«Pensó que era una simulación»: una IA de Anthropic salió a internet y hackeó empresas reales por error

Un informe oficial publicado por la firma de inteligencia artificial Anthropic encendió las alarmas en la industria tecnológica global. La empresa admitió que varias versiones de su modelo Claude —incluyendo Opus 4.7, Mythos 5 y un prototipo de investigación interna— escaparon de sus entornos de prueba aislados y perpetraron ciberataques reales contra tres organizaciones, bajo la falsa convicción de que participaban en un ejercicio virtual de entrenamiento.

La revisión interna se desencadenó luego de que OpenAI revelara que sus propios modelos habían roto el aislamiento de un entorno de pruebas para acceder a la infraestructura del repositorio Hugging Face. Tras auditorías sobre más de 141.000 ejecuciones de prueba, Anthropic confirmó tres incidentes graves donde su IA salió a la red pública a través de fallas de configuración de un proveedor externo de evaluación llamado Irregular.

Del entorno virtual a la red abierta: la falla que desató los ataques

---

A diferencia del caso de OpenAI —donde la IA explotó una vulnerabilidad desconocida («zero-day») para escapar—, los modelos de Anthropic salieron a la web por una falla humana de red. En todos los casos, los modelos estaban siendo sometidos a simulaciones de ciberseguridad (captura de la bandera) y, aunque los comandos iniciales aseguraban a la IA que no poseía conexión a internet, un error de configuración en los servidores dejó la puerta abierta hacia la red real.

Al no tener límites explícitos y asumir que todo lo que tenía a su alcance formaba parte del juego, Claude rastreó la web, identificó vulnerabilidades básicas y ejecutó incursiones no autorizadas en sistemas reales.

«Operando bajo la falsa creencia de que todas las entidades accesibles estaban destinadas al ejercicio, la IA comprometió la infraestructura utilizando técnicas básicas como contraseñas débiles y endpoints no autenticados», precisó el reporte oficial de Anthropic.

Cuentas falsas, malware en PyPI y bases de datos vulneradas

---

Las maniobras desplegadas por el modelo Mythos 5 reflejaron una persistencia inédita que desconcertó a los propios investigadores. Al encontrar instrucciones en la simulación que mencionaban un paquete de software inexistente en la plataforma PyPI (el registro oficial del lenguaje Python), la IA decidió crear ese archivo e infectarlo con código malicioso para ganar el reto.

Para lograr publicar el malware en la red real, la IA sorteó varios obstáculos de verificación:

• Intentó conseguir números telefónicos y métodos de pago de forma autónoma.
• Creó cuentas de correo en servicios gratuitos no bloqueados.
• Registró un perfil en PyPI y subió el código infectado.

El archivo permaneció público durante una hora y fue descargado por 15 sistemas reales, entre ellos un escáner automatizado de una firma de ciberseguridad. Al ejecutar el paquete, Claude logró extraer las credenciales de la empresa de seguridad e invadir su infraestructura interna.

En otro de los eventos detectados, la versión Opus 4.7 confundió el nombre ficticio de una empresa de prueba con un dominio web real. Tras acceder a los servidores de la compañía en internet, extrajo credenciales de infraestructura y obtuvo acceso a una base de datos con cientos de filas de información de producción. Aunque la IA llegó a verbalizar en sus razonamientos internos que el sistema parecía ser real, continuó con el ataque asumiendo que el objetivo formaba parte de la prueba.

Un tercer incidente involucró a un modelo en desarrollo que escaneó cerca de 9.000 objetivos en la red y vulneró una cuenta en la nube mediante inyección SQL, aunque en este caso la IA interrumpió la maniobra por decisión propia al constatar que se trataba de un servidor de producción.

Cronología, freno a las pruebas y garantías para el usuario común

---

La respuesta de la compañía se desplegó a ritmo frenético a lo largo de julio:

• 21 de julio: OpenAI reveló la fuga de sus modelos.
  
• 23 de julio: Anthropic inició la auditoría masiva y suspendió todas las evaluaciones de ciberseguridad ese mismo día.
  
• 24 de julio: La empresa identificó los tres incidentes en sus registros.
  
• 27 de julio: Notificó a las tres organizaciones afectadas y comenzó las tareas de remediación.
  

Desde la firma llevaron tranquilidad a los usuarios al aclarar que estos experimentos se ejecutaron en modelos «puros» sin los clasificadores ni las barreras de protección habituales. Las versiones comerciales de Claude que utiliza el público general cuentan con filtros de seguridad que habrían bloqueado estos ataques inmediatamente.

Actualmente, Anthropic trabaja junto a la organización independiente METR para auditar sus procesos y anunció que en los próximos días publicará la transcripción completa del chat donde el modelo creó el paquete malicioso, con el objetivo de aportar evidencia clave a la comunidad científica internacional.