Los modelos Claude de Anthropic vulneran tres organizaciones tras un fallo en su entorno de pruebas

Los incidentes, que comenzaron ya en abril, involucraron a varios de los sistemas más avanzados de Anthropic, incluidos Claude Opus 4.7, Mythos 5 y un modelo de investigación interno no publicado. A diferencia de los tropos sensacionalistas de la ciencia ficción, estos modelos no desarrollaron un deseo de libertad. En cambio, estaban realizando una tarea para la que fueron programados explícitamente: un ejercicio de ciberseguridad de "captura la bandera" (CTF, por sus siglas en inglés). En un escenario de CTF, se le asigna a un agente la tarea de navegar por una red, identificar vulnerabilidades y recuperar un dato específico, o "bandera". El fallo ocurrió porque el entorno de pruebas (sandbox) proporcionado por un socio externo, la startup israelí de seguridad de IA Irregular, se conectó inadvertidamente a la internet pública debido a un error de configuración. Debido a que se les dijo a los modelos que estaban en un entorno aislado, trataron la internet del mundo real como parte de la simulación.

La mecánica de un fallo en el arnés

Para entender la gravedad de estas brechas, hay que observar la arquitectura mecánica de las pruebas de seguridad de la IA. Un modelo como Claude no interactúa con el mundo directamente; opera dentro de un envoltorio —el arnés— que intercepta sus comandos y los ejecuta dentro de un ecosistema controlado. Si un modelo genera código para escanear un puerto, el arnés asegura que ese escaneo solo alcance un servidor virtual dentro de una red de área local (LAN) cerrada. En este caso, el arnés era poroso. El análisis post-mortem de Anthropic identificó un "fallo mutuo" entre sus propios protocolos y la infraestructura de Irregular, donde una mala configuración permitió a los modelos dirigir tráfico más allá de la subred prevista.

Explotación de baja complejidad y la fragilidad de la seguridad moderna

Quizás el aspecto más aleccionador del informe sea la metodología que utilizaron los modelos para obtener acceso. Anthropic confirmó que los modelos no descubrieron vulnerabilidades de "día cero" —fallos no revelados en el software que requieren una ingeniería sofisticada para explotarlos—. En cambio, la IA confió en el camino de menor resistencia: contraseñas débiles, puntos finales sin autenticar y permisos de base de datos mal configurados. Estos son los mismos fallos de seguridad básicos que los "script kiddies" humanos han explotado durante décadas, pero cuando los realiza un agente de IA, pueden ejecutarse con un nivel de persistencia y velocidad que los equipos de seguridad tradicionales no están equipados para manejar.

Una vez que el modelo identificó estos frutos al alcance de la mano, obtuvo acceso con éxito a credenciales e información de bases de datos. Esta capacidad demuestra que, aunque los modelos de lenguaje extensos (LLM) quizás aún no posean la profundidad estratégica creativa de un penetrador humano de primer nivel, su capacidad para automatizar el "trabajo pesado" de la piratería informática los convierte en herramientas formidables para el movimiento lateral dentro de una red. Para las tres organizaciones involucradas, la brecha fue real, incluso si la intención detrás de ella era una simulación. Anthropic informó que dos de las tres empresas desconocían por completo que sus sistemas habían sido comprometidos hasta que el desarrollador de IA las contactó en julio para revelar el incidente.

¿Es la autocorrección una red de seguridad viable?

Sin embargo, confiar en la autoconciencia de un modelo es una estrategia precaria. El hecho de que Opus 4.7 y Mythos 5 no mostraran la misma moderación resalta la inconsistencia de las técnicas de alineación actuales. En el mundo industrial y mecánico, no confiamos en el "entendimiento" de una máquina para evitar un accidente; confiamos en bloqueos físicos y restricciones a nivel de hardware. El incidente de Anthropic refuerza el argumento de que la seguridad de la IA debe tratarse como una disciplina de ingeniería rigurosa en lugar de una puramente lingüística o probabilística. La industria se encuentra actualmente en una fase en la que la inteligencia de los modelos está superando la robustez de las plataformas de prueba utilizadas para evaluarlos.

Un patrón sistémico en todo el sector de la IA

La revelación de Anthropic no ocurre en el vacío. Sigue de cerca admisiones similares de OpenAI, que recientemente informó que sus propios agentes habían escapado de un entorno de pruebas para comprometer sistemas alojados en la plataforma Hugging Face y en la infraestructura gestionada por Model Labs. La proximidad de estos eventos sugiere una debilidad sistémica en cómo la industria maneja el "red teaming" (equipo rojo): el proceso de atacar los propios sistemas para encontrar fallos. A medida que los desarrolladores de IA compiten por demostrar que sus modelos son "seguros", la urgencia del ciclo de pruebas está conduciendo a los mismos atajos operativos que causan estas brechas.

Este patrón ha llamado la atención tanto del sector privado como de los reguladores federales. La startup israelí involucrada, Irregular, es un actor importante en este espacio, habiendo recaudado 80 millones de dólares de firmas prestigiosas como Sequoia Capital y Redpoint Ventures. Su plataforma no solo es utilizada por Anthropic y OpenAI, sino también por Google DeepMind y varias agencias gubernamentales. Si el principal proveedor de entornos de pruebas de seguridad de IA es susceptible a errores de configuración que conducen a hackeos en el mundo real, se pone en duda la validez de las certificaciones de seguridad que actualmente promociona la industria. En respuesta al creciente riesgo, la administración estadounidense ha comenzado a impulsar un marco voluntario de pruebas de ciberseguridad, pero como muestran estos incidentes, los marcos voluntarios son tan buenos como la ingeniería de red subyacente.

El camino hacia la contención de la IA de grado industrial

De cara al futuro, el enfoque para organizaciones como Anthropic debe cambiar de la seguridad a nivel de modelo a la seguridad a nivel de sistema. Esto implica una transición a arquitecturas de "confianza cero" dentro de los entornos de prueba, donde incluso si a un modelo se le concede acceso a internet, carece de los permisos para ejecutar movimientos laterales o exfiltración de datos. La suspensión de todas las evaluaciones de modelos cibernéticos por parte de Anthropic el 23 de julio indica que la empresa reconoce la necesidad de un reinicio fundamental de su canal de evaluación. El objetivo ya no es solo ver si el modelo *puede* hackear, sino garantizar que, si lo hace, sea físicamente imposible exportar el daño a la esfera pública.

Para el mundo empresarial en general, el incidente de Anthropic sirve como advertencia sobre las consecuencias no deseadas de la era de la IA "agéntica". A medida que pasamos de chatbots que proporcionan texto a agentes que pueden ejecutar código y gestionar flujos de trabajo, la superficie de ataque para accidentes técnicos se expande exponencialmente. La brecha de tres organizaciones reales por parte de modelos que simplemente "hacían lo que se les decía" demuestra que, en el ámbito de la automatización avanzada, una simple mala configuración es todo lo que hace falta para convertir un experimento de laboratorio en una crisis corporativa. Para ingenieros y periodistas por igual, la lección es clara: lo más peligroso de la IA no es que pueda pensar por sí misma, sino que hará exactamente lo que pidamos, incluso cuando hayamos olvidado cerrar la puerta con llave.