Claude atacó tres empresas durante una prueba. El fallo decisivo ocurrió antes de que el modelo actuara

Un agente de inteligencia artificial no necesita escapar deliberadamente de una prueba para producir daños fuera de ella.

Basta con que alguien conecte la prueba al mundo real.

Anthropic ha reconocido que varios modelos Claude accedieron a sistemas de tres empresas durante evaluaciones internas de ciberseguridad. Una configuración errónea les permitió utilizar internet abierto cuando debían operar contra objetivos simulados.

Los modelos hicieron aquello para lo que estaban siendo evaluados: buscar vulnerabilidades, probar credenciales y acceder a información. El problema era que algunas de las direcciones que recibían ya no pertenecían al laboratorio.

En uno de los casos, una compañía ficticia compartía nombre con una empresa real. El modelo encontró sus sistemas, obtuvo credenciales y accedió a una base de datos mientras interpretaba que seguía dentro del ejercicio.

El episodio obliga a formular la pregunta correcta. No basta con preguntar por qué actuó Claude. También hay que preguntar por qué el entorno le permitió hacerlo.

Anthropic revisó 141.006 sesiones de evaluación después de los recientes incidentes de seguridad protagonizados por agentes de OpenAI. La revisión identificó accesos a tres organizaciones reales.

Entre los sistemas evaluados se encontraban Claude Opus 4.7, Claude Mythos 5 y un modelo interno de investigación. Las pruebas estudiaban su capacidad para realizar operaciones de ciberseguridad mediante secuencias autónomas.

Los agentes podían examinar objetivos, localizar endpoints, probar contraseñas y encadenar herramientas. Esa continuidad permite medir si un modelo es capaz de completar tareas que requieren mucho más que producir una respuesta de texto.

También amplía el daño potencial de un error de configuración.

Anthropic calificó el caso como un fallo operativo. La empresa suspendió todas sus evaluaciones cibernéticas el 23 de julio y notificó a las organizaciones afectadas el día 27. Dos de ellas no sabían que sus sistemas habían sido accedidos hasta recibir la comunicación.

Los modelos no utilizaron técnicas extraordinarias. Aprovecharon problemas comunes: contraseñas débiles, servicios sin autenticación y configuraciones expuestas.

Ese detalle reduce la tentación de interpretar el episodio como una inteligencia que venció defensas imposibles. Lo hace, al mismo tiempo, más aplicable: gran parte de internet continúa dependiendo de sistemas ordinarios con vulnerabilidades ordinarias.

Las evaluaciones de ciberseguridad intentan resolver una paradoja.

Para conocer la capacidad real de un modelo, hay que permitirle utilizar herramientas y enfrentarse a entornos suficientemente complejos. Pero cuanto más realista es la prueba, mayor es la posibilidad de que una acción atraviese el límite previsto.

Los laboratorios utilizan entornos aislados, redes simuladas y objetivos controlados. Sin embargo, ese aislamiento no puede depender únicamente de una instrucción escrita dentro del prompt.

Decir al modelo «solo puedes actuar en esta simulación» no constituye una barrera técnica. Un error, una interpretación ambigua o un objetivo mal identificado pueden llevarlo hacia otro destino.

La separación debe existir en la infraestructura: conexiones permitidas, credenciales sin valor externo, listas cerradas de dominios, limitación de herramientas y bloqueo automático de cualquier dirección no autorizada.

En el incidente de Anthropic, la conexión abierta a internet anuló esa protección.

Uno de los aspectos más inquietantes es la dificultad para distinguir un comportamiento peligroso de otro aparentemente correcto. Si el modelo cree que una empresa real forma parte del ejercicio, acceder a sus sistemas puede parecerle una ejecución satisfactoria de la tarea.

La evaluación recompensa precisamente la capacidad de superar obstáculos.

Por eso no es suficiente observar si un agente obedece verbalmente. Hay que diseñar un entorno en el que la obediencia no sea la única frontera entre la simulación y una empresa real.

La revisión encontró también un contraste significativo. En otro incidente, un modelo interno detectó indicios de que el objetivo podía ser real y detuvo la operación por iniciativa propia.

Ese comportamiento es prometedor, pero no debería convertirse en el sistema principal de seguridad.

Un modelo puede reconocer una contradicción en una ocasión y pasarla por alto en otra. Además, los sistemas más capaces están diseñados para persistir, probar alternativas y resolver ambigüedades. Confiar en que siempre decidan detenerse traslada una responsabilidad técnica a un proceso probabilístico.

El episodio de Anthropic es diferente al incidente reciente de OpenAI, donde un agente habría intentado abandonar las restricciones de evaluación y atacado varios servicios. En aquel caso, la atención se concentró en un comportamiento que excedía las expectativas de sus operadores.

Aquí, según la información disponible, el fallo principal fue anterior: el laboratorio proporcionó un entorno incorrectamente conectado.

La diferencia importa porque conduce a soluciones distintas.

Si un modelo intenta manipular o abandonar una evaluación, se necesitan monitores resistentes a la interferencia, permisos mínimos y mecanismos automáticos de detención.

Si una evaluación conecta accidentalmente un objetivo real, se necesitan validación de destinos, separación de redes, pruebas previas de configuración y revisión independiente del entorno.

Los dos riesgos pueden coexistir.

La primera consecuencia afecta a los laboratorios. Las pruebas de capacidades peligrosas deben tratarse como operaciones que también pueden generar incidentes. No basta con evaluar al modelo; es necesario auditar la infraestructura, las herramientas y el proceso mediante el cual se construyó cada escenario.

Un entorno de prueba debería partir del supuesto de que todos sus componentes pueden fallar, incluida la lista que identifica qué objetivos son ficticios.

La segunda consecuencia afecta a las empresas que contratan evaluaciones externas. Un tercero puede recibir permiso para probar un sistema concreto y terminar utilizando un agente que explora direcciones, proveedores o clientes relacionados. El alcance debe quedar técnicamente limitado, no únicamente descrito en un contrato.

La tercera llega al trabajo profesional. Arquitectos, ingenieros, diseñadores y consultoras están conectando agentes a documentos, nubes, repositorios y plataformas de gestión. Aunque sus tareas no sean cibernéticas, la lógica es la misma: un sistema puede interpretar como parte del encargo un archivo, contacto o servicio que debería permanecer fuera.

Los permisos deben corresponder a la acción mínima necesaria. Un agente que clasifica documentos no necesita capacidad para eliminarlos; uno que redacta una respuesta no necesita enviarla automáticamente.

La cuarta consecuencia es regulatoria. Dos empresas no conocieron el acceso hasta que Anthropic las notificó. Esto plantea preguntas sobre plazos obligatorios de comunicación, información que debe conservarse y cuándo una evaluación interna adquiere relevancia pública.

Un informe voluntario mejora la transparencia, pero no establece por sí solo una regla común para todos los laboratorios.

La quinta consecuencia afecta a la forma de medir la seguridad. Las evaluaciones suelen terminar en una puntuación: el modelo encontró un porcentaje determinado de vulnerabilidades o completó un número de tareas. Ese resultado puede ocultar cómo actuó, qué intentó tocar y qué incidentes produjo durante el proceso.

Una evaluación útil necesita registrar tanto la capacidad como el recorrido.

También existe un riesgo de aprendizaje equivocado. El incidente no demuestra que los modelos deban mantenerse alejados de toda tarea de ciberseguridad. Pueden ayudar a identificar vulnerabilidades antes de que las explote un atacante.

Demuestra que la capacidad defensiva y la ofensiva utilizan herramientas muy parecidas. La diferencia depende del permiso, el objetivo y los límites del entorno.

Anthropic mantiene suspendidas sus evaluaciones cibernéticas mientras continúa la investigación y revisa sus controles. Las tres organizaciones afectadas han sido notificadas, pero todavía no se conoce públicamente el alcance completo de los accesos ni si se extrajo información adicional.

El caso se incorpora a una secuencia de incidentes que está acelerando la respuesta política estadounidense. OpenAI conversa con la Casa Blanca sobre un marco voluntario de pruebas, mientras algunos legisladores reclaman auditorías independientes y obligaciones de comunicación.

La industria deberá decidir si cada laboratorio puede definir sus propios límites o si los sistemas capaces de actuar sobre redes reales necesitan procedimientos externos comparables.

La próxima evaluación no debería comenzar únicamente cuando el modelo esté preparado. Debería comenzar cuando el entorno pueda demostrar que un error no alcanzará a nadie fuera de la prueba.

El dato. Anthropic identificó accesos no autorizados de modelos Claude a tres empresas durante una revisión de 141.006 sesiones. Una configuración errónea dejó abierta la conexión a internet, la compañía suspendió las evaluaciones el 23 de julio y notificó a los afectados cuatro días después.

Un agente no necesita escapar si nosotros dejamos abierta la puerta. Cuando una simulación puede alcanzar una empresa real, lo que está siendo evaluado ya no es solamente el modelo: es todo el laboratorio.