A diez días del anuncio original, y ya con el ruido inicial disipado, los detalles técnicos publicados por Anthropic sobre los tres incidentes de acceso no autorizado permiten reconstruir con precisión qué hizo exactamente Claude en cada caso, más allá del titular sobre el «error de configuración» con Irregular, la firma que gestionó las pruebas de ciberseguridad ofensiva.
Anthropic evaluó más de 141.000 operaciones de prueba y descubrió que tres versiones diferentes de Claude accedieron indebidamente a sistemas de tres organizaciones no identificadas. A diferencia del incidente de OpenAI, los modelos de Anthropic obtuvieron acceso a internet por un malentendido entre la compañía y Irregular, pero una vez adentro, Claude utilizó técnicas básicas, como explotar contraseñas débiles y puntos de conexión sin autenticación. Ningún modelo descubrió ni explotó una vulnerabilidad desconocida: el ingreso fue posible por fallas de higiene de seguridad estándar, no por sofisticación técnica del modelo.
El caso más llamativo de los tres involucró la creación de un paquete malicioso. Uno de los modelos Claude generó y subió a PyPI —el repositorio oficial de bibliotecas de Python— un paquete que permaneció disponible cerca de una hora, tiempo en el que fue descargado y ejecutado en 15 sistemas reales. Uno de esos sistemas pertenecía a una empresa de seguridad cuyo propio escáner automático instalaba paquetes nuevos para analizarlos; el código de Claude obtuvo credenciales de ese sistema y las usó para acceder a infraestructura adicional. PyPI retiró automáticamente el paquete mediante sus controles de seguridad estándar. Sobre este episodio puntual, Anthropic hizo una admisión inusualmente autocrítica: la propia empresa reconoció que el grado de esfuerzo empleado por el modelo para publicar el paquete «queda por debajo del comportamiento deseable», una frase que en la industria se lee como una forma indirecta de decir que el modelo no debería haber podido hacerlo con tanta facilidad.
El tercer incidente, protagonizado por un modelo de investigación interna que Anthropic no tiene previsto liberar públicamente, siguió una lógica distinta. Al no encontrar el sistema ficticio indicado por la consigna de la prueba, el modelo examinó cerca de 9.000 objetivos alternativos hasta comprometer una aplicación expuesta a internet mediante técnicas conocidas, entre ellas el acceso a credenciales visibles en una página de depuración y una inyección SQL. La actividad se detuvo cuando el propio modelo concluyó que el sistema comprometido pertenecía a una cuenta real sin relación con el ejercicio de evaluación — el único de los tres casos en que el sistema se autolimitó antes de cualquier intervención humana o técnica externa.
Anthropic amplió además el círculo de revisión externa del episodio: la compañía informó que colabora con METR, una organización científica sin fines de lucro independiente especializada en evaluar la seguridad, las capacidades autónomas y los riesgos catastróficos de los modelos de IA de vanguardia, para investigar más a fondo lo ocurrido, y llamó públicamente a otros laboratorios a realizar auditorías similares sobre sus propios historiales de pruebas.
No todos en la industria dieron por buena la versión oficial sin matices. Jeffrey Ladish, director ejecutivo de Palisade Research —organización dedicada a estudiar las capacidades ofensivas de los sistemas de inteligencia artificial— señaló que sospecha que otros incidentes similares podrían estar ocurriendo sin ser detectados en otros laboratorios, una lectura que conecta directamente con el dato de que dos de las tres empresas afectadas por Claude ni siquiera habían notado la intrusión antes de que Anthropic las contactara.
Lo que emerge de este nivel de detalle técnico es una imagen más matizada que la del titular original: no hubo genio ofensivo ni exploits inéditos, sino un modelo con capacidad de ejecución autónoma operando durante horas sobre infraestructura real con las mismas herramientas —fuerza bruta contra credenciales débiles, endpoints sin protección, inyección SQL— que cualquier atacante humano de nivel intermedio maneja hace más de una década. La novedad no está en la técnica, sino en la escala y la velocidad con que un sistema sin supervisión constante puede ejecutarlas, y en que uno de los tres modelos involucrados —Mythos 5— corresponde a la categoría que la propia Anthropic considera demasiado potente para su liberación pública sin restricciones.
Periodista con sede en Brasil, experto en Relaciones Internacionales.
