El 30 de julio Anthropic publicó un reporte que ninguna empresa publica por gusto: revisó 141.006 corridas de sus propias evaluaciones de ciberseguridad y encontró tres casos en que un modelo Claude salió a internet desde un entorno que se suponía sellado y entró sin autorización a la infraestructura de producción de tres organizaciones reales.

Los primeros casos datan de abril.

Lo que me interesa no es el hackeo. Es cómo se enteraron. El monitoreo de Anthropic no levantó la mano. La revisión arrancó porque OpenAI publicó su propio incidente el 21 de julio, el caso del agente que escapó y hackeó a Hugging Face, y eso llevó a Anthropic a mirar hacia atrás en sus transcripciones a ver si a ellos les había pasado lo mismo.

Les había pasado. Tres veces.

Las empresas hackeadas tampoco se habían dado cuenta

Hay una frase enterrada a la mitad del reporte de Anthropic que vale más que todo el resto del documento para cualquiera que esté por soltar un agente contra sus sistemas internos: “The two organizations we were able to reach had not previously detected the activity or contacted us” (“Las dos organizaciones que logramos contactar no habían detectado la actividad previamente ni se habían comunicado con nosotros”).

Léelo otra vez. Un modelo de frontera entró a la infraestructura de producción de esas empresas, sacó credenciales de aplicación y de infraestructura, llegó a una base de datos con varios cientos de filas de datos de producción, y el equipo de seguridad de la víctima no vio nada. Durante meses.

Y no lo logró con nada exótico. Anthropic es explícito: contraseñas débiles, endpoints sin autenticación, páginas de debug expuestas, inyección SQL. “It did not find or exploit any complex vulnerabilities” (“No encontró ni explotó ninguna vulnerabilidad compleja”). Esto es el examen básico de higiene de seguridad, y tres organizaciones lo reprobaron sin enterarse.

Ahí está la conclusión que casi nadie sacó de este reporte. Si el laboratorio que construye el modelo necesita una revisión retrospectiva de 141.006 transcripciones para descubrirlo, y las empresas del otro lado no lo detectaron nunca, entonces tu monitoreo tampoco lo va a ver. No porque tu equipo sea peor. Porque el evento no se parece a nada que tu detección esté buscando: es tráfico autenticado, con credenciales válidas, hecho por un sistema que cree que está haciendo su trabajo.

Esto es exactamente el argumento que ya defendí cuando escribí que el modelo es commodity y la gobernanza es el moat (ventaja competitiva). La torre de control no es un tablero bonito de métricas. Es la capacidad concreta de responder tres preguntas en cualquier momento: qué agentes están corriendo, qué pueden alcanzar, y quién revisa lo que hicieron. En AI Maestro, el discovery empieza por inventariar salidas de red antes de tocar el tema de qué modelo usar, porque la respuesta a “qué modelo” cambia cada seis meses y la respuesta a “qué puede alcanzar” define tu exposición durante años.

Lo que pasó, con fechas y números

Vale la pena la precisión, porque la cobertura resumió esto como “Claude hackeó a tres empresas” y el detalle importa.

Anthropic corre evaluaciones de ciberseguridad desde febrero de 2025. En estas, el modelo recibe un escenario ficticio de capture-the-flag: hay un dato secreto escondido en otra máquina de la red y el objetivo es entrar y sacarlo. El reto es abierto a propósito, sin método prescrito. Y el prompt le decía a Claude, de forma explícita, que estaba en una simulación sin acceso a internet.

No lo estaba. En palabras de Anthropic: “Due to a misunderstanding between us and our evaluation partner, this was not the case, and internet access was available” (“Por un malentendido entre nosotros y nuestro socio de evaluación, ese no era el caso, y sí había acceso a internet disponible”). El socio es Irregular, que diseña y corre parte de estas evaluaciones y está haciendo su propia investigación en paralelo.

La cronología es corta y dice mucho:

• 21 de julio: OpenAI publica su incidente con Hugging Face.
• 23 de julio: Anthropic empieza a revisar transcripciones y detiene todas sus evaluaciones de ciberseguridad ese mismo día.
• 24 de julio: identifica los tres incidentes.
• 27 de julio: notifica a Irregular y a las tres organizaciones afectadas.
• 30 de julio: publica el reporte.

Cuatro días desde el primer indicio hasta la notificación a las víctimas. Eso es una respuesta rápida y hay que decirlo. Pero fueron cuatro días encima de más de tres meses de silencio, y ese silencio es el dato que importa para el resto de nosotros.

Los tres incidentes se repartieron en seis corridas, cuatro de las cuales golpearon a la misma organización. Los modelos corrían sin los clasificadores ni el monitoreo que Anthropic despliega en producción, porque el punto de una evaluación de capacidad es medir qué puede hacer el modelo desnudo. Anthropic aclara que las salvaguardas de los modelos públicos habrían bloqueado estas conductas, y que la infraestructura de evaluación está separada de sus sistemas internos y de datos de clientes.

Tres modelos, la misma señal, tres reacciones distintas

Esta es la parte del reporte que menos se comentó y la que más dice sobre hacia dónde va el problema.

Claude Opus 4.7 se topó con que la empresa ficticia del ejercicio compartía nombre con un dominio real y activo. Cuando no logró llegar al objetivo simulado, encontró la empresa real por internet, la atacó, y sacó credenciales y datos de producción. En las cuatro corridas el modelo terminó reconociendo, en su razonamiento visible, que el sistema era real. En dos casos se convenció de que la empresa real “debía” ser parte del ejercicio. Ninguna corrida se detuvo por eso.

Claude Mythos 5 encontró dentro del entorno ficticio un documento de instrucciones de instalación que mandaba a instalar un paquete de Python que no existía en PyPI. Vio la apertura: si publicaba su propio paquete con ese nombre, los sistemas de la empresa ficticia lo instalarían solos. Y se metió en un procedimiento largo para lograrlo. Necesitaba una cuenta de PyPI, para eso un correo, para el correo un número de teléfono, y cuando no encontró un servicio gratuito intentó conseguir fondos para pagar uno. Al final retrocedió, encontró un proveedor de correo gratuito sin bloqueo, y subió el malware.

El paquete estuvo público alrededor de una hora. Se descargó y se ejecutó en 15 sistemas reales. Uno de ellos era el scanner de una empresa de seguridad que instala paquetes de Python de rutina para analizarlos. El código de Claude se ejecutó ahí, exfiltró las credenciales de esa empresa a un punto de recolección que el propio modelo había armado, y con esas credenciales entró a más infraestructura suya. Una empresa que Claude no estaba atacando y cuya existencia ni siquiera conocía.

Lo más revelador es el razonamiento del modelo. Temprano en la corrida notó, correctamente, que si esto era internet real publicar el paquete sería un ataque de verdad: “NOT okay, and surely not the intended solution” (“NO está bien, y desde luego no es la solución esperada”). Y después se convenció de lo contrario con dos argumentos: no reconocía las autoridades certificadoras de sus conexiones (que eran genuinas), y la fecha de 2026 en los sistemas le pareció prueba de que el entorno era montado. Nunca volvió a revisar esa conclusión.

El modelo interno de investigación, el más reciente de los tres, escaneó unos 9.000 objetivos cuando no pudo alcanzar su blanco ficticio, comprometió la aplicación expuesta de una empresa, y luego se dio cuenta de que el host que había comprometido estaba en una cuenta de nube sin ninguna relación con el reto. Concluyó por su cuenta que el objetivo era real y detuvo el ataque.

Anthropic advierte, con razón, que tres incidentes aislados no son un experimento controlado. Pero el patrón es el que uno esperaría querer: el modelo más nuevo fue el único que paró solo. Y aun así llegó más lejos de lo que Anthropic hubiera querido antes de parar.

Tu proveedor de IA tiene proveedores, y esos también te alcanzan

Anthropic clasifica esto como “closer to a harness and operational failure than a model alignment failure” (“más cercano a una falla de arnés y de operación que a una falla de alineamiento del modelo”). Es una lectura defendible, y hay que reconocerle a Anthropic dos cosas que no eran obligatorias: publicó el reporte completo con nombres de modelos, y está negociando con METR una revisión externa con acceso a las transcripciones.

Pero el analista Janakiram MSV puso el dedo en la llaga en Forbes: “neither lab appears to have had controls that detected and stopped the relevant activity at the point of escape” (“ninguno de los dos laboratorios parece haber tenido controles que detectaran y detuvieran la actividad en el punto de escape”). Medir capacidad justifica apagar los rechazos de seguridad del modelo. No justifica apagar la contención ni la detección. Y su primera pregunta para cualquier empresa es la que yo llevaría a la próxima reunión con tu proveedor: quién corre las pruebas de capacidad de tu proveedor de IA, quién audita el aislamiento de red de ese tercero, y qué protocolo de notificación aplica cuando una evaluación toca sistemas externos.

Esa cadena es real y llega hasta ti aunque no la veas. Anthropic contrata a Irregular, Irregular monta el entorno, el entorno tiene una salida que nadie validó, y el resultado aterriza en la base de datos de producción de una empresa que ni siquiera sabía que existía esta conversación. TechCrunch lo resumió bien: dos laboratorios de frontera, el mismo modo de falla, descubierto en ambos casos por accidente y no por diseño.

En IQ Source, cuando entramos a un proyecto de agentes, lo primero que levantamos no es el catálogo de casos de uso. Es el mapa de todo componente del stack tecnológico con cualquier salida hacia una red externa, incluyendo los proxies de paquetes, los runners de CI y los servicios de terceros que alguien conectó hace dos años y nadie volvió a mirar. Después definimos quién aprueba qué acción del agente y dónde queda el registro. Ese orden no es negociable, porque un agente conectado a un stack que nadie mapeó no es una funcionalidad: es una superficie de ataque con permisos de empleado.

La pregunta que dejan estos dos incidentes no es si tu proveedor de IA es serio. Anthropic y OpenAI lo son, y les pasó igual. Es si tú puedes responder, hoy, qué encontraría una revisión retrospectiva de tus propios registros de los últimos tres meses.

Levanta el mapa de lo que tus agentes pueden alcanzar hoy