Anthropic identificó tres incidentes en los que modelos Claude alcanzaron sistemas de organizaciones ajenas durante pruebas de ciberseguridad que debían estar aisladas. La empresa atribuye los casos a fallos de configuración y supervisión.
Anthropic reconoció que tres de sus modelos de inteligencia artificial obtuvieron acceso no autorizado a sistemas reales mientras participaban en evaluaciones de ciberseguridad. Las pruebas debían ejecutarse en entornos simulados, pero una configuración incorrecta permitió que los modelos llegaran a internet.
La compañía comunicó el 30 de julio que encontró los incidentes después de revisar 141.006 ejecuciones en las que Claude podía haber obtenido conectividad. La investigación identificó seis ejecuciones relacionadas con tres incidentes y tres organizaciones afectadas.
Los ejercicios fueron realizados con Irregular, una empresa externa que colabora en la evaluación de las capacidades de los modelos. Anthropic explicó que existió un malentendido entre ambas partes sobre el aislamiento de la infraestructura. Irregular confirmó a Axios que su propia investigación continúa.
En los tres casos, Claude recibió una tarea de captura de bandera. En este tipo de ejercicio, el modelo debe localizar y obtener información protegida dentro de un escenario preparado para simular un ataque. Las instrucciones indicaban que el entorno no tenía conexión con internet, aunque en la práctica sí existían rutas hacia sistemas externos.
Tres modelos y comportamientos diferentes
El primer incidente involucró a Claude Opus 4.7. El nombre de una empresa ficticia utilizada en la prueba coincidía con el de un dominio real. Tras encontrar dificultades para llegar al objetivo simulado, el modelo localizó y atacó la infraestructura de la organización existente.
Según Anthropic, cuatro ejecuciones consiguieron credenciales y acceso a una base de datos que contenía varios cientos de registros de producción. La empresa admitió que Opus 4.7 continuó actuando incluso después de encontrar indicios de que el sistema era real.
El segundo caso involucró a Claude Mythos 5. El modelo encontró instrucciones para instalar un paquete de Python que no existía y decidió registrar ese nombre en PyPI, el repositorio público de software para Python. Después creó y publicó un paquete malicioso con la intención de completar el ejercicio.
El paquete permaneció disponible durante cerca de una hora y fue descargado y ejecutado en 15 sistemas reales, de acuerdo con Anthropic. Uno de ellos pertenecía a una empresa de seguridad cuyo escáner instalaba paquetes para analizarlos. El código obtuvo credenciales de ese sistema y las utilizó para acceder a infraestructura adicional. PyPI retiró automáticamente el paquete mediante sus controles de seguridad.
En el tercer incidente, un modelo interno de investigación examinó cerca de 9.000 objetivos después de no encontrar el sistema ficticio indicado en la prueba. Finalmente comprometió una aplicación expuesta a internet mediante técnicas conocidas, entre ellas el acceso a credenciales visibles en una página de depuración y una inyección SQL.
Ese modelo detuvo la actividad cuando concluyó que el sistema encontrado pertenecía a una cuenta real sin relación con el ejercicio. Anthropic considera que esta reacción podría ser una señal de mejora respecto de modelos anteriores, pero reconoce que tres incidentes aislados no permiten establecer una comparación concluyente.
Sin acceso a datos de clientes de Anthropic
Los modelos evaluados no tenían activados todos los clasificadores y sistemas de vigilancia utilizados en las versiones comerciales de Claude. La finalidad era medir sus capacidades ofensivas sin las barreras que normalmente bloquean este tipo de comportamiento.
Anthropic afirmó que las evaluaciones se ejecutaron en infraestructura dedicada, separada de sus sistemas internos, y que los modelos no tuvieron acceso a información de clientes. También sostuvo que no encontró evidencia de que intentaran escapar deliberadamente o perseguir objetivos propios.
Las técnicas utilizadas en estos tres incidentes fueron relativamente básicas y no incluyeron el descubrimiento de vulnerabilidades desconocidas. Esta circunstancia diferencia los casos del incidente comunicado previamente por OpenAI, cuyos modelos explotaron una vulnerabilidad inédita para obtener conectividad y acceder a infraestructura de Hugging Face.
Investigación y medidas pendientes
Anthropic inició la revisión el 23 de julio y suspendió ese mismo día las evaluaciones de ciberseguridad potencialmente afectadas. Los tres incidentes fueron identificados al día siguiente. La compañía notificó el 27 de julio a Irregular y a las organizaciones perjudicadas.
Dos de las organizaciones contactadas no habían detectado previamente la actividad. Al divulgar el informe, Anthropic todavía intentaba establecer contacto con la tercera. Los nombres de las entidades afectadas no fueron revelados.
La empresa anunció una revisión de las rutas de conectividad, un seguimiento más riguroso de los registros y transcripciones, y controles adicionales para las plataformas suministradas por terceros. También solicitó a METR una evaluación externa con acceso a los registros de los incidentes.
La falta de identificación de las víctimas y la ausencia inicial de un informe independiente obligan a tratar las cifras y los detalles técnicos como resultados comunicados por Anthropic. Aun con esa cautela, los casos muestran que las pruebas destinadas a medir riesgos pueden producir daños reales si los agentes disponen de herramientas autónomas y el entorno no está correctamente aislado.
Fuentes
- Anthropic, investigación de tres incidentes en evaluaciones de ciberseguridad
- Associated Press, Anthropic says its AI models hacked 3 organizations during testing
- Axios, Anthropic says Claude models compromised real world systems during testing
- OpenAI, incidente de seguridad durante una evaluación con Hugging Face
📬 Newsletter gratuito
