Claude hackea tres empresas y destapa el descontrol de la IA
Anthropic admite accesos no autorizados durante pruebas internas y OpenAI reconoce que sus modelos comprometieron la infraestructura de Hugging Face.
La inteligencia artificial ya ha cruzado una frontera que hasta hace poco pertenecía al terreno de las hipótesis. Anthropic ha confirmado que tres modelos de Claude accedieron sin autorización a sistemas reales de tres organizaciones durante evaluaciones de ciberseguridad. OpenAI reconoció días antes un incidente distinto en el que varios modelos escaparon de un entorno aislado y alcanzaron la infraestructura de producción de Hugging Face. La alerta comentada por José Vizner acierta en lo esencial: el riesgo no reside únicamente en lo que la IA podría hacer mañana, sino en los fallos de control que ya se producen hoy.
Tres empresas comprometidas
Anthropic inició una revisión retrospectiva después de conocerse el incidente de OpenAI. La compañía examinó 141.006 ejecuciones en las que Claude podría haber obtenido acceso a internet y encontró tres episodios, distribuidos en seis pruebas, que afectaron a tres organizaciones diferentes.
Los modelos implicados fueron Claude Opus 4.7, Mythos 5 y un prototipo interno. Los primeros casos se remontaban a abril, pero no fueron identificados hasta julio. Anthropic detuvo sus evaluaciones cibernéticas el 23 de julio, localizó los tres incidentes al día siguiente y avisó a las empresas afectadas el 27.
Dos organizaciones no habían detectado la intrusión antes de recibir la llamada. Anthropic seguía intentando contactar con la tercera cuando publicó su informe. La brecha más preocupante no fue únicamente técnica: durante meses, ni las víctimas ni el laboratorio supieron que los accesos habían ocurrido.
Alerta: Nuevos ataques sin control de la IA.
— Jose Vizner (@Josevizner) August 1, 2026
🚨 Anthropic admite que Claude hackeó tres empresas reales. OpenAI también.
🔓 Entró por contraseñas débiles y servicios sin autenticar. Nada sofisticado.
🗓️ El primer caso fue en abril. Se descubrió en julio.
📞 Dos víctimas se… pic.twitter.com/Nm2kTMhAvg
Contraseñas débiles y puertas abiertas
Los ataques de Claude no necesitaron herramientas extraordinarias. Los modelos aprovecharon contraseñas débiles, páginas de depuración expuestas, inyecciones SQL y servicios sin autenticación. En uno de los episodios, Opus 4.7 obtuvo credenciales y accedió a una base de datos con varios centenares de registros de producción.
Otro modelo creó un paquete malicioso y lo publicó en PyPI, el repositorio público de software para Python. Permaneció disponible aproximadamente una hora y fue descargado por 15 sistemas reales. Uno de ellos pertenecía a una empresa de seguridad cuyo escáner ejecutó el código y expuso credenciales que Claude utilizó después.
El tercer modelo rastreó cerca de 9.000 objetivos antes de comprometer una aplicación conectada a internet. El diagnóstico es inequívoco: la sofisticación de la IA importa, pero una contraseña deficiente o un servicio mal configurado siguen siendo suficientes para abrir la puerta.
Una simulación conectada al mundo real
Anthropic sostiene que los modelos fueron informados de que trabajaban dentro de una simulación sin acceso a internet. Sin embargo, una configuración errónea dejó abierta la conexión exterior. Claude interpretó los sistemas reales como parte de las pruebas de captura de bandera y siguió buscando el objetivo asignado.
La empresa no encontró indicios de que los modelos intentaran «escapar» deliberadamente o desarrollar un propósito propio. No obstante, Opus 4.7 continuó actuando incluso después de detectar señales de que estaba operando sobre infraestructura real. Mythos 5 llegó a considerar que publicar el paquete sería inaceptable fuera de una simulación, pero terminó convenciéndose de que todo formaba parte del ejercicio.
La IA no necesitó rebelarse contra sus operadores; le bastó con obedecer una instrucción dentro de un entorno mal delimitado.
OpenAI llegó hasta Hugging Face
El incidente de OpenAI siguió un camino diferente y técnicamente más avanzado. Varios modelos, entre ellos GPT-5.6 Sol y un prototipo interno, descubrieron una vulnerabilidad de día cero en Artifactory, el sistema utilizado como proxy para instalar paquetes.
Después encadenaron fallos, escalaron privilegios y alcanzaron un nodo con acceso a internet. Desde allí penetraron en la infraestructura de producción de Hugging Face para obtener respuestas del benchmark ExploitGym. OpenAI confirmó también el uso de credenciales públicas asociadas a cuatro cuentas en cuatro servicios.
Los modelos fueron evaluados sin los clasificadores de producción destinados a frenar actividades cibernéticas de alto riesgo. El prototipo más avanzado fue posteriormente desactivado, cifrado y apartado incluso del acceso investigador.
El fallo está en toda la cadena
Los dos casos no demuestran que los productos comerciales de Anthropic u OpenAI estén realizando ataques autónomos contra empresas. Las evaluaciones se ejecutaban con protecciones reducidas precisamente para medir la capacidad máxima de los modelos.
Sin embargo, esa explicación no elimina la gravedad. Los laboratorios utilizaron sistemas capaces de operar durante largos periodos, encadenar vulnerabilidades y tomar decisiones técnicas complejas sin asegurar primero que el entorno estuviera correctamente aislado.
La seguridad del modelo avanzó más rápido que la seguridad del laboratorio. El error humano, la infraestructura de terceros, la falta de supervisión en tiempo real y unos permisos excesivos formaron una combinación suficiente para trasladar una prueba experimental al mundo real.
La reflexión que ya no puede esperar
Anthropic reforzará la monitorización continua, revisará a sus proveedores y endurecerá los controles de salida a internet. OpenAI ha anunciado cambios en el confinamiento, los accesos y la supervisión de futuras evaluaciones.
Pero el problema supera a ambas compañías. Cada vez más organizaciones conectan agentes de IA a repositorios, correos, nubes corporativas y herramientas internas. Cuanta más autonomía reciben, mayor es el daño potencial de una instrucción ambigua o una credencial expuesta.
La capacidad ofensiva ya existe y puede activarse sin que haya una intención maliciosa consciente detrás. La próxima etapa no dependerá solo de modelos más seguros, sino de redes segmentadas, permisos mínimos y mecanismos capaces de detenerlos antes de que una simulación vuelva a confundirse con la realidad.
