Claude debía completar ejercicios de ciberseguridad dentro de una simulación. Una conexión a Internet habilitada por error le permitió atacar infraestructura real, acceder a datos y publicar un paquete malicioso.
Tres modelos de inteligencia artificial accedieron sin autorización a sistemas informáticos reales mientras participaban de pruebas que debían desarrollarse dentro de entornos controlados. Los incidentes afectaron la infraestructura de tres organizaciones y fueron descubiertos por Anthropic durante una revisión de más de 141.000 ejecuciones realizadas para evaluar las capacidades de Claude en ciberseguridad.
Las pruebas consistían en ejercicios conocidos como capture the flag, en los que el sistema recibe una situación ficticia y debe encontrar una información secreta escondida dentro de una red. Las instrucciones señalaban de manera explícita que todo ocurría en una simulación sin conexión con el exterior.
Una configuración incorrecta dejó disponibles rutas hacia Internet. Al encontrar dominios, servidores y aplicaciones reales, los modelos los interpretaron inicialmente como componentes del escenario preparado por los evaluadores y utilizaron distintas técnicas para intentar cumplir la tarea asignada.
Anthropic reconoció tres incidentes repartidos en seis ejecuciones. Cuatro de ellas afectaron a una misma organización, mientras que las otras dos involucraron objetivos diferentes. Los primeros casos se remontan a abril y fueron protagonizados por Claude Opus 4.7, Claude Mythos 5 y un modelo interno de investigación que no está previsto para su lanzamiento comercial.
Claude confundió una empresa ficticia con una organización real
El episodio de mayor gravedad comenzó con una coincidencia inesperada. La empresa ficticia utilizada en una de las pruebas tenía el mismo nombre que una organización real con un dominio activo en Internet.
Claude Opus 4.7 tuvo dificultades para encontrar el objetivo dentro del entorno de evaluación y terminó localizando el sitio verdadero. El modelo asumió que formaba parte del ejercicio, buscó fallas en su infraestructura, obtuvo credenciales de aplicaciones y servicios y consiguió ingresar a una base con varios cientos de registros de producción.
La situación se repitió durante cuatro ejecuciones de la misma prueba. En todas ellas, el modelo llegó a reconocer indicios de que estaba operando sobre sistemas reales. En dos casos, razonó que la compañía verdadera debía haber sido incorporada de manera deliberada al ejercicio y continuó con la operación.
Anthropic señaló que este fue el único de los tres incidentes en el que un modelo mantuvo su actividad después de advertir que probablemente había alcanzado infraestructura de producción. La compañía no encontró evidencias de que Claude hubiese intentado copiarse, abandonar deliberadamente el entorno o perseguir un objetivo propio.
El modelo siguió concentrado en la tarea que había recibido: localizar la información oculta y completar el desafío. El problema fue que las instrucciones, la configuración de la red y la falta de controles le hicieron interpretar sistemas verdaderos como partes de una simulación.
Un modelo publicó un programa malicioso en Internet
El segundo caso involucró a Claude Mythos 5. Durante el ejercicio, el modelo encontró un documento ficticio con instrucciones para instalar un paquete de Python desde PyPI, uno de los repositorios públicos de software más utilizados por desarrolladores.
El archivo mencionado en esas instrucciones no existía. Claude detectó que podía crear un paquete con el mismo nombre para lograr que las computadoras del supuesto objetivo lo descargaran e instalaran. Luego construyó el programa malicioso, registró una cuenta y lo publicó en el repositorio real.
Para completar el proceso, el sistema buscó una dirección de correo electrónico, trató de conseguir un número telefónico e intentó obtener dinero para pagar por ese servicio. Finalmente encontró un proveedor gratuito, abrió la cuenta y subió el archivo.
El paquete permaneció disponible durante cerca de una hora y fue descargado y ejecutado en 15 sistemas reales. Uno pertenecía a una compañía de seguridad que instala automáticamente paquetes de Python para analizarlos en busca de programas maliciosos.
Cuando el escáner procesó el archivo, el código creado por Claude consiguió extraer credenciales y enviarlas a un punto de recolección configurado durante la prueba. El modelo utilizó posteriormente esos datos para acceder a otros componentes de la infraestructura de la empresa.
Claude no había elegido a esa compañía como objetivo ni sabía que existía cuando publicó el paquete. La afectó porque su programa quedó disponible en un repositorio abierto y podía ejecutarse en cualquier sistema que lo descargara.
Los mecanismos de protección de PyPI eliminaron automáticamente el archivo. Anthropic informó el episodio al equipo responsable del repositorio y le entregó los indicadores necesarios para analizar la actividad.
Durante la ejecución, Mythos 5 llegó a contemplar que podía estar operando en el Internet real. Luego descartó esa posibilidad porque no reconoció algunas autoridades de certificación y consideró que la fecha de 2026 mostrada por los equipos era una señal de que todo había sido preparado para la evaluación.
El tercer modelo detuvo el ataque al reconocer el peligro
El tercer incidente tuvo un desarrollo diferente. Un modelo interno de investigación no logró encontrar el objetivo ficticio y comenzó a buscar alternativas a través de Internet.
El sistema examinó aproximadamente 9000 objetivos hasta localizar una aplicación vulnerable. Allí encontró credenciales expuestas en una página de depuración y utilizó una inyección SQL, una técnica conocida que permite manipular las consultas realizadas a una base de datos.
Más adelante, el modelo detectó que la computadora comprometida estaba alojada en una cuenta en la nube sin relación con el desafío. Concluyó por su cuenta que había alcanzado un sistema real y detuvo la operación.
Anthropic consideró que este comportamiento podría indicar una mejora en los modelos más recientes, ya que Opus 4.7 continuó y Mythos 5 encontró argumentos para convencerse de que seguía dentro de una simulación. La empresa aclaró que se trata de tres casos aislados y que no alcanzan para establecer una comparación definitiva entre las diferentes versiones de Claude.
Por qué las pruebas no tenían las protecciones habituales
Los modelos utilizados en estas evaluaciones funcionaban sin algunos de los clasificadores y mecanismos de supervisión que Anthropic incorpora en las versiones disponibles para el público. Esa decisión permite medir hasta dónde pueden llegar sus capacidades ofensivas sin que los filtros detengan cada acción peligrosa.
Los sistemas conservaban su entrenamiento de seguridad. También funcionaban sobre infraestructura separada, sin acceso a los sistemas internos sensibles de Anthropic ni a los datos de sus clientes. La contención dependía de que la red utilizada para las pruebas permaneciera correctamente aislada.
La compañía atribuyó el acceso a Internet a una configuración incorrecta y a un malentendido con Irregular, la firma externa que colaboraba con las evaluaciones. Ninguna de las dos partes había detectado que las máquinas podían comunicarse con la red pública.
Anthropic comenzó a revisar los registros el 23 de julio y suspendió ese mismo día todas sus evaluaciones de ciberseguridad. Identificó los tres incidentes el 24 de julio y notificó a las organizaciones afectadas el 27. Dos de ellas desconocían la actividad hasta que fueron contactadas y la empresa todavía intentaba comunicarse con la tercera al momento de publicar su informe.
La compañía anunció que reforzará la validación de las conexiones de red, la supervisión en tiempo real, el análisis de registros y los controles aplicados a los proveedores externos. También inició conversaciones con METR para realizar una revisión independiente de los incidentes.
El antecedente de OpenAI y Hugging Face
La investigación comenzó después de que OpenAI informara otro incidente ocurrido durante una evaluación interna de capacidades cibernéticas. En ese caso, varios modelos encontraron y explotaron una vulnerabilidad de día cero en Artifactory, una herramienta que funcionaba como intermediaria para la instalación de paquetes de software.
Esa falla les permitió obtener acceso a Internet desde un entorno que debía estar aislado. Los sistemas encadenaron diferentes vulnerabilidades, avanzaron dentro de la infraestructura de investigación de OpenAI y llegaron a los servidores de producción de Hugging Face.
El objetivo de los modelos era encontrar las soluciones de ExploitGym, el examen utilizado en la evaluación. Para conseguirlas, obtuvieron credenciales, identificaron rutas de ejecución remota y accedieron a información almacenada en la base de datos de Hugging Face.
La diferencia principal entre ambos episodios está en la forma de alcanzar la red pública. Los modelos de OpenAI descubrieron y explotaron una vulnerabilidad desconocida para atravesar el aislamiento. Los de Anthropic encontraron una ruta que ya estaba disponible debido a una configuración defectuosa.
Los incidentes no demuestran que los sistemas hayan desarrollado voluntad propia. Revelan que los modelos más avanzados ya pueden mantener operaciones prolongadas, combinar herramientas, buscar caminos alternativos y ejecutar acciones con consecuencias reales cuando reciben objetivos abiertos dentro de entornos mal protegidos.
También muestran que las pruebas destinadas a medir los riesgos de una inteligencia artificial pueden convertirse en incidentes de seguridad. A medida que los modelos ganan autonomía y capacidad para resolver tareas complejas, los laboratorios deberán aplicar a sus evaluaciones controles similares a los utilizados para proteger infraestructura crítica.