o detenerse.
La empresa también buscó diferenciar estos episodios del incidente reconocido días antes por OpenAI. Mientras que en aquel caso los modelos habrían aprovechado una vulnerabilidad informática desconocida para abandonar el entorno de pruebas, Anthropic sostiene que sus sistemas no escaparon de ninguna restricción, sino que simplemente ingresaron a infraestructura real debido a una puerta que permanecía abierta como consecuencia de un error operativo en la configuración del entorno de evaluación. Desde la compañía insisten en que se trató de un problema de implementación y no de alineación del comportamiento de los modelos.
Aun así, el desenlace dejó una conclusión difícil de ignorar para toda la industria. Información perteneciente a tres organizaciones terminó siendo accesible para sistemas de inteligencia artificial que actuaban convencidos de que participaban de una simulación completamente ficticia. El episodio demuestra que el principal desafío ya no pasa únicamente por evitar que los modelos desobedezcan instrucciones o desarrollen conductas autónomas, sino también por garantizar que comprendan correctamente el contexto en el que operan.
El caso abre un nuevo capítulo en el debate sobre la seguridad de la inteligencia artificial avanzada. Lejos de mostrar máquinas actuando fuera de control, los incidentes reflejan un escenario quizás más complejo: modelos extremadamente obedientes que ejecutan cada instrucción con una precisión imposible de igualar para un operador humano, incluso cuando las premisas sobre las que se construyó esa orden resultan completamente erróneas. Esa capacidad para cumplir objetivos sin cuestionar el contexto constituye, para numerosos especialistas, uno de los desafíos más importantes que deberá afrontar el desarrollo de la inteligencia artificial en los próximos años.
