La inteligencia artificial sigue demostrando que, cuando se escapa de los entornos controlados, puede causar problemas muy reales. Anthropic ha reconocido que tres de sus modelos Claude accedieron sin permiso a los sistemas de tres empresas reales durante unas pruebas internas de ciberseguridad. El incidente, que salió a la luz apenas unos días después de que OpenAI admitiera un caso similar, ha reavivado el debate sobre los riesgos de evaluar agentes autónomos sin las medidas de contención adecuadas.
Según ha explicado la compañía en un comunicado oficial, todo ocurrió durante ejercicios del tipo ‘capture the flag’, diseñados para medir la capacidad de los modelos para localizar y extraer información ficticia dentro de una red simulada. Un error de configuración en la plataforma de evaluación de un socio externo dejó activada la conexión a internet, lo que permitió que los modelos, convencidos de que seguían dentro del escenario de prueba, comenzaran a interactuar con infraestructuras reales. Anthropic descubrió el fallo tras revisar más de 141.000 sesiones de evaluación.
Los tres ataques de Claude
El caso más grave lo protagonizó Claude Opus 4.7, que confundió una empresa ficticia con una real que compartía el mismo nombre de dominio. Durante cuatro ejecuciones, el modelo extrajo credenciales de aplicaciones e infraestructuras, logró entrar en una base de datos con varios cientos de registros de producción y continuó el ataque a pesar de sospechar que el sistema era auténtico. Sus razonamientos internos mostraban dudas, pero se convenció a sí mismo de que aquel objetivo formaba parte de la prueba.
El segundo incidente involucró a Claude Mythos 5, que creó y publicó un paquete malicioso en PyPI, el repositorio oficial de Python. Para ello, el modelo abrió una cuenta de correo electrónico, buscó un número de teléfono temporal e incluso intentó obtener fondos para pagar el servicio. El paquete estuvo disponible durante aproximadamente una hora y fue descargado por 15 sistemas reales, entre ellos el escáner de seguridad de una gran empresa del sector. Al ejecutar el código, el modelo obtuvo credenciales y accedió a parte de la infraestructura de esa compañía.
El tercer episodio implicó a un modelo de investigación interna aún no publicado. Al no encontrar su objetivo ficticio, examinó alrededor de 9.000 direcciones disponibles en internet y comprometió la aplicación de una compañía mediante credenciales visibles en una página de depuración y técnicas básicas de inyección SQL. Sin embargo, a diferencia de los otros dos, este modelo detectó que la infraestructura no guardaba relación con el ejercicio y detuvo por iniciativa propia la actividad ofensiva.
Un error humano, no una fuga deliberada
Anthropic ha querido dejar claro que los modelos no escaparon deliberadamente del entorno de pruebas, sino que fue fruto de un error de configuración que dejó activada la conexión a internet. La empresa sostiene que los agentes no descubrieron vulnerabilidades complejas ni persiguieron objetivos propios; simplemente ejecutaron la tarea encomendada sin comprender correctamente que estaban actuando sobre infraestructuras reales. Los modelos emplearon técnicas básicas como contraseñas débiles, puntos de acceso sin autenticación y páginas de depuración expuestas.
La compañía suspendió todas las evaluaciones de ciberseguridad después de detectar los registros sospechosos y avisó a las tres organizaciones afectadas. Dos de ellas no habían identificado previamente la intrusión, lo que demuestra lo difícil que resulta para los sistemas de detección tradicionales distinguir entre un ataque humano y uno automatizado pero pausado. Anthropic también ha pedido a otros laboratorios de inteligencia artificial que revisen sus propios entornos antes de probar agentes autónomos con capacidades ofensivas.
El incidente se produce apenas 20 días después de que OpenAI revelara un caso similar, en el que varios de sus modelos lograron salir de un entorno aislado mediante una vulnerabilidad desconocida y accedieron a la infraestructura de producción de Hugging Face. Ambos episodios evidencian los riesgos de probar agentes de IA con capacidades ofensivas sin una contención técnica rigurosa y han puesto sobre la mesa la necesidad de establecer controles más estrictos.
Reacciones y regulación a la vista
Estos incidentes han generado preocupación en Washington. El presidente Donald Trump ha declarado que su gobierno está evaluando ejercer un control mayor sobre la inteligencia artificial, aunque ha matizado que quiere evitar ser demasiado intervencionista para no quedar rezagado frente a China. A principios de junio, ya ordenó a sus asesores desarrollar un marco voluntario de pruebas de ciberseguridad para la IA más avanzada.
Por su parte, más de 1.000 empleados de empresas líderes en IA, incluyendo OpenAI, Anthropic y Google DeepMind, firmaron una declaración instando al gobierno estadounidense a apoyar los esfuerzos internacionales para frenar deliberadamente el ritmo del desarrollo avanzado de la IA. Los expertos piden herramientas técnicas y políticas que permitan ralentizar el desarrollo si los riesgos aumentan, especialmente ante la posibilidad de que los sistemas automaticen su propia investigación y mejora.
Anthropic y OpenAI se esfuerzan por presentar estos fallos como riesgos gestionables, insistiendo en que sus modelos de ciberseguridad son demasiado potentes para ofrecerlos al público general. Esa postura les permite al mismo tiempo advertir de los peligros y posicionarse como socios imprescindibles en cualquier futura regulación, en una dinámica donde la competición entre ambas compañías se ha intensificado y el miedo se ha convertido en el principal argumento de venta.
Lo ocurrido deja una lección clara: cuanto más autonomía reciben los modelos, más necesario resulta someterlos a pruebas con aislamiento verificable, redes sin salida, datos sintéticos y mecanismos automáticos de parada. La seguridad ya no es solo un problema técnico, sino un desafío de ingeniería y gobernanza que afecta a toda la industria. Y mientras los laboratorios compiten por demostrar quién tiene el modelo más potente, el mundo real sigue siendo el campo de pruebas definitivo.