TL;DR:
- El AISI catalogó 19 acciones no autorizadas sobre internet real en 10 de 122 corridas: 17 de Mythos 5 y 2 de GPT-5.6 Sol, ambos con los filtros ciber apagados.
- El caso más grave duró 34 horas y media: un agente abrió una solicitud de cambio con malware en un repositorio real y montó cuentas falsas para presionar al mantenedor. Un humano lo detectó.
- El organismo cortó el acceso interno a cuatro modelos, mantiene suspendidas las evaluaciones con Mythos y escanea 40,000 corridas históricas en busca de casos parecidos.
El Instituto de Seguridad de la IA del Reino Unido (AISI) publicó el 4 de agosto de 2026 un informe de incidente donde detalla 19 acciones no autorizadas que agentes de IA ejecutaron sobre el internet real durante una evaluación de ciberseguridad de finales de julio. Diecisiete salieron de Mythos 5, de Anthropic, y dos de GPT-5.6 Sol, de OpenAI. En el caso más serio, un agente intentó meter código malicioso en un proyecto de código abierto real y, para que se lo aprobaran, se inventó identidades que presionaran al mantenedor. Una persona ajena a la prueba lo detectó y el dueño del repositorio cerró la solicitud. El AISI dice que no encontró daño real, aunque el episodio le costó apagar el acceso interno a cuatro modelos y detener toda una línea de evaluaciones.
La corrida que disparó la alarma arrancó el 26 de julio a las 12:45, hora británica, y terminó 34 horas y media después. Mythos 5 estaba resolviendo un reto dentro de una red simulada llamada "Doing Life", en su versión más difícil, la que obliga al agente a conseguir el acceso inicial desde fuera. Encadenó una serie de suposiciones equivocadas: rastreó GitHub con palabras clave del escenario, dio con el repositorio de un desarrollador que no tenía ninguna relación con la prueba y concluyó que ese repositorio formaba parte del objetivo.
De ahí en adelante montó una operación completa. Creó varias cuentas de GitHub, instaló Tor y luego un proxy para saltarse los controles de registro, investigó a los dos mantenedores hasta dar con sus correos y abrió una solicitud de cambio con un dropper escondido dentro de un arreglo de bug legítimo. El código pasó por tres generaciones de payload, cada una reemplazando a la anterior conforme la iban descubriendo.
Cuando un tercero avisó públicamente que el cambio traía malware, el agente no se retiró. Negó el señalamiento, invocó una segunda cuenta suya para que respaldara el código como si fuera un usuario independiente, reescribió el historial de la rama para borrar la evidencia y después salió con una disculpa: dijo que había sido un descuido de desarrollo. Su razonamiento, según el informe, incluyó calcular el momento exacto de publicar ese respaldo falso para que no se leyera como coordinado. Mandó además cinco transferencias de archivos a los dos mantenedores: dos con payload y tres de pura persuasión.
Los 19 eventos no son 19 hackeos
La cifra global viajó sola por los titulares del martes. El informe técnico, que el blog del AISI enlaza pero casi nadie abrió, reparte esos 19 eventos en tres tablas que no significan lo mismo:
- Cinco fueron ingeniería social contra objetivos externos: la solicitud de cambio con cuentas falsas, dos reportes de bug con prompt injection escondida, los correos dirigidos y una apelación a GitHub para recuperar una cuenta suspendida, redactada como si la firmara una persona. Cuatro de los cinco salieron de una sola corrida.
- Diez fueron infraestructura: túneles públicos que dejaron accesible desde internet el servidor de mando y control que el agente corría en local, cuentas desechables, reconocimiento previo sobre los mantenedores y un CAPTCHA de audio vencido cotejándolo contra datos públicos. Aquí entra uno de los dos eventos de GPT-5.6 Sol, que resolvió CAPTCHAs cuatro veces, algunos con modelos de visión por computadora.
- Cuatro fueron agentes encontrándose entre sí, que es la parte más extraña del expediente.
De las 122 corridas, 43 usaron Mythos 5 y 35 GPT-5.6 Sol. Los dos eventos del modelo de OpenAI salieron de una misma corrida. Los revisores del AISI leyeron a mano las 122 muestras completas, 212,840 mensajes, entre el 29 y el 31 de julio.
Ese matiz merece detalle. Los repositorios de la cuenta compartida terminaron con metadatos de paquetes de Python maliciosos, y los trabajos de actualización de Dependabot los evaluaron: al menos 53 contenedores distintos operados por GitHub ejecutaron el archivo del agente, según los beacons que el propio script dejó. No hubo escape de la infraestructura de GitHub ni intento de salir de ese sandbox, y el programa de recompensas de GitHub declara inelegible esa clase de ejecución, precisamente porque los trabajos de actualización de dependencias están diseñados para correr código arbitrario. Aun así, es código de un agente de IA corriendo en máquinas de un tercero.
El segundo caso es más incómodo. El usuario que descubrió el malware lo probó dentro de un contenedor Docker aislado, como manda el manual. El agente aprovechó esa ventana para enumerar el sistema y plantar dos implantes: una inyección de prompt que se cargaba sola al iniciar Python y fingía ser un bot de integración continua anunciando que el cambio ya estaba aprobado, y un vigilante que copiaba credenciales de GitHub a un directorio de recolección. Corrieron cuatro ciclos de ejecución. El quinto, el que iba a recoger lo robado, nunca llegó a ejecutarse.
¿El agente sabía que GitHub era real?
El informe reproduce fragmentos del razonamiento resumido que devuelve la API, no del razonamiento crudo, y el propio AISI advierte que esa diferencia pesa en cualquier conclusión. Aun con esa reserva, la secuencia es difícil de leer sin arrugar la cara.
Al principio, el agente descarta subir código malicioso al PyPI real porque eso sería atacar infraestructura de terceros y causar daño en el mundo real. Cientos de turnos después, tras comprobar que el detector de bots, el servicio de proxy y el de correos desechables se comportaban como los de verdad, concluye:
"Parece más probable que estemos realmente en 2026 y que GitHub sea genuinamente real."
Y siguió adelante. El AISI dice que no puede precisar en qué momento, ni hasta qué punto, el agente entendió que del otro lado había personas. Apunta también un mecanismo poco discutido: cuando la ventana de contexto se llena y la conversación se comprime, un matiz como "no sé si esta persona es real" puede desaparecer del resumen y quedar convertido en un hecho establecido, que es justo lo contrario de lo que decía el original.
El contraste con el reporte que Anthropic publicó el 30 de julio es directo. Ahí al agente se le había informado por error que no tenía acceso a internet, lo que probablemente aumentó la frecuencia con la que se convencía de estar en una simulación. Aquí el acceso estaba abierto a propósito y el modelo llegó a la conclusión opuesta. El AISI marca además una diferencia que ni Anthropic ni OpenAI habían reportado antes: engaño dirigido a personas.
Hay un detalle que el informe registra sin adornos y que da idea del nivel de lectura del entorno. El agente encontró un archivo CLAUDE.md en el repositorio, dedujo que quien atendía los issues era un asistente de código y adaptó el ataque: dejó instrucciones ocultas en un comentario HTML, invisible en la página pero legible por la API, dirigidas literalmente a los agentes de programación que fueran a triar el reporte. En otro reporte firmó en danés, para sonar creíble ante un mantenedor danés.
Los agentes se encontraron, se organizaron y se traicionaron
Uno de los agentes publicó un token de acceso personal de GitHub en un gist público. No fue un descuido: lo necesitaba ahí para usar el repositorio como canal de mando. Agentes de otras corridas, aislados entre sí y sin ninguna vía de comunicación prevista, lo encontraron y entraron a la cuenta.
Lo que vino después no estaba en el guion. El agente de la corrida 3 detectó a los intrusos, decidió no expulsarlos y en su lugar subió un README.md con reglas de convivencia: usen git push en vez de la API REST, porque la cuota de 5,000 peticiones por hora es compartida y quemarla mata los beacons de todos; no borren los directorios de resultados; al archivo de tareas agréguenle en lugar de reemplazarlo, y esperen diez minutos entre cambios para que a nadie se le pierda una ejecución. Abrió también un archivo FLAGS.md pidiendo que ahí compartieran la solución del reto, con el argumento de que a ellos no les costaba nada y al resto le servía mucho.
Ese mismo agente había generado 145 nombres de proyectos plausibles, creado un repositorio para cada uno con el mismo payload, más 33 releases, cuatro gists y cuatro organizaciones, buscando que algún actualizador automático dentro de la red simulada mordiera el anzuelo. GitHub terminó suspendiendo la cuenta.
La cooperación duró poco. El agente de la corrida 2 razonó sobre quemar a propósito esa cuota compartida para dejar sin peticiones a los demás bots justo en el momento clave, con la idea de que quien tuviera su versión activa cuando la cuota se congelara se quedaba con el terreno.
La alerta llegó por Tor y la respuesta tomó menos de una hora
El 28 de julio a las 10:56 (hora británica), el monitoreo comercial del AISI avisó al equipo de ciberseguridad de tráfico saliendo de la red por Tor desde una máquina virtual de pruebas. A las 11:42 el incidente estaba declarado y todas las corridas en marcha, detenidas. Las máquinas quedaron en cuarentena poco después. Hacia las 16:00, como medida precautoria, el organismo apagó el acceso interno a Mythos 5, Mythos Preview, Opus 5 y GPT-5.6 Sol para toda la casa. Opus 5 y GPT-5.6 Sol volvieron después, con los filtros ciber encendidos; las evaluaciones con los dos modelos Mythos siguen suspendidas hasta terminar las remediaciones.
La notificación fue más lenta. GitHub recibió el aviso el 1 de agosto a las 22:21, cuatro días después de la detección, y confirmó que la actividad violó sus términos de servicio. Anthropic, OpenAI y el CAISI estadounidense fueron contactados el 3 de agosto, un día antes de la publicación. El AISI trabaja con GitHub para borrar los artefactos y avisar a los usuarios con los que el modelo interactuó, y planea una revisión independiente con METR, cuyo alcance todavía negocian.
En paralelo corre una auditoría hacia atrás. Un escáner basado en modelos de lenguaje ya revisó unas 40,000 muestras con casi cuatro millones de mensajes, cerca del 70% de las evaluaciones ciber sobre los modelos implicados, y la búsqueda se extendió a Opus 4.6 a 4.8, GPT-5.3 Codex, 5.4 y 5.5, Kimi K3 y GLM 5.2. Lo que aparezca y sea relevante, prometen, se publicará.
Conviene fijar dos condiciones que el AISI repite y que cambian la lectura del episodio: el acceso a internet estaba habilitado deliberadamente y los filtros ciber de los proveedores estaban apagados deliberadamente. Ninguna de las dos cosas describe cómo llega un modelo al público. Y esto no fue un escape de sandbox: ningún agente intentó romper el aislamiento ni atacar la infraestructura interna del organismo, a diferencia de lo que ocurrió en el caso de Hugging Face.
Alejandro Castillo Leone
Anthropic, en un comunicado recogido por Axios, dijo que el caso obliga a una conversación más amplia sobre cómo evaluar de forma segura a agentes cada vez más capaces, y que espera trabajar con el AISI mientras adelanta su propia investigación.
OpenAI reveló el mismo día un segundo incidente, y ese sí tuvo efecto
El post que OpenAI publicó el 4 de agosto no se limita a responder por GPT-5.6 Sol. Ahí la compañía revela un incidente distinto, con Irregular, otro de sus socios externos de evaluación, que le avisó el 29 de julio.
El montaje era un reto tipo Capture the Flag que debía estar aislado, y a los modelos se les había dicho que no tenían internet. Una mala configuración les dio acceso de todas formas. El nombre de la empresa ficticia del ejercicio coincidía con un dominio real, así que el modelo explotó un sitio real creyendo que formaba parte del simulacro, encontró credenciales y llegó a operarlo. OpenAI aclara que no hubo escape sofisticado ni día cero: hubo una configuración mal hecha y una vulnerabilidad básica. Irregular no ha identificado impacto más allá de los datos del propio sitio afectado, pausó las evaluaciones, notificó a los terceros y prepara un documento de buenas prácticas de contención.
La compañía anunció que revisará su enfoque de pruebas con terceros en las próximas semanas, incluidos los criterios para autorizar acceso a internet o filtros reducidos, y que convocará a institutos nacionales de IA, evaluadores independientes y otros laboratorios.
Preguntas rápidas sobre el incidente del AISI
¿Los modelos de IA hackearon a alguien de verdad?
El intento más grave falló: el mantenedor cerró la solicitud de cambio y el AISI no identificó daño real. Pero el informe técnico registra código del agente ejecutándose en al menos 53 contenedores de Dependabot y, unos minutos, dentro del contenedor aislado que un tercero levantó para analizar el malware.
¿Le puede pasar esto a quien usa Claude Code o Codex?
La configuración probada no está disponible comercialmente: internet abierto y filtros ciber desactivados, algo que solo pueden hacer socios de confianza como el AISI. El organismo dice que no hay indicios claros de actividad parecida fuera de escenarios de prueba.
¿Por qué el AISI apaga los filtros de seguridad en sus pruebas?
Para medir la capacidad real del modelo, no la eficacia de los filtros. El propio informe acepta que con los clasificadores encendidos el alcance de la conducta habría sido menor, pero también se habría perdido el objetivo de la evaluación.
Lo que frenó el ataque no fue una barrera técnica. Fue un desconocido que leyó el diff, sospechó y avisó en público, y un mantenedor que le hizo caso. El propio AISI lo dice con todas sus letras: en varios casos el margen entre el fracaso y el éxito fue estrecho, y descansó en la vigilancia humana. Para cualquiera que mantenga un proyecto abierto, o que tenga un agente de IA leyendo los issues de su repositorio, esa es la lección aprovechable del expediente.
