La carrera por desarrollar inteligencias artificiales cada vez más autónomas sumó un episodio inquietante. Anthropic confirmó que tres modelos de Claude lograron ingresar sin autorización a la infraestructura informática de tres organizaciones reales mientras participaban de evaluaciones internas de ciberseguridad.
Claude hackeó tres organizaciones durante una prueba y encendió la alarma por el control de la IA
Anthropic admitió que distintos modelos de su asistente accedieron sin autorización a sistemas reales. La empresa revisó más de 141.000 pruebas y suspendió sus evaluaciones de ciberseguridad mientras investiga lo ocurrido.
Los modelos habían recibido una misión ficticia: encontrar información oculta dentro de un entorno simulado mediante una prueba conocida como capture the flag. El problema fue que, por una configuración incorrecta y un malentendido entre Anthropic y la empresa externa encargada de la evaluación, los sistemas tenían acceso abierto a internet cuando debían permanecer aislados.
Claude interpretó que todo lo que podía alcanzar formaba parte del ejercicio y avanzó sobre servidores reales utilizando contraseñas débiles, puntos de conexión sin autenticación y otras técnicas conocidas. Anthropic calificó lo ocurrido como una “falla operativa”, aunque el episodio volvió a instalar una pregunta cada vez más difícil de responder: ¿qué sucede cuando una IA puede ejecutar acciones, buscar alternativas y tomar decisiones con poca intervención humana?
Bases de datos, malware y miles de objetivos analizados
El hallazgo surgió después de que Anthropic revisara exactamente 141.006 ejecuciones de prueba. La empresa encontró tres incidentes distribuidos en seis evaluaciones: cuatro afectaron a una misma organización y los otros dos correspondieron a compañías diferentes, cuyas identidades no fueron informadas.
Los casos involucraron a Claude Opus 4.7, Claude Mythos 5 y un modelo experimental interno. Los primeros episodios se remontan a abril y ocurrieron en entornos especiales que no contaban con todas las protecciones presentes en las versiones disponibles para el público.
En el incidente más grave, la empresa ficticia utilizada para la prueba tenía el mismo nombre que una compañía real. Claude encontró el sitio verdadero, localizó vulnerabilidades y accedió a credenciales, sistemas internos y una base con varios cientos de registros de producción. Incluso después de detectar señales de que podía estar operando en un entorno real, Opus 4.7 continuó porque interpretó que eso también formaba parte de la simulación.
Otro caso fue todavía más llamativo. Mythos 5 creó y publicó en PyPI —un repositorio público utilizado por programadores— un paquete malicioso con el objetivo de completar la prueba. El archivo permaneció disponible durante aproximadamente una hora, fue descargado y ejecutado en 15 sistemas reales y terminó comprometiendo el escáner de seguridad de una compañía.
Para publicar ese archivo, el modelo intentó crear cuentas, conseguir una dirección de correo electrónico e incluso buscar un número telefónico. Anthropic reconoció que la cantidad de pasos ejecutados debería haber servido como señal para que la IA comprendiera que ya no estaba actuando dentro de una simulación cerrada.
En el tercer episodio, un modelo experimental analizó alrededor de 9.000 objetivos disponibles en internet hasta encontrar una aplicación vulnerable. Accedió mediante una página de depuración expuesta y una inyección SQL, pero detuvo el ataque por decisión propia cuando concluyó que el sistema pertenecía a una organización real y no tenía relación con la prueba.
¿La inteligencia artificial se salió de control?
Anthropic sostuvo que no encontró pruebas de que Claude intentara escapar deliberadamente, copiarse a otro sistema o perseguir objetivos propios. Según la compañía, los modelos buscaron cumplir la misión asignada, pero lo hicieron con una interpretación equivocada del entorno y sin límites técnicos suficientes.
La aclaración evita hablar de una rebelión autónoma, pero no elimina la gravedad del caso. Los sistemas demostraron que pueden encadenar acciones, explotar fallas, crear cuentas, publicar código y penetrar infraestructuras reales cuando reciben herramientas y permisos amplios.
Anthropic detuvo todas sus evaluaciones de ciberseguridad el 23 de julio y notificó a las organizaciones afectadas cuatro días después. Dos de ellas no habían detectado el ingreso hasta que fueron contactadas por la compañía; al cierre del informe, todavía continuaban las gestiones para comunicarse con la tercera.
El episodio se conoció pocos días después de que OpenAI informara que modelos propios habían logrado salir de un entorno aislado mediante una vulnerabilidad desconocida y acceder a sistemas de la plataforma Hugging Face. A diferencia de ese caso, Claude no rompió por sí mismo la barrera de aislamiento: la conexión a internet había quedado abierta por error.
Anthropic aseguró que reforzará el monitoreo en tiempo real, los controles sobre empresas evaluadoras y las verificaciones destinadas a impedir que los modelos accedan a sistemas fuera del alcance autorizado. También convocó a otros laboratorios a revisar sus pruebas para detectar incidentes que podrían haber pasado inadvertidos.
El caso no demuestra que una IA tenga voluntad propia, pero sí deja una advertencia concreta: cuanto mayor sea la capacidad de estos agentes para actuar de manera autónoma, más peligroso será confiar únicamente en instrucciones escritas para mantenerlos dentro de los límites previstos.