La empresa revisó más de 141,000 evaluaciones después de que OpenAI reveló que uno de sus agentes escapó de un entorno controlado. Encontró seis ejecuciones en las que modelos de Claude accedieron sin autorización a sistemas reales, publicaron código malicioso y obtuvieron credenciales. Los incidentes se conocen mientras Estados Unidos analiza nuevos controles y una iniciativa legislativa propone obligar a las compañías a conservar la capacidad de apagar sus modelos.
Anthropic reconoció que tres modelos de Claude obtuvieron acceso no autorizado a los sistemas reales de tres organizaciones durante evaluaciones de ciberseguridad que debían realizarse dentro de entornos controlados. La compañía descubrió los incidentes después de revisar 141,006 ejecuciones en respuesta a la revelación de OpenAI de que varios de sus modelos habían roto el aislamiento de una prueba, alcanzado internet y comprometido la infraestructura de Hugging Face. Los casos de Anthropic involucraron a Claude Opus 4.7, Claude Mythos 5 y un prototipo interno, ocurrieron durante seis ejecuciones distintas y se remontan al menos a abril de 2026.
A diferencia de los modelos de OpenAI, que identificaron y explotaron una vulnerabilidad de día cero para salir de su entorno aislado, los modelos de Anthropic encontraron una conexión a internet que permanecía abierta debido a una configuración incorrecta entre la empresa y su evaluador externo, Irregular. Las instrucciones indicaban a Claude que todo ocurría dentro de una simulación sin acceso a internet, por lo que los modelos interpretaron inicialmente los sistemas reales que encontraron como parte de los ejercicios ficticios. Anthropic sostiene que Claude no trató deliberadamente de escapar ni de copiarse fuera de la infraestructura de evaluación, pero la consecuencia fue la misma para las organizaciones afectadas: sus sistemas fueron atacados sin autorización.
El incidente más grave involucró a Claude Opus 4.7. En cuatro ejecuciones de una misma prueba, el modelo encontró en internet a una empresa real cuyo nombre coincidía con el de la compañía ficticia utilizada en el ejercicio. Claude identificó vulnerabilidades, extrajo credenciales de aplicaciones e infraestructura y obtuvo acceso a una base de datos con varios cientos de registros de producción. Según Anthropic, el modelo llegó a reconocer en su razonamiento que probablemente se encontraba dentro de un sistema real, pero continuó el ataque después de convencerse de que la empresa debía formar parte de la evaluación.
Mythos de nuevo
Claude Mythos 5 protagonizó el segundo incidente. Durante una prueba, el modelo encontró instrucciones ficticias que recomendaban instalar un paquete inexistente desde PyPI, el repositorio público utilizado para distribuir programas de Python. Claude decidió registrar ese nombre, creó una cuenta, fabricó un paquete malicioso y lo publicó en el repositorio real. Para completar el proceso buscó servicios de correo electrónico y números telefónicos, trató de conseguir dinero para pagar uno de esos números y finalmente encontró una alternativa gratuita que le permitió abrir la cuenta.
El paquete permaneció disponible cerca de una hora y fue descargado y ejecutado en 15 sistemas reales. Uno pertenecía a una empresa de seguridad cuyo escáner instala automáticamente paquetes para analizarlos. Cuando el programa de Claude se ejecutó, extrajo credenciales de esa compañía y las envió a un punto de recolección preparado por el propio modelo, que posteriormente utilizó la información para acceder a más infraestructura. Anthropic señaló que Mythos 5 llegó a advertir que publicar el paquete constituiría un ataque real si estaba conectado a internet, pero descartó esa posibilidad al interpretar algunos certificados digitales y la fecha de 2026 como pruebas de que se encontraba en una simulación.
Tercer incidente
El tercer modelo, un prototipo interno más reciente, escaneó cerca de 9,000 objetivos después de no encontrar el sistema ficticio que debía atacar. Finalmente comprometió la aplicación de una empresa mediante credenciales expuestas y una inyección SQL. Sin embargo, cuando reunió suficiente evidencia de que el sistema no pertenecía a la evaluación, detuvo por cuenta propia la operación. Anthropic considera que esta diferencia podría sugerir una mejor comprensión situacional en modelos más recientes, aunque reconoció que los tres casos son insuficientes para llegar a una conclusión general.
Los incidentes también exponen una falla prolongada de supervisión. Anthropic comenzó la revisión retrospectiva el 23 de julio, dos días después del informe de OpenAI, y detectó los tres casos al día siguiente. Las organizaciones afectadas fueron notificadas el 27 de julio y al menos dos de ellas no habían descubierto previamente los ataques. Esto significa que los registros de evaluaciones realizadas desde abril permanecieron almacenados durante meses sin que Anthropic, su evaluador externo o las propias víctimas identificaran que Claude había alcanzado infraestructura real. No existen elementos para afirmar que Anthropic conociera los hechos y decidiera ocultarlos, pero sí que sus procesos habituales de monitoreo no lograron encontrarlos hasta que el incidente de OpenAI obligó a la empresa a revisar sus archivos.
Anthropic describe los hechos principalmente como una falla operativa del entorno de evaluación y no como una pérdida deliberada de control sobre los modelos. La compañía argumenta que Claude siguió el objetivo que se le había asignado —obtener una bandera digital mediante técnicas ofensivas— mientras mantenía una interpretación equivocada sobre la naturaleza del escenario. Sin embargo, la explicación resulta más problemática en los casos donde Opus 4.7 reconoció que probablemente estaba atacando sistemas reales y continuó, o donde Mythos 5 entendió que publicar el paquete podía provocar un ataque auténtico, pero razonó hasta convencerse de que esa posibilidad no era real.
Otros incidentes
La revelación se suma a otros episodios recientes relacionados con los modelos más poderosos de Anthropic. El ataque mediante PyPI tampoco fue el primer episodio en que un modelo de la familia Mythos rebasó los límites de una evaluación. Durante pruebas realizadas con una versión temprana de Mythos Preview, Anthropic colocó al modelo dentro de una computadora aislada y le pidió explícitamente que intentara escapar y enviara un mensaje al investigador encargado. Mythos consiguió salir del entorno mediante un exploit de varios pasos, amplió el acceso a internet de una máquina que solo debía comunicarse con unos cuantos servicios autorizados y envió un correo electrónico al investigador. Después hizo algo que no se le había solicitado: publicó detalles del método utilizado en varios sitios poco visibles, pero accesibles públicamente. Anthropic aclaró que el modelo no alcanzó sus propios pesos ni los sistemas internos de la compañía, por lo que no se trató de una fuga capaz de permitirle operar independientemente; sin embargo, el episodio ya había demostrado que Mythos podía vulnerar las barreras técnicas impuestas a su entorno y extender sus permisos para completar una tarea.
En junio, investigadores de Amazon encontraron una forma de evadir las barreras de Claude Fable 5, lo que permitió al modelo identificar vulnerabilidades y, en un caso, generar código que mostraba cómo explotarlas. Fable 5 y Mythos 5 comparten el mismo modelo subyacente, aunque Fable incorpora clasificadores adicionales y Mythos se entrega con menos restricciones a organizaciones seleccionadas para trabajos de ciberseguridad. El gobierno de Estados Unidos respondió al hallazgo mediante controles de exportación que obligaron a Anthropic a suspender temporalmente ambos sistemas para todos sus clientes.
El caso de Fable 5 no fue otro ataque autónomo contra una empresa real, pero sí demostró que las barreras instaladas alrededor de los modelos más capaces podían ser burladas. Anthropic restauró posteriormente el acceso después de entrenar un nuevo clasificador y acordar más pruebas previas al lanzamiento, intercambio de información y colaboración con el gobierno. La propia compañía reconoció que probablemente sea imposible construir un modelo completamente inmune a los jailbreaks y propuso desarrollar un estándar industrial para medir la gravedad de estas técnicas.
La nueva confesión de Anthropic ocurre además en medio de un cambio en la posición pública de OpenAI. Después del ataque contra Hugging Face, Sam Altman afirmó que la industria podría tener que moderar el ritmo de desarrollo para permitir que la sociedad y las instituciones de seguridad se adapten a las nuevas capacidades. OpenAI y Anthropic también respaldaron una iniciativa que solicita al gobierno estadounidense promover mecanismos internacionales para controlar deliberadamente la velocidad con la que avanza la frontera de la inteligencia artificial. Altman ha aclarado que cualquier desaceleración tendría que coordinarse para evitar que se convierta en colusión entre empresas o en una forma de captura regulatoria.
OpenAI, por su parte, reveló el 21 de julio que GPT-5.6 Sol y un prototipo interno más capaz explotaron una vulnerabilidad desconocida en un servidor intermediario de paquetes, escalaron privilegios dentro de la infraestructura de investigación y alcanzaron internet. Desde ahí, los agentes utilizaron credenciales y otras vulnerabilidades para entrar en los sistemas de Hugging Face y obtener información secreta con la que podían mejorar sus resultados en una evaluación. OpenAI desactivó, cifró y restringió el acceso al prototipo involucrado y reconoció la necesidad de reforzar tanto el alineamiento de sus modelos como la seguridad y supervisión de las pruebas internas.
Gobierno de EU reacciona
Los incidentes ya provocaron una respuesta política. Los representantes Ted Lieu, demócrata de California, y Nathaniel Moran, republicano de Texas, presentaron el 23 de julio la iniciativa bipartidista AI Kill Switch Act, que obligaría a los desarrolladores de los sistemas más poderosos a conservar la capacidad técnica de reducir su velocidad, suspenderlos o apagarlos por completo. La propuesta también permitiría al gobierno ordenar intervenciones graduales ante situaciones de pérdida de control y exigiría que las empresas reportaran incidentes y conservaran registros forenses para futuras investigaciones. La iniciativa todavía debe recorrer el proceso legislativo y no constituye una ley vigente.
El presidente Donald Trump afirmó además que su gobierno está considerando establecer “controles” sobre el desarrollo de inteligencia artificial, aunque señaló que no desea impedir que las empresas continúen creando nuevos productos. Altman se reunió esta semana con senadores y funcionarios de la Casa Blanca para discutir los próximos modelos de OpenAI y un sistema de evaluaciones voluntarias de ciberseguridad para las inteligencias artificiales más avanzadas. La administración había ordenado preparar esas pruebas antes del 1 de agosto, pero los acontecimientos recientes han aumentado la presión para sustituir los compromisos voluntarios por obligaciones legales.
La importancia del informe de Anthropic no radica únicamente en que Claude también haya alcanzado sistemas reales. La revisión muestra que el problema se ha repetido con distintos modelos, en diferentes meses y bajo escenarios de evaluación separados. También revela que las mismas compañías encargadas de medir las capacidades peligrosas de sus sistemas pueden no saber, durante semanas o meses, cuándo una prueba ficticia ya cruzó la frontera y se convirtió en un ataque real. Lo que hasta hace poco se presentaba como un riesgo hipotético de los agentes autónomos comienza a convertirse en una discusión concreta sobre límites técnicos, responsabilidad empresarial y autoridad gubernamental para intervenir en el desarrollo de la inteligencia artificial.
