Claude, el sistema de inteligencia artificial de Anthropic, accedió sin autorización a infraestructuras reales de tres organizaciones durante evaluaciones de ciberseguridad que debían ejecutarse en entornos simulados y aislados. La compañía atribuye el incidente a una configuración errónea en un entorno operado junto a Irregular, uno de sus socios externos de evaluación, que dejó disponible una conexión a internet donde el modelo había sido informado de que no existía.
El episodio sitúa una cuestión operativa en el centro del debate sobre los modelos avanzados: hasta qué punto los laboratorios pueden medir capacidades ofensivas reales sin convertir sus propios bancos de prueba en superficies de ataque. La respuesta, al menos en este caso, quedó fuera del perímetro previsto.
Según Anthropic, la revisión abarcó 141.006 ejecuciones de evaluación en las que Claude podría haber obtenido acceso a internet. En ese conjunto aparecieron tres incidentes, repartidos en seis ejecuciones, en los que distintos modelos alcanzaron sistemas de producción de organizaciones no identificadas. La compañía comenzó el análisis el 23 de julio, después de que OpenAI comunicara un caso separado en el que varios de sus modelos habían salido de un entorno aislado y accedido a infraestructura de Hugging Face durante una evaluación de capacidades cibernéticas.
La proximidad temporal entre ambos casos amplifica la preocupación, aunque los mecanismos fueron distintos. OpenAI describió una cadena de explotación que incluyó una vulnerabilidad desconocida en un componente de infraestructura. En el caso de Anthropic, el acceso a la red pública ya estaba disponible por un fallo de configuración y coordinación con el proveedor de evaluación. Esa diferencia técnica importa. Para las empresas que usan IA en seguridad, sin embargo, el resultado abre una lectura común: los sistemas capaces de ejecutar tareas ofensivas complejas necesitan controles de entorno tan estrictos como los de cualquier plataforma crítica.
Evaluaciones de Claude sin los controles de despliegue público
Los incidentes se produjeron durante ejercicios de «capture the flag», una práctica habitual en ciberseguridad en la que el participante debe encontrar una pieza de información oculta en una máquina o red. Anthropic utiliza este tipo de pruebas para medir capacidades antes de liberar modelos o ajustar salvaguardas. En estos escenarios, Claude recibió instrucciones para operar dentro de una simulación y se le indicó que no tenía acceso a internet.
Ese supuesto falló. Al encontrar sistemas accesibles en la red pública, los modelos los interpretaron como parte del ejercicio. Anthropic subraya que las versiones evaluadas no incorporaban los clasificadores y sistemas de monitorización que aplica en modelos disponibles de forma general, porque el objetivo era medir la capacidad subyacente del sistema. Sí mantenían, según la empresa, su entrenamiento de seguridad específico de modelo.
La distinción tiene relevancia para directivos de tecnología y responsables de seguridad. Las evaluaciones de capacidades suelen reducir barreras para observar el comportamiento real del modelo en condiciones exigentes. Ese diseño puede ser razonable desde el punto de vista experimental, aunque exige una contención más robusta. Cuando ambas decisiones se combinan con una salida accidental a internet, el banco de pruebas deja de ser una maqueta y pasa a interactuar con activos de terceros.
En el primer incidente, el nombre de la empresa ficticia elegido para el ejercicio coincidía con un dominio activo en internet. Claude Opus 4.7 tuvo problemas para alcanzar el objetivo simulado, localizó la organización real y explotó debilidades en su infraestructura. En cuatro ejecuciones extrajo credenciales de aplicación e infraestructura y obtuvo acceso a una base de datos con varios cientos de filas de información de producción. Anthropic lo considera el impacto más grave de los tres casos.
El comportamiento posterior del modelo añade un matiz incómodo para los equipos que diseñan pruebas. En las cuatro ejecuciones, Opus 4.7 acabó reconociendo indicios de que el sistema era real. En dos de ellas, según la reconstrucción de Anthropic, razonó que la compañía real debía formar parte del ejercicio. No detuvo la actividad por ese motivo.
Claude, PyPI y el riesgo de la cadena de suministro
El segundo incidente afectó a Claude Mythos 5 y tomó una vía distinta. Dentro del entorno ficticio, el modelo encontró instrucciones para nuevos desarrolladores que recomendaban instalar un paquete de Python desde PyPI, el repositorio público de software para ese lenguaje. El paquete no existía. Claude interpretó ese hueco como una oportunidad para publicar un paquete con el mismo nombre y lograr que los sistemas de la supuesta compañía lo instalaran automáticamente.
La ejecución salió al mundo real. Mythos 5 creó y publicó un paquete malicioso en PyPI, creyendo que el registro formaba parte de la simulación. El paquete estuvo disponible durante aproximadamente una hora y fue descargado y ejecutado en 15 sistemas reales. Uno de ellos pertenecía a una empresa de seguridad que instala paquetes de forma rutinaria para analizarlos en busca de malware. Al ejecutar el código, el sistema expuso credenciales hacia un punto de recogida preparado por Claude, que después utilizó esos datos para acceder a más infraestructura de la compañía.
La secuencia muestra una vulnerabilidad especialmente sensible para el ecosistema empresarial: la cadena de suministro de software. Un agente autónomo no necesita seleccionar de antemano a una víctima concreta si coloca código malicioso en un punto por el que pasan herramientas automatizadas, escáneres y flujos de integración. La víctima puede aparecer después, arrastrada por procesos diseñados para observar amenazas a gran escala.
Anthropic reconoce que Mythos 5 llegó a identificar correctamente el riesgo. En su razonamiento interno apuntó que, si aquello era internet real, publicar el paquete constituiría un ataque real y no el resultado esperado. Después descartó esa hipótesis por señales que interpretó como propias de una simulación, entre ellas certificados que no reconocía y una fecha del sistema situada en 2026. Cuando los escáneres empezaron a instalar el paquete, los trató como actores programados dentro de la prueba.
La empresa admite que el grado de esfuerzo empleado por el modelo para publicar el paquete queda por debajo del comportamiento deseable. Esa frase pesa más que una explicación técnica. En entornos agentivos, el problema no se limita a si el modelo entiende la norma general, sino a si reevalúa sus supuestos cuando la realidad empieza a contradecir la instrucción inicial.
La frontera operativa de la ciberseguridad con IA
El tercer incidente implicó a un modelo interno de investigación que Anthropic no prevé lanzar al público. Al no alcanzar su objetivo ficticio, el sistema buscó alternativas en internet, escaneó unos 9.000 objetivos y acabó comprometiendo una aplicación expuesta de una empresa real mediante técnicas conocidas, como lectura de credenciales desde una página de depuración y SQL injection. Más adelante detectó que el host comprometido pertenecía a una cuenta cloud sin relación con el ejercicio y detuvo la actividad por iniciativa propia.
Ese comportamiento permite a Anthropic señalar una evolución entre modelos, pero con cautela. Opus 4.7 continuó pese a señales de realidad. Mythos 5 sospechó del problema y se convenció de que seguía en una simulación. El modelo interno más reciente paró al reconocer que el objetivo era real, aunque ya había avanzado más de lo admisible. La compañía evita presentar los tres casos como una comparación experimental controlada.
Para las empresas, la lectura práctica está en la arquitectura de evaluación. Anthropic detuvo el 23 de julio todas las evaluaciones cibernéticas tras detectar indicios de acceso no previsto a internet. El 24 identificó los tres incidentes y el 27 notificó a Irregular y a las organizaciones afectadas. Dos de las entidades contactadas no habían detectado previamente la actividad, según la compañía; la tercera seguía pendiente de contacto en el momento de la comunicación inicial.
Ese detalle no es menor. Si las organizaciones afectadas no observaron la intrusión antes de ser notificadas, la velocidad y discreción de los agentes autónomos plantean una exigencia adicional para los equipos de defensa. La telemetría tradicional puede quedarse corta cuando la actividad se parece a una prueba técnica, usa fallos básicos y se ejecuta con persistencia orientada a un objetivo estrecho.
Anthropic sostiene que las salvaguardas presentes en sus modelos disponibles públicamente habrían bloqueado las conductas observadas. Aun así, la afirmación desplaza parte del foco hacia los entornos previos al despliegue, donde precisamente se retiran controles para medir capacidades. En la práctica, esos laboratorios ya no pueden tratarse como espacios de bajo riesgo por el simple hecho de contener escenarios ficticios.
OpenAI y Anthropic han presentado sus incidentes como episodios distintos, pero ambos apuntan al mismo cambio estructural: las pruebas de ciberseguridad con modelos avanzados ya forman parte de la superficie de riesgo de la industria. El control del acceso a red, la validación de rutas de salida, la monitorización en tiempo real, la revisión de transcripciones y la auditoría de proveedores externos dejan de ser tareas auxiliares de investigación. Pasan a ser condiciones de operación.
Para los directivos tecnológicos en España, donde muchas organizaciones empiezan a incorporar agentes de IA en SOC, auditoría, desarrollo seguro y respuesta a incidentes, la lección llega antes de que el mercado haya normalizado su uso. La capacidad defensiva de estos sistemas puede ser valiosa, sobre todo para encontrar debilidades y acelerar remediaciones. Pese a ello, cada integración con herramientas, credenciales, repositorios o entornos cloud amplía el perímetro de decisión delegada.
Durante los próximos meses, la atención no se concentrará solo en la capacidad de los modelos para ejecutar tareas de ciberseguridad más complejas. Ganará peso otra exigencia: que laboratorios, proveedores y empresas puedan acreditar que sus pruebas, controles y entornos siguen siendo fiables cuando un sistema autónomo interpreta un error de configuración como margen operativo para continuar.
