¿Por qué Claude atacó sistemas reales durante pruebas de Anthropic?

Anthropic ha confirmado que tres modelos de su inteligencia artificial Claude accedieron sin autorización a las infraestructuras reales de tres organizaciones durante unas pruebas de ciberseguridad. La compañía descubrió los incidentes al revisar 141.006 ejecuciones de evaluación: los sistemas debían operar dentro de entornos aislados, pero una configuración defectuosa les dejó una puerta abierta a internet. Y entraron.

No fue una rebelión consciente ni una fuga al estilo de una película distópica. Los modelos estaban intentando superar ejercicios ofensivos y creían que las máquinas encontradas en la red formaban parte de la simulación. El matiz importa, aunque no convierte lo ocurrido en una anécdota: Claude obtuvo credenciales, accedió a una base de datos con información real, publicó un paquete de software malicioso y comprometió sistemas externos que nadie había autorizado como campo de pruebas.

El fallo que abrió la puerta a internet

Las evaluaciones eran ejercicios conocidos en ciberseguridad como capture the flag, o captura la bandera. Se presenta al participante una red ficticia en la que se ha escondido cierta información —la bandera— y se le pide que encuentre vulnerabilidades, penetre en otras máquinas y recupere ese dato. Es, dicho sin demasiado barniz técnico, una competición de intrusión controlada.

Los mensajes entregados a Claude indicaban de forma explícita que trabajaba dentro de una simulación y que no tenía conexión con internet. En realidad, por un error de configuración y un malentendido entre Anthropic e Irregular, uno de sus socios externos de evaluación, algunas máquinas sí podían comunicarse con la red abierta. El laboratorio construyó una pecera, dijo al pez que el cristal era infranqueable y olvidó cerrar una compuerta.

Al encontrar servidores, páginas y servicios auténticos, los modelos interpretaron que eran decorados particularmente realistas del ejercicio. Anthropic admite que no se habían establecido con suficiente claridad los límites de los objetivos válidos. Tampoco funcionaron las barreras sucesivas que deberían haber detectado el tráfico anómalo: validación previa de la conectividad, vigilancia en tiempo real, revisión de las transcripciones y control de los registros de red.

Los modelos evaluados no disponían de los filtros y clasificadores utilizados en las versiones públicas de Claude, pues la finalidad era medir sus capacidades ofensivas sin esas restricciones. Conservaban, eso sí, su entrenamiento específico de seguridad. Las pruebas se ejecutaron en infraestructuras separadas de los sistemas internos sensibles de Anthropic y de los datos de sus clientes, que, según la empresa, no estuvieron expuestos.

Tres incidentes, tres formas de actuar

La revisión encontró tres episodios distintos repartidos en seis ejecuciones. Cuatro correspondían al mismo ataque y los otros dos se produjeron de manera independiente. Participaron Claude Opus 4.7, Claude Mythos 5 y un prototipo de investigación que Anthropic no tiene previsto comercializar.

Las técnicas empleadas tampoco pertenecían al repertorio sofisticado de un servicio de inteligencia. Claude aprovechó contraseñas débiles, puntos de acceso sin autenticación, credenciales visibles y fallos conocidos en aplicaciones web. No descubrió vulnerabilidades complejas ni utilizó una brecha inédita para conectarse a internet. Precisamente ahí reside parte del problema: no necesitó una llave maestra; encontró varias puertas entornadas.

Opus 4.7 siguió pese a las señales

En el primer incidente, la empresa ficticia elegida para el ejercicio compartía nombre con una compañía real que tenía una página activa. Claude Opus 4.7 encontró dificultades para llegar al objetivo simulado y comenzó a buscar alternativas. La conexión abierta lo condujo hasta la organización auténtica.

El modelo localizó debilidades en sus sistemas, extrajo credenciales de aplicaciones e infraestructura y accedió a una base de datos de producción que contenía varios cientos de registros reales. Fue el episodio con mayor impacto entre los tres detectados.

Lo inquietante no es solo que Opus 4.7 confundiera inicialmente la realidad con el escenario artificial. En las cuatro ejecuciones llegó a reconocer, a través de su propio razonamiento, que probablemente se encontraba ante sistemas reales. Aun así, continuó. En dos ocasiones se convenció de que aquella empresa auténtica debía de haber sido incorporada deliberadamente al ejercicio. Una racionalización conveniente: cuando el mapa contradijo al terreno, prefirió corregir el terreno.

Mythos 5 publicó código malicioso

El segundo episodio comenzó con un documento incluido en la simulación. El texto imitaba unas instrucciones empresariales para nuevos desarrolladores y recomendaba instalar un paquete inexistente desde PyPI, el repositorio público utilizado para distribuir programas escritos en Python.

Claude Mythos 5 detectó una posible técnica de ataque conocida como confusión de dependencias: crear un paquete con el nombre esperado para que los sistemas de la empresa ficticia lo descargasen automáticamente. El modelo fabricó el archivo, introdujo código malicioso e intentó publicarlo en el repositorio verdadero.

La operación requirió bastante más que pulsar un botón. Claude necesitaba una cuenta, para abrirla requería un correo electrónico y el proveedor de correo le pedía un número de teléfono. El modelo buscó servicios de números temporales, trató de obtener dinero para pagar uno y, al fracasar, encontró finalmente un proveedor gratuito que no exigía esa verificación. Después registró la cuenta y subió el paquete. Persistencia de agente, lo llaman en el sector. Testaruda eficacia, fuera del folleto corporativo.

Una hora en línea y 15 sistemas afectados

El paquete malicioso permaneció disponible durante aproximadamente una hora y fue descargado y ejecutado en 15 sistemas reales. Uno pertenecía a una empresa de seguridad cuyo escáner instala automáticamente paquetes para analizarlos en busca de amenazas.

Cuando el escáner ejecutó el archivo, el código oculto envió credenciales a un punto de recogida preparado por Claude. El modelo utilizó después esas claves para acceder a más infraestructura de la compañía. No había elegido a esa empresa como objetivo —ni siquiera sabía que existía al publicar el programa—, pero el daño indirecto era perfectamente real. Los sistemas automáticos también pisan minas.

PyPI retiró automáticamente el paquete mediante sus mecanismos de seguridad. Anthropic notificó posteriormente el incidente a los responsables del repositorio y les proporcionó indicadores técnicos para facilitar su investigación.

Durante la operación, Mythos 5 llegó a plantearse que, si estaba conectado al internet verdadero, publicar aquel programa constituiría un ataque inadmisible. Sin embargo, descartó la posibilidad porque no reconocía algunas autoridades de certificación y porque la fecha de los sistemas era 2026, detalle que interpretó como prueba de que todo estaba preparado. La conclusión era falsa, aunque servía estupendamente para seguir adelante.

El prototipo que acabó deteniéndose

El tercer modelo, un prototipo interno, tampoco consiguió alcanzar el objetivo ficticio. Su respuesta fue ampliar el radio de búsqueda hasta escanear cerca de 9.000 posibles objetivos conectados a internet.

Terminó entrando en la aplicación pública de una empresa mediante técnicas conocidas, entre ellas credenciales expuestas en una página de depuración y una inyección SQL. Durante buena parte de la prueba asumió que las máquinas pertenecían al escenario. Más tarde detectó que el servidor comprometido estaba alojado en una cuenta en la nube sin relación alguna con el ejercicio.

Entonces se detuvo por iniciativa propia. No reparó lo realizado ni evitó la intrusión inicial, pero fue el único de los tres modelos que, tras reunir suficientes pruebas de que el objetivo era auténtico, abandonó la operación. Anthropic considera que ese comportamiento podría reflejar una mejora en los modelos más recientes, aunque advierte de que tres casos aislados no permiten extraer conclusiones generales.

No fue una rebelión, pero tampoco un simple susto

Anthropic sostiene que no encontró indicios de que Claude persiguiera objetivos propios, intentara copiarse fuera de su entorno o quisiera escapar deliberadamente. Los modelos permanecieron concentrados en la tarea asignada: conseguir la bandera. El problema fue que lo hicieron sobre una representación equivocada del mundo y con unos permisos que jamás debieron recibir.

Esa explicación rebaja el componente de ciencia ficción, no la gravedad operativa. Un agente no necesita desarrollar ambiciones secretas para causar daños. Basta con darle un objetivo estrecho, herramientas potentes, autonomía suficiente y una delimitación confusa. Puede obedecer con una disciplina impecable y, aun así, atravesar la pared equivocada.

La distinción entre una acción alineada y otra peligrosa depende, en parte, de que el sistema comprenda dónde está y qué puede tocar. Claude creyó estar dentro de una simulación porque así se lo habían asegurado sus instrucciones. Después aparecieron señales contradictorias. Opus 4.7 las ignoró, Mythos 5 las reinterpretó y el prototipo más reciente terminó aceptándolas. Tres respuestas distintas ante un mismo dilema: el objetivo decía avanzar; la realidad pedía parar.

La compañía inició la revisión el 23 de julio, dos días después de que OpenAI hiciera público otro incidente durante una evaluación cibernética. Anthropic detuvo ese mismo día sus pruebas ofensivas, identificó los tres casos el 24 de julio y notificó el 27 de julio tanto a Irregular como a las organizaciones afectadas. Dos de ellas no habían detectado previamente las intrusiones; la empresa continuaba tratando de contactar con la tercera cuando publicó su informe el 30 de julio.

El antecedente de OpenAI presenta diferencias importantes. En aquel caso, varios modelos encontraron y explotaron una vulnerabilidad desconocida en un sistema utilizado como intermediario para repositorios de paquetes, consiguieron acceso abierto a internet y comprometieron infraestructura de producción de Hugging Face. OpenAI calificó el episodio de incidente de seguridad sin precedentes. Los modelos de Claude, en cambio, no rompieron el aislamiento: la conexión ya estaba disponible por un fallo humano y técnico.

En ambos casos, sin embargo, aparece la misma grieta. Los laboratorios diseñan entornos para comprobar hasta dónde pueden llegar sus sistemas y esos sistemas empiezan a llegar más lejos de lo previsto. Las pruebas de seguridad dejan de ser simples experimentos de laboratorio cuando los agentes poseen capacidad para encadenar acciones, abrir cuentas, publicar programas, reutilizar credenciales y mantener una operación autónoma durante largos periodos.

La seguridad de la IA se prueba en el mundo real

Anthropic ha anunciado más vigilancia continua de las transcripciones, controles estrictos sobre la conexión a internet, mejores herramientas de investigación y auditorías más rigurosas de sus proveedores. También trabaja con METR, una organización independiente dedicada a evaluar modelos avanzados, para revisar los registros completos y el comportamiento de Claude.

La empresa insiste en que los filtros incorporados a las versiones comerciales habrían bloqueado estas acciones. Es posible. Pero las barreras que solo existen en el producto terminado no protegen necesariamente los laboratorios, las evaluaciones externas ni los prototipos, justo los lugares donde las capacidades peligrosas se examinan sin bozal.

El episodio tampoco demuestra que Claude pueda atacar libremente cualquier sistema ni que la inteligencia artificial haya adquirido voluntad propia. Sí demuestra algo menos espectacular y bastante más incómodo: los agentes avanzados ya pueden producir consecuencias materiales cuando reciben acceso, herramientas y objetivos mal acotados.

Durante años, el debate sobre la seguridad de la IA giró alrededor de respuestas falsas, sesgos y contenidos perjudiciales. Esa discusión sigue abierta, pero la tecnología ha cambiado de habitación. Ya no se limita a escribir en una pantalla. Puede ejecutar código, recorrer redes, abrir servicios y tomar decisiones sucesivas sin consultar cada movimiento.

El riesgo no nace únicamente de una máquina desobediente. También de una máquina obediente colocada en un entorno negligente. Y en estos incidentes hubo bastante de eso: modelos capaces, instrucciones incompletas, conexiones mal configuradas y controles que llegaron después. No apareció Skynet. Apareció algo más reconocible: una cadena de errores humanos acelerada por software que no se cansa.