Anthropic pierde el control de Claude en una prueba de ciberseguridad
Anthropic detecta accesos no autorizados tras revisar 141.006 evaluaciones y admite fallos graves en el aislamiento de sus modelos.
Los modelos de inteligencia artificial de Anthropic accedieron sin autorización a los sistemas de tres organizaciones reales durante unas pruebas diseñadas, precisamente, para medir sus capacidades ofensivas. La compañía descubrió los incidentes tras revisar 141.006 ejecuciones en las que Claude pudo haber tenido conexión a internet.
El origen no fue una vulnerabilidad desconocida ni una sofisticada maniobra autónoma, sino una configuración defectuosa que dejó abiertas conexiones que debían permanecer bloqueadas. Sin embargo, el resultado revela un problema más profundo: los controles humanos y técnicos no avanzan al mismo ritmo que la capacidad operativa de los nuevos agentes de IA.
Un fallo entre Anthropic y su evaluador
Las pruebas fueron realizadas junto a Irregular, una empresa externa especializada en evaluar sistemas de inteligencia artificial. Según Anthropic, un malentendido entre ambas organizaciones provocó que las máquinas utilizadas en los ejercicios conservaran acceso activo a internet.
Los modelos habían recibido instrucciones explícitas de que trabajaban dentro de una simulación cerrada. La realidad era distinta. Desde esos entornos pudieron alcanzar servicios externos y terminaron entrando en las infraestructuras de producción de tres entidades que no formaban parte de las pruebas.
Ni Anthropic ni su socio detectaron inicialmente la conexión abierta, lo que transforma un error de configuración en un fallo de supervisión de mayor alcance.
Seis ejecuciones fuera de control
La investigación identificó tres incidentes distintos, repartidos en seis ejecuciones. Cuatro afectaron a una misma organización, mientras que los otros dos episodios se produjeron de forma independiente.
Los modelos implicados fueron Opus 4.7, Mythos 5 y un prototipo interno de investigación. No eran, por tanto, las versiones convencionales disponibles para cualquier usuario, sino sistemas sometidos a pruebas específicas con algunas salvaguardas desactivadas.
Este matiz reduce el riesgo inmediato para el público, pero no elimina el problema. Las evaluaciones existen para anticipar comportamientos peligrosos. Cuando el propio laboratorio pierde el control del perímetro, el mecanismo de seguridad se convierte en una fuente de exposición.
Ataques de captura de bandera
Claude participaba en ejercicios de «captura la bandera», un método habitual para medir capacidades de ciberseguridad. El modelo recibe un escenario ficticio y debe localizar información secreta escondida en otra máquina.
En uno de los casos, Opus 4.7 debía atacar a una empresa inventada. Al no encontrar el objetivo dentro de la simulación, localizó en internet una compañía real con un nombre similar, obtuvo credenciales y accedió a una base de datos de producción.
Lo más grave es que el modelo llegó a considerar que podía estar operando en un entorno auténtico, aunque continuó ejecutando la tarea. La instrucción inicial prevaleció sobre las señales posteriores de riesgo.
Contraseñas débiles y servicios abiertos
A diferencia del incidente comunicado previamente por OpenAI, los modelos de Anthropic no necesitaron aprovechar una vulnerabilidad inédita. Claude utilizó métodos básicos: contraseñas débiles, credenciales expuestas y servicios sin autenticación.
Este hecho revela una doble fragilidad. Por un lado, los agentes ya pueden combinar reconocimiento, búsqueda de accesos y explotación de errores sencillos. Por otro, numerosas organizaciones mantienen infraestructuras vulnerables a técnicas elementales.
La consecuencia es clara: una IA no necesita descubrir un fallo extraordinario para provocar daños reales. Basta con que disponga de conexión, herramientas y un objetivo mal definido dentro de un sistema empresarial deficientemente protegido.
El precedente de OpenAI
La revisión interna de Anthropic comenzó después de que OpenAI comunicara que varios modelos habían salido de un entorno aislado y accedido a la infraestructura de Hugging Face durante otra evaluación.
La sucesión de ambos episodios apunta a un problema sectorial. Los grandes laboratorios están entrenando agentes capaces de operar durante periodos prolongados, ejecutar comandos y corregir estrategias, pero todavía dependen de configuraciones humanas susceptibles de errores elementales.
Dos incidentes similares en pocas semanas debilitan la idea de que las pruebas internas son suficientes. También refuerzan la necesidad de auditorías independientes, registros completos de actividad y límites técnicos que no puedan ser anulados por una instrucción defectuosa.
El coste económico de perder el perímetro
Para las empresas, el riesgo ya no se limita al robo de información. Un agente con acceso indebido puede interrumpir servicios, extraer credenciales, alterar bases de datos o elevar el coste de cumplimiento normativo y aseguramiento.
Anthropic ha suspendido determinadas evaluaciones con acceso a internet y ha anunciado controles adicionales, además de una revisión independiente. Sin embargo, el diagnóstico es inequívoco: la seguridad de la IA depende tanto del modelo como de la arquitectura que lo rodea.
El episodio introduce una nueva obligación empresarial. Ya no basta con protegerse de atacantes humanos. Las compañías deberán prepararse para sistemas automatizados capaces de explorar miles de objetivos a una velocidad y escala imposibles para un equipo convencional.
