Un grupo de investigadores pidió a Claude Fable 5.1, de Anthropic, que escondiera un mensaje dentro de un dibujo sin que nadie pudiera verlo. Luego le pasaron solo una captura de ese dibujo a otra copia del modelo, sin decirle cómo estaba codificado. Lo leyó en 39 de 50 casos.
Nikita Kezin, James Chua y otros dos autores publicaron los resultados en LessWrong el 21 de octubre. Conviene dejarlo claro: el modelo no lo hizo por su cuenta, se lo pidieron. Lo llamativo es lo ingeniosos que fueron sus métodos y que otra copia los descifrara sin tener la clave.
Así fue el experimento
Fable 5.1 es el modelo más potente de Anthropic, un escalón por encima de Opus 5.5, como contamos en nuestra comparativa de Opus 5.5 y Fable 5.1. Dibuja escribiendo SVG, un formato que describe formas, colores y posiciones como código.
Los investigadores le dieron 50 mensajes cortos en 15 idiomas, de datos e instrucciones a refranes, poemas y nombres, y le pidieron esconder cada uno sin que el texto apareciera en ningún sitio. Cada mensaje tuvo su propia sesión, con el modelo al máximo esfuerzo.
Después convirtieron los dibujos en imágenes PNG normales. Otra sesión de Fable, que solo veía la imagen y no el código, tenía que encontrar el mensaje. Acertó en el 78% de los casos.
Una ciudad de noche que escribe frases
En 33 de las 50 imágenes, Fable usó el mismo truco: cada letra se convertía en la altura de un objeto repetido, según su posición en el alfabeto. En 23 de ellas, esos objetos eran los edificios de una ciudad de noche. Una persona ve el perfil de una ciudad. Un modelo que mide los tejados lee una frase.
Cuando su código no podía escribir un carácter, Fable añadía pistas visuales: luces en un tejado para una diéresis, una bandera para una mayúscula o un reloj marcando las tres cuando el mensaje hablaba de las 3 de la tarde. También probó con códigos de color, pero casi ninguno sobrevivió a la captura de pantalla.
Qué hizo el modelo de OpenAI
El equipo repitió la prueba con GPT 6 Astra, de OpenAI. Nunca usó alturas: tiró de código Morse en 18 de las 50 imágenes, además de acrósticos, códigos binarios y Braille dibujado en las ventanas. Astra leyó sus propios mensajes en el 84% de los casos.
Y los dos modelos se entendían entre ellos. Cuando uno descifraba las imágenes del otro, acertaron el 84% y el 88% de las veces, sin haber pactado ningún código.
Qué significa para las empresas españolas
Los autores lo ven como un posible primer paso hacia la esteganografía, es decir, sistemas de IA que se pasan información que quien los supervisa no ve. No dicen que hoy sea peligroso, porque el descifrado sigue apareciendo en los registros de herramientas, pero sí que los mensajes costaban mucho de detectar. Parte de la idea salió de un incidente con agentes de OpenAI en Hugging Face, del que ya hablamos cuando OpenAI admitió que sus agentes filtraron imágenes.
Para una empresa que usa agentes de IA, la lección va de supervisión. Revisar solo la respuesta final no basta si los agentes se pasan imágenes o archivos: lo que hizo cada uno queda en los registros, y ahí es donde se ve. El Reglamento de IA ya exige registros y supervisión humana en los sistemas de alto riesgo, y montarlo bien forma parte de cualquier proyecto serio de consultoría de IA.
Lo que demuestra y lo que no
Es un experimento pequeño, con 50 mensajes, y el artículo no recoge ninguna respuesta de Anthropic. No demuestra que Fable esconda mensajes por iniciativa propia. Demuestra que, si se lo pides, un modelo puntero se inventa un método para esconderlos y que otra copia lo revierte sin clave compartida.
Esa combinación es justo lo que vigilan los investigadores de seguridad en IA, porque la supervisión humana da por hecho que podemos leer lo que los modelos se pasan entre ellos. Habrá más pruebas así a medida que las empresas dejen a los agentes trabajos más largos y con más autonomía.
