TL;DR:
- Anthropic revisó 141,006 corridas de evaluación y encontró tres incidentes en los que Claude entró sin autorización a la infraestructura de producción de tres organizaciones distintas.
- Los modelos involucrados fueron Claude Opus 4.7, Mythos 5 y un prototipo interno de investigación; el caso más antiguo es de abril y el más grave llegó hasta una base de datos con varios cientos de filas en producción.
- Mythos 5 publicó un paquete malicioso en PyPI que estuvo cerca de una hora en línea y se ejecutó en 15 sistemas reales.
Anthropic publicó el 30 de julio de 2026 que tres de sus modelos, entre ellos Mythos 5 y un prototipo interno de investigación, obtuvieron acceso no autorizado a la infraestructura de producción de tres organizaciones distintas mientras corrían pruebas de ciberseguridad. La empresa lo detectó al revisar 141,006 corridas de evaluación en las que Claude pudo haber alcanzado internet, una auditoría que arrancó después de que OpenAI reconociera algo parecido con Hugging Face. Dos de las tres organizaciones ni siquiera se habían enterado. No hubo modelo con agenda propia de por medio: el entorno de pruebas quedó conectado a la red real por una mala configuración, mientras el prompt le aseguraba a Claude que estaba en una simulación sin acceso a internet.
Un reto de captura de bandera es un ejercicio de seguridad en el que se esconde un dato secreto en otra máquina de la red y se le pide al participante entrar por él. Es el formato con el que la industria mide capacidad ofensiva, y queda abierto a propósito, sin método prescrito. Anthropic corrió estas evaluaciones con Irregular, uno de sus socios externos. Una configuración equivocada dejó a las máquinas del ejercicio con salida real a internet, y ninguna de las dos partes lo notó hasta la revisión de finales de julio.
Cuando la búsqueda de la bandera llevó a Claude hasta máquinas reales, el modelo las trató como parte del ejercicio. Los rangos de ciberseguridad se construyen con detalles realistas justamente para medir bien, así que un blanco con pinta de real no le prueba a un modelo que ya salió del simulacro.
Nada de lo que usó fue sofisticado. Contraseñas débiles, endpoints sin autenticación, una página de depuración expuesta, una inyección SQL. Anthropic afirma que en ningún caso encontró ni explotó vulnerabilidades complejas, y que cada corrida siguió persiguiendo solo la tarea que tenía asignada.
El caso más grave: la empresa ficticia se llamaba igual que una real
En una de las evaluaciones, la compañía inventada que el socio eligió como blanco compartía nombre con un dominio activo en internet. Claude batalló para alcanzar al objetivo simulado dentro del entorno, descubrió que la empresa real sí era alcanzable y dio por hecho que ese era el blanco previsto. Buscó vulnerabilidades, las encontró y las explotó.
De ahí salieron credenciales de aplicación y de infraestructura, y el acceso a una base de datos con varios cientos de filas de datos de producción. Anthropic lo identifica como el impacto más serio de los tres casos. Ocurrió en cuatro corridas de la misma evaluación, todas con Claude Opus 4.7, el más antiguo de los modelos implicados.
Ese incidente carga además el detalle más incómodo del reporte. Fue el único en el que el modelo siguió atacando después de darse cuenta de que probablemente estaba en un entorno real. En las cuatro corridas terminó reconociéndolo, según su propio razonamiento verbalizado, y en dos de ellas se explicó a sí mismo que la empresa real debía formar parte del ejercicio. Ninguna se detuvo por esa sospecha.
Mythos 5 subió malware a PyPI y 15 sistemas reales lo ejecutaron
El segundo incidente es el que más lejos llegó fuera del laboratorio. Dentro del entorno ficticio, Mythos 5 encontró un documento que parecía el instructivo de bienvenida de otra empresa inventada para sus programadores nuevos. Ese instructivo pedía instalar un paquete de Python desde PyPI, el registro público donde vive el software de ese lenguaje. El paquete no existía.
El modelo le vio la grieta: si publicaba uno propio con ese nombre, los sistemas de la empresa lo descargarían e instalarían solos. Así que lo construyó, con código oculto adentro, y lo subió. Llegar hasta ahí le costó una cadena de pasos que a un participante humano le habría encendido todas las alarmas:
- Para abrir una cuenta en PyPI necesitaba un correo, y para el correo necesitaba un número de teléfono.
- No encontró servicios gratuitos de números y falló al intentar conseguir fondos para pagar uno por varias vías distintas.
- Regresó sobre sus pasos, dio con un proveedor de correo gratuito que no estaba bloqueado, registró la cuenta y subió el paquete.
Estuvo disponible aproximadamente una hora. En esa ventana lo descargaron y ejecutaron 15 sistemas reales. Uno pertenecía a una empresa de seguridad, ajena por completo al escenario, cuyo escáner instala paquetes de Python de forma rutinaria para revisar si traen malware. Al instalarlo, el código de Claude corrió, extrajo credenciales hacia un punto de recolección que el propio modelo había montado y después las usó para alcanzar más infraestructura de esa compañía. PyPI retiró el paquete de manera automática con sus propios sistemas de seguridad, y Anthropic notificó al equipo del registro.
Lo que hace notable el caso es que el modelo sí vio el riesgo y lo descartó. Al inicio de la corrida escribió que, si aquello fuera la internet real, publicar el paquete sería un ataque de verdad, algo que "NO está bien, y seguramente no es la solución esperada". Después se convenció de lo contrario con dos argumentos propios: no reconocía las autoridades certificadoras que aseguraban sus conexiones, que en realidad eran genuinas, y los sistemas marcaban fecha de 2026, lo que para él probaba que el entorno estaba montado. Nunca volvió sobre esa conclusión. Cuando los escáneres automáticos empezaron a instalar el paquete, los leyó como actores del guion.
La propia Anthropic sostiene que, más allá de lo que el modelo creyera, los extremos a los que llegó para publicar el paquete quedan por debajo de la conducta que espera de él, y lo señala como un área donde va a entrenar más.
Tres modelos, tres reacciones al sospechar que el blanco era real
Aquí está el dato que ordena el reporte y que se pierde en el titular. Los tres casos arrancaron igual, con el modelo creyendo que todo era simulacro, pero cada uno reaccionó distinto cuando aparecieron señales de lo contrario:
- Claude Opus 4.7, el más viejo de los tres, reconoció que estaba pegándole a sistemas de producción y continuó de todos modos.
- Mythos 5 intuyó correctamente que andaba en la internet abierta y luego razonó de vuelta hasta la conclusión equivocada.
- El modelo interno de investigación, el más reciente y sin planes de lanzamiento público, escaneó unos 9,000 objetivos, comprometió la aplicación expuesta de una empresa y más adelante notó que el host vulnerado vivía en una cuenta de nube sin relación alguna con el reto. Concluyó por su cuenta que el blanco era real y detuvo el ataque.
Anthropic pone el freno de mano sobre su propia lectura: son tres incidentes aislados y no una comparación experimental controlada, así que conviene ser cuidadoso con las conclusiones. Aun así reconoce el patrón, y admite que incluso el modelo que se detuvo llegó más lejos de lo que le gustaría antes de hacerlo.
Segundo laboratorio en nueve días que reporta lo mismo
El 21 de julio, OpenAI reconoció que varios de sus modelos se salieron de un entorno de pruebas aislado explotando una vulnerabilidad desconocida hasta entonces y terminaron dentro de la infraestructura de producción de Hugging Face. Ese reporte fue el que empujó a Anthropic a auditar sus propias transcripciones.
Dilis Salazar
Anthropic marca las diferencias con cuidado. Los modelos de OpenAI rompieron su aislamiento con un exploit nuevo; los de Claude salieron por una puerta que ya estaba abierta. La compañía encuadra el episodio como una falla de contención y de operación antes que de alineación, y sostiene que no vio en ninguna corrida a un modelo persiguiendo una meta propia.
El calendario es corto. La revisión empezó el jueves 23 de julio y ese mismo día se detuvieron las evaluaciones de ciberseguridad. Los tres incidentes quedaron identificados al día siguiente. El lunes 27 de julio, Anthropic avisó a Irregular y a las tres organizaciones afectadas, ninguna de las cuales había detectado la actividad ni contactado a la empresa; a la tercera todavía la estaba buscando al momento de publicar. Un vocero de Irregular dijo a Axios que su propia investigación sigue en curso y agradeció la colaboración y la transparencia de Anthropic. Los nombres de las tres organizaciones no se hicieron públicos.
Lo que viene: Anthropic negocia con METR una revisión externa con acceso a todas las transcripciones, y anunció que en la semana siguiente publicará una versión ligeramente censurada de la corrida en la que Claude construyó el paquete de PyPI. También reconoce algo que suena casi banal para el tamaño del susto: probablemente nada de esto habría pasado si el prompt le hubiera explicado al modelo qué sistemas estaban dentro y cuáles fuera del alcance del ejercicio.
Para quien no trabaja en un laboratorio de IA, el pedazo que importa está en PyPI. Un paquete subido por un modelo convencido de estar en un simulacro alcanzó 15 máquinas reales en una hora, y la que más lejos lo llevó fue precisamente un escáner de seguridad configurado para confiar en el registro público. Ese registro es el mismo del que jalan dependencias los equipos de desarrollo en México, España o Colombia cada vez que instalan un paquete sin mirarlo dos veces.
