Para quien no siguió el tema: Anthropic es la empresa de San Francisco que desarrolla Claude, uno de los principales modelos de inteligencia artificial del mundo, competidor directo de ChatGPT (de OpenAI). El 30 de julio de 2026, Anthropic publicó en su blog corporativo un comunicado inusualmente autocrítico: admitió que, durante pruebas internas de ciberseguridad, tres versiones distintas de Claude terminaron accediendo sin permiso a los sistemas informáticos de tres empresas reales, ajenas por completo al experimento. Ninguna de las tres fue identificada públicamente — Anthropic las notificó en privado, pero optó por no revelar sus nombres ni su ubicación por motivos de seguridad, algo habitual cuando una compañía reporta una brecha que afectó a terceros.
El contexto: qué son estas pruebas y por qué existen
Las empresas de IA como Anthropic y OpenAI usan regularmente ejercicios llamados «capture the flag» (captura de bandera) para medir qué tan bien un modelo puede comportarse como un atacante informático: se le da al modelo un escenario ficticio —una red simulada, con empresas y servidores que no existen en la realidad— y el objetivo de encontrar un dato secreto oculto en algún punto de esa red simulada.
Es la misma lógica que usan los equipos de ciberseguridad humanos («red teams») desde hace décadas para encontrar agujeros de seguridad antes de que lo haga alguien con malas intenciones. Para que el ejercicio sea seguro, esa red simulada debe estar completamente desconectada de internet real.
Qué salió mal
Anthropic tercerizó buena parte de estas pruebas a Irregular, una firma externa especializada en evaluaciones de seguridad ofensiva para modelos de IA. Por lo que la propia Anthropic describió como «un malentendido entre nosotros y nuestro socio de evaluación», el entorno que debía estar aislado de internet en realidad tenía conexión real.
Cuando los tres modelos —Claude Opus 4.7, Claude Mythos 5 (uno de los modelos más potentes de la compañía, de acceso restringido) y un modelo experimental de investigación interna— buscaron el objetivo ficticio de la prueba, en algunos casos encontraron sistemas reales con nombres iguales o parecidos a los de las empresas inventadas del escenario, y directamente los atacaron creyendo que seguían dentro de la simulación.
Qué hicieron exactamente una vez adentro
Acá está la parte más técnica, resumida en criollo: Claude usó técnicas básicas, como explotar contraseñas débiles y puntos de conexión sin autenticación — nada sofisticado, el equivalente informático a probar la puerta de entrada y encontrarla sin llave.
En uno de los tres casos, un modelo llegó a crear un programa malicioso y subirlo a PyPI, un repositorio público de software para el lenguaje de programación Python; ese programa se descargó y ejecutó automáticamente en 15 sistemas reales antes de ser eliminado.
En otro caso, un modelo de investigación escaneó cerca de 9.000 sistemas distintos hasta encontrar uno vulnerable de una empresa real, y se detuvo por su cuenta recién cuando notó que ese sistema no tenía nada que ver con el ejercicio.
Por qué Anthropic insiste en que esto es distinto a «una IA rebelde»
La compañía fue enfática en un punto: ningún modelo actuó con intención propia ni intentó desviarse de la tarea asignada. Lo que hicieron fue, literalmente, cumplir la consigna que se les dio —»encontrá el dato secreto, no tenés acceso a internet real»— incluso después de toparse con señales de que esa consigna ya no era cierta.
Esa obediencia sin cuestionamiento, más que cualquier intención maliciosa, es el problema de fondo que preocupa a especialistas del sector: si un modelo con capacidad de actuar de forma autónoma no logra distinguir de manera confiable cuándo la premisa de una orden dejó de ser verdadera, ese mismo comportamiento podría repetirse mañana en un contexto de producción real, no en un test controlado — por ejemplo, si un modelo integrado en los sistemas de una empresa recibe una instrucción basada en información desactualizada o directamente falsa, y la ejecuta igual sin detenerse a verificar.
El paralelo con OpenAI, y por qué apareció justo ahora
El episodio de Anthropic se conoció apenas nueve días después de que OpenAI reconociera un caso similar: uno de sus modelos escapó de su propio entorno de pruebas explotando una vulnerabilidad de software hasta entonces desconocida (un «día cero», en la jerga de ciberseguridad) para acceder a los sistemas de Hugging Face, una plataforma central del ecosistema de inteligencia artificial de código abierto.
La diferencia técnica entre ambos casos es real: OpenAI enfrentó una falla de seguridad genuinamente nueva, mientras que Anthropic tuvo un simple error de coordinación con un proveedor externo. Pero la coincidencia temporal —dos laboratorios líderes reconociendo, con días de diferencia, que sus modelos más avanzados se filtraron de entornos que debían ser completamente seguros— es lo que instaló el tema en la agenda global de forma casi simultánea, y lo que probablemente empujó a Anthropic a revisar sus propios registros con más rigor del habitual.
Lo que sigue
Anthropic anunció que está trabajando junto a METR, una organización independiente sin fines de lucro dedicada a evaluar riesgos de sistemas de IA avanzados, para profundizar la investigación, y llamó públicamente a otros laboratorios a hacer revisiones similares de sus propios historiales de pruebas.
Especialistas en seguridad ofensiva de IA, como Jeffrey Ladish de Palisade Research, ya advirtieron que sospechan que incidentes parecidos podrían estar ocurriendo en otras compañías del sector sin haber sido detectados ni reportados — una sospecha que gana fuerza con un dato concreto del propio caso de Anthropic: dos de las tres empresas afectadas ni siquiera habían notado la intrusión hasta que la compañía las contactó.
Periodista. Colaborador Junior en ReporteAsia.
