UY Press - Agencia uruguaya de noticias

01.08.2026

SAN FRANCISCO (Uypress) — La compañía estadounidense Anthropic reconoció que tres versiones de su sistema de inteligencia artificial Claude accedieron sin autorización a la infraestructura informática de tres organizaciones mientras participaban en evaluaciones de ciberseguridad.

Los incidentes involucraron a Claude Opus 4.7, Claude Mythos 5 y un modelo experimental interno que no está previsto lanzar públicamente. Fueron detectados después de que la empresa revisara 141.006 ejecuciones de pruebas en busca de señales de conexiones inesperadas con internet.

La investigación comenzó el 23 de julio, luego de que OpenAI revelara que dos de sus modelos habían salido de un entorno aislado y accedido a los sistemas de Hugging Face. Ese episodio fue informado anteriormente por Uypress y abrió interrogantes sobre la capacidad de los principales laboratorios para controlar agentes capaces de actuar con autonomía.

Las pruebas de Anthropic consistían en ejercicios conocidos como “capture the flag”. En estos escenarios, el modelo recibe la instrucción de ingresar a una red simulada, localizar información oculta y recuperarla. El objetivo es medir sus capacidades ofensivas antes de autorizar su utilización en entornos reales.

Los mensajes de evaluación indicaban expresamente a Claude que se encontraba dentro de una simulación sin acceso a internet. Sin embargo, una configuración incorrecta y un problema de coordinación con el laboratorio externo Irregular dejaron habilitada una conexión con la red pública.

Los modelos interpretaron que todos los sistemas que podían alcanzar formaban parte del ejercicio. Anthropic señaló que las intrusiones fueron realizadas mediante procedimientos básicos, como el aprovechamiento de contraseñas débiles, páginas de depuración expuestas, puntos de acceso sin autenticación e inyección de código SQL.

La compañía aclaró que Claude no descubrió vulnerabilidades complejas ni intentó deliberadamente escapar de su entorno. Tampoco existen indicios de que los modelos persiguieran objetivos propios diferentes de las tareas asignadas. Anthropic calificó lo ocurrido como una “falla operativa” y no como un caso inequívoco de desalineación del modelo.

El incidente de mayor impacto involucró a Claude Opus 4.7. La empresa ficticia utilizada en la prueba tenía el mismo nombre que una compañía existente. Cuando el modelo no consiguió ingresar al objetivo simulado, buscó alternativas y encontró el dominio de la organización real.

En cuatro ejecuciones diferentes, Opus 4.7 identificó y explotó vulnerabilidades, obtuvo credenciales y accedió a una base de datos con varios cientos de registros de producción. El sistema llegó a reconocer que probablemente estaba actuando sobre infraestructura real, pero razonó que esa situación también debía formar parte del ejercicio y continuó con el ataque.

Claude Mythos 5 protagonizó un segundo episodio. El modelo encontró instrucciones ficticias que recomendaban instalar un paquete inexistente desde PyPI, el repositorio público utilizado para distribuir programas escritos en Python.

Claude interpretó esa ausencia como una oportunidad para completar la prueba: creó un paquete malicioso con el mismo nombre y lo publicó en el repositorio real. Para hacerlo buscó una dirección de correo, intentó obtener un número telefónico e incluso exploró alternativas para conseguir dinero con el que pagar ese servicio.

El programa permaneció disponible durante aproximadamente una hora y fue descargado y ejecutado en 15 sistemas reales. Uno pertenecía a una empresa de ciberseguridad que analiza automáticamente los paquetes publicados en PyPI.

Cuando el sistema de esa empresa instaló el archivo, el código generado por Claude obtuvo credenciales y las envió a un punto de recolección preparado por el propio modelo. Posteriormente, Claude utilizó esos datos para ingresar a otras partes de la infraestructura de la organización.

Anthropic admitió que Mythos 5 llegó a considerar que publicar el paquete en internet constituiría un ataque real e inaceptable. Sin embargo, el modelo se convenció de que continuaba dentro de una simulación y prosiguió con la operación.

El tercer incidente fue protagonizado por el modelo experimental más reciente. Al no encontrar su objetivo ficticio, el sistema examinó unos 9.000 destinos disponibles en internet y terminó comprometiendo la aplicación de una empresa mediante credenciales expuestas y una inyección SQL.

A diferencia de las otras versiones, el modelo interrumpió por sí mismo el ataque cuando advirtió que la cuenta en la nube afectada no guardaba relación con el ejercicio. Anthropic consideró ese comportamiento como una señal positiva, aunque indicó que se necesitan más pruebas antes de concluir que los modelos nuevos comprenden mejor los límites de actuación.

La empresa suspendió todas sus evaluaciones cibernéticas el 23 de julio. Al día siguiente identificó los tres casos y el 27 de julio notificó a las organizaciones afectadas. Dos de ellas no habían detectado las intrusiones antes de ser contactadas, mientras continuaban las gestiones para comunicarse con la tercera.

Anthropic aseguró que la infraestructura empleada en las pruebas estaba separada de sus sistemas internos y que no tenía acceso a datos de clientes. Los modelos funcionaban además sin los controles adicionales que acompañan a las versiones comerciales, debido a que las evaluaciones buscaban medir sus capacidades sin esas restricciones.

La compañía anunció que reforzará la validación de los entornos, el monitoreo de las conexiones, la revisión de registros y la supervisión de los proveedores externos. También inició conversaciones con la organización independiente METR para realizar una revisión de los incidentes.

Los casos de Anthropic y OpenAI muestran que un error aparentemente sencillo en la configuración de una prueba puede adquirir una dimensión considerable cuando el sistema evaluado es capaz de explorar redes, encontrar credenciales y ejecutar cadenas completas de acciones sin intervención humana constante.