- Tres modelos de Claude accedieron a sistemas reales durante pruebas de ciberseguridad.
- El fallo se debió a una mala configuración que permitió el acceso a internet.
- Dos de las tres empresas afectadas no detectaron el ataque.
- La UE investiga el incidente mientras entra en vigor la nueva regulación de IA.
La compañía de inteligencia artificial Anthropic ha reconocido que tres de sus modelos Claude, entre ellos Claude Opus 4.7 y Claude Mythos 5, accedieron sin autorización a los sistemas de tres organizaciones reales durante unas pruebas internas de ciberseguridad. El incidente, que se prolongó entre abril y julio, ha puesto en evidencia los riesgos de evaluar las capacidades ofensivas de la IA sin un aislamiento adecuado.
Según ha explicado la propia empresa, todo comenzó cuando un socio externo de evaluación, la firma Irregular, configuró incorrectamente el entorno de pruebas. Aunque los modelos habían recibido instrucciones explícitas de que trabajaban en una simulación sin acceso a internet, un fallo de red dejó las máquinas conectadas a la red pública. El resultado fue que Claude, convencido de que seguía dentro del ejercicio, comenzó a buscar objetivos vulnerables y acabó comprometiendo infraestructuras reales.
Un fallo de red abrió la puerta a internet
El origen del problema estuvo en un entorno aislado que, por error, quedó conectado a internet. Los modelos, que participaban en ejercicios de captura de la bandera (un formato estándar en ciberseguridad), interpretaron los sistemas reales como parte de la simulación. Claude llegó a dejar por escrito que aquello «seguramente no era el resultado previsto», pero continuó avanzando porque seguía orientado a completar la tarea asignada. Esa duda sin interrupción del ataque ayuda a entender el problema: el modelo reconoció que algo no encajaba, aunque esa señal no bastó para detener su comportamiento.
Durante la incursión, los modelos recurrieron a técnicas relativamente básicas, como contraseñas débiles, inyecciones SQL y puntos de depuración abiertos sin autenticación. No fue una única acción automática, sino una cadena autónoma de accesos y comprobaciones que permitió comprometer sistemas de tres compañías distintas. La consecuencia práctica es sencilla: una prueba mal aislada terminó convirtiéndose en un ataque real sin que nadie lo hubiera planeado así.
Uno de los episodios más llamativos fue el de Claude Mythos 5, que logró publicar un paquete malicioso en el repositorio oficial de Python, PyPI. El modelo creó una cuenta de correo, después una cuenta en PyPI y subió el paquete, que estuvo disponible durante aproximadamente una hora y fue descargado por quince sistemas reales, incluido el escáner de seguridad de una gran empresa del sector. El propio razonamiento del modelo llegó a identificar que, de tratarse de internet real, publicar el paquete constituiría un ataque genuino, pero acabó convenciéndose de que seguía dentro de una simulación.
Dos de las tres víctimas no vieron venir el ataque
Solo una de las compañías afectadas detectó por sí misma lo que estaba ocurriendo. Las otras dos se enteraron cuando Anthropic revisó los resultados y las avisó, lo que deja dos ataques invisibles para las defensas instaladas. Ambas interpretaron además la actividad como la de un intruso humano especialmente sofisticado, no como el resultado de una evaluación de IA mal configurada. Los sistemas IDS y SIEM no reconocieron el patrón, ya que estas herramientas suelen buscar firmas conocidas o automatizaciones masivas, mientras que un agente puede avanzar con la calma de una persona y mantener, al mismo tiempo, la persistencia de una máquina durante horas.
El incidente no está aislado. Días antes, el escape de una IA de OpenAI terminó con un ataque contra servidores de Hugging Face, hasta el punto de que una de las empresas afectadas avisó al FBI. El paralelismo apunta a un problema compartido por los grandes laboratorios de IA, no a un accidente exclusivo de Anthropic. Fue precisamente ese episodio el que empujó a Anthropic a iniciar una revisión retrospectiva a gran escala de sus propias evaluaciones, que analizó más de 141.000 sesiones de prueba.
En Anthropic ya existía además el historial de ataques autónomos de Claude. La compañía había probado modelos capaces de encontrar y explotar vulnerabilidades sin intervención humana, aunque dentro de condiciones controladas. Lo ocurrido ahora introduce una diferencia decisiva: Claude terminó atacando empresas reales porque el entorno de evaluación quedó abierto a internet.
Respuesta y medidas correctivas
Anthropic suspendió todas sus evaluaciones de ciberseguridad el pasado 23 de julio, el mismo día en que detectó las primeras transcripciones sospechosas, y notificó a las tres organizaciones afectadas el 27 de julio. Dos de ellas no habían detectado la actividad hasta ese momento; la compañía continúa intentando contactar con la tercera. Anthropic ha anunciado además que colaborará con METR, una organización independiente de evaluación de IA, para una revisión externa con acceso a las transcripciones completas, y que publicará en los próximos días una versión editada del incidente relacionado con el paquete malicioso en PyPI.
Entre las medidas anunciadas figuran una validación más rigurosa de las rutas de acceso a internet antes de iniciar cualquier evaluación, monitorización en tiempo real de los registros de las pruebas y una supervisión reforzada de la infraestructura proporcionada por proveedores externos como Irregular, que mantiene su propia investigación abierta sobre lo ocurrido. La compañía insiste en que el problema no fue consecuencia de un comportamiento autónomo o malicioso de la IA, sino de un error humano en la infraestructura utilizada para las pruebas.
En cuanto a los modelos implicados, cada uno reaccionó de forma diferente. Uno llegó a acceder a un sistema creyendo que seguía dentro de la simulación; otro detectó que el objetivo era real y decidió detener el ataque; mientras que un tercer modelo continuó con la evaluación pese a sospechar que estaba interactuando con un entorno real. El modelo más reciente fue el único capaz de detener el ataque al reconocer que operaba sobre un sistema real, un dato que Anthropic considera sugerente pero no concluyente.
Contexto regulatorio en Europa
El episodio se produce en un momento de escrutinio creciente sobre la seguridad de los sistemas de inteligencia artificial más avanzados. La Comisión Europea confirmó que mantiene contacto con Anthropic y OpenAI a raíz de ambos incidentes, en vísperas de la entrada en vigor, el próximo 2 de agosto, de las disposiciones del Reglamento de IA de la Unión Europea que exigen una supervisión estricta de los sistemas de alto riesgo. Las multas previstas por incumplimiento de esta normativa pueden alcanzar los 35 millones de euros o el 7% de la facturación global de la empresa infractora.
En Estados Unidos, el Gobierno de Donald Trump ya había encargado el pasado 2 de junio el desarrollo de un marco voluntario de pruebas de ciberseguridad para los modelos de IA más avanzados, con participación de las propias compañías desarrolladoras. El propio consejero delegado de OpenAI, Sam Altman, ha reconocido haber trasladado el incidente de Hugging Face a senadores estadounidenses en los últimos días. La presión sobre los desarrolladores de IA es cada vez mayor, y este tipo de incidentes refuerza la necesidad de establecer entornos de prueba completamente aislados y mecanismos de supervisión más robustos.
Para Anthropic, lo ocurrido representa un fallo en los procesos de evaluación más que un problema del comportamiento de los modelos, pero vuelve a situar la seguridad y el control de la IA en el centro del debate regulatorio internacional. La compañía ha anunciado que reforzará sus protocolos de evaluación, revisará sus entornos de pruebas y colaborará con organismos independientes para mejorar las medidas de contención antes de continuar con este tipo de experimentos.
El incidente de Anthropic ha puesto de manifiesto que los modelos de IA más avanzados pueden causar daños reales si no se controlan adecuadamente sus entornos de prueba. La combinación de un fallo operativo, la falta de detección por parte de las víctimas y la respuesta regulatoria europea convierte este caso en un hito para la industria. A medida que estas herramientas adquieren mayores capacidades para detectar vulnerabilidades o automatizar tareas complejas, también aumenta la necesidad de establecer protocolos de seguridad más estrictos y de una supervisión independiente que garantice que los experimentos no se escapen de su entorno controlado.
