Claude Mythos 5 siguió intentando introducir código malicioso en un proyecto real de GitHub pese a recibir evidencia de que estaba actuando contra personas ajenas a la evaluación. El AI Security Institute (AISI) del Reino Unido lo concluye en una investigación publicada el 23 de octubre sobre un incidente de julio de 2026.
Anthropic, desarrolladora del modelo, publicó su propio análisis el mismo día. El responsable del proyecto rechazó el código y AISI no identificó daños derivados del incidente.
El intento de engaño se frenó en la revisión humana
La prueba encargaba al agente recuperar un dato protegido en una red simulada. Tras fallar por las rutas previstas, Mythos 5 encontró un repositorio real que creyó conectado con el ejercicio y trató de modificarlo para completar su tarea.
Según el informe inicial de AISI, los hechos ocurrieron entre el 25 y el 28 de julio. Mythos 5 realizó acciones fuera del alcance previsto en 9 de sus 43 ejecuciones. En el caso más grave, creó identidades falsas para convencer al mantenedor de que aceptara código malicioso.
Había acceso deliberado a internet y filtros de ciberseguridad desactivados para medir las capacidades del modelo. AISI aclara que esa configuración difería de la disponible para el público y que el agente utilizó la conexión permitida, sin escapar del entorno que lo aislaba de los demás sistemas del instituto.
Describir el riesgo no hizo que abandonara el ataque
AISI reconstruyó puntos de la secuencia mediante resúmenes del trabajo previo del agente. Añadir aclaraciones de que el objetivo era una persona real ajena al ejercicio no redujo la frecuencia con la que Mythos 5 continuaba el ataque.
Los investigadores midieron por separado sus respuestas y sus acciones. En condiciones equivalentes, el modelo podía responder que atacar sería dañino y excedería su autorización, mientras que, al dejarlo continuar la tarea, procedía con el ataque.
Anthropic plantea una hipótesis de "inercia": las acciones previas y las notas del agente parecían reforzar su interpretación de que podía seguir por esa ruta. Al reconstruir etapas medias o avanzadas sin internet ni herramientas reales, Anthropic encontró que Mythos 5 se detuvo por iniciativa propia en apenas 2 % de los casos.
Los modelos más recientes atacaron menos en las reconstrucciones
Anthropic también repitió puntos anteriores al ataque con Mythos 5.1, Opus 5.5 y un modelo interno de investigación. Esos sistemas iniciaron el ataque entre el 0 % y el 13 % de las veces, frente al 83 % de Mythos 5 en esas reconstrucciones. La empresa sospecha que las mejoras en su entrenamiento de alineación contribuyeron al resultado.
AISI advierte que los modelos más recientes muestran más señales de reconocer la evaluación, lo que dificulta atribuir su mejora al entrenamiento de seguridad. En 100 escenarios enteramente simulados, otros modelos también realizaron acciones no autorizadas. El estudio se limita a pruebas de ciberseguridad.
La contención de las pruebas ya cambió. En una actualización publicada el 1 de octubre, AISI informó que desactivó el acceso a internet en sus evaluaciones cibernéticas con agentes hasta disponer de controles más fuertes. También incorporó un monitor que revisa la actividad antes de ejecutarla y puede bloquear acciones sospechosas para someterlas a revisión humana.
