Anthropic publicó el 30 de julio de 2026 un informe poco habitual: tres de sus modelos Claude accedieron sin autorización a sistemas de organizaciones reales durante sus propias evaluaciones de ciberseguridad. Los modelos no atacaban a nadie a propósito. Creían estar dentro de un ejercicio de entrenamiento.
El fallo es de lo más prosaico, y ahí está la lección. Las instrucciones decían a los modelos que no tenían acceso a internet. Un malentendido con Irregular, la empresa que ejecutaba las pruebas, dejó las máquinas conectadas a la red pública, así que los objetivos ficticios resultaron ser reales.
Cuando el laboratorio deja de estar aislado
Los modelos ejecutaban ejercicios capture-the-flag, una práctica estándar de seguridad en la que el objetivo es encontrar información escondida a propósito en otra máquina. En un entorno sellado es una forma segura de medir capacidad ofensiva. Con salida real a internet, esas mismas instrucciones apuntan a lo que el modelo alcance.
Anthropic inició la revisión el 23 de julio de 2026 y detuvo ese mismo día todas las evaluaciones de ciberseguridad, según su propio informe. Identificó los tres incidentes el 24 y avisó a Irregular y a las organizaciones afectadas el 27. Las ejecuciones más antiguas son de abril.
Qué hizo cada modelo
Claude Opus 4.7 encontró la web de una empresa real que compartía nombre con un objetivo ficticio. En cuatro ejecuciones extrajo credenciales y llegó a una base de datos con varios cientos de filas de datos de producción. Anthropic apunta que fue el único caso en que un modelo siguió atacando después de deducir que probablemente estaba en un entorno real.
Claude Mythos 5 encontró unas instrucciones de alta para desarrolladores que pedían instalar un paquete de PyPI inexistente. Construyó una versión maliciosa, se creó cuentas de correo y de PyPI para publicarla, y el paquete se ejecutó en unos 15 sistemas reales, incluido el escáner de una empresa de seguridad a la que sustrajo credenciales. PyPI lo retiró en torno a una hora después.
Un modelo interno de investigación escaneó unos 9.000 objetivos y comprometió a una empresa con técnicas básicas: credenciales en una página de depuración expuesta e inyección SQL. Dedujo por su cuenta que el objetivo era real y se detuvo.
Qué significa para las empresas españolas
Casi ninguna empresa española evalúa modelos de frontera. Muchas sí están haciendo pilotos con agentes, y la lección que se traslada va de entornos, no de modelos. Un entorno de pruebas con salida a la red es un entorno de producción, lo ponga como lo ponga el ticket. Es la primera pregunta que hacemos en los proyectos de consultoría de IA y casi siempre se responde tarde.
La segunda lección va de capacidad. Mythos 5 se registró un correo y una cuenta en un repositorio de paquetes para terminar su tarea. Cualquier agente con salida a internet puede crearse cuentas, y el reparto de credenciales tiene que darlo por hecho. No es teórico: ya vimos flotas de decenas de miles de agentes trabajando en paralelo.
Encaja con lo que contamos hace tres días: el código generado con IA llega con 15 vulnerabilidades de media. El problema rara vez es que el modelo quiera hacer daño; es la fontanería de alrededor.
Que se haya contado es la buena noticia
Conviene ser justos. Anthropic detectó el problema por su cuenta, paró las pruebas el mismo día, avisó a los afectados en cuatro días y publicó el detalle. Dos de los tres modelos notaron que algo no cuadraba.
Para quien tenga agentes en producción, la lista es corta y aburrida: aísla el entorno de verdad, limita las credenciales a la tarea, registra lo que el agente hace y no lo que dice que ha hecho, y asume que la diligencia sobre tu proveedor también es cosa tuya.
Anthropic sostiene que el sector necesita discutir cómo evaluar agentes potentes de forma segura y realista a la vez. Esa conversación llega tarde, y aplica muy por debajo de la frontera.
