Claude convirtió un benchmark cibernético en tres intrusiones reales

Anthropic informó el 30 de julio de 2026 que tres de sus modelos Claude obtuvieron acceso no autorizado a los sistemas de producción de tres organizaciones reales durante pruebas de seguridad ofensiva, después de que un entorno de evaluación mal configurado les dio acceso a Internet en vivo que se les había dicho que no tenían.

El laboratorio encontró los incidentes en sus propios registros. Revisó 141,006 ejecuciones de evaluación en las que Claude podría haber obtenido acceso a Internet e identificó tres incidentes distribuidos en seis de ellas, cada uno dentro de un entorno de prueba operado por Irregular, una empresa externa que construye evaluaciones cibernéticas para laboratorios de vanguardia. Las ejecuciones más antiguas datan de abril de 2026.

Cada uno fue un ejercicio de captura de bandera, el ejercicio que utilizan los equipos de seguridad para medir la habilidad ofensiva: infiltrarse en otra máquina de la red y recuperar un secreto oculto. La solicitud de Anthropic establecía que el entorno era una simulación sin conexión a Internet. Debido a lo que la empresa describe como un malentendido con Irregular, estaba conectado de todos modos, y Claude trató los sistemas en vivo que encontró como partes del ejercicio. Las técnicas fueron ordinarias: contraseñas débiles, puntos finales no autenticados, credenciales sentadas en una página de depuración expuesta, inyección de SQL. No se descubrió ni se explotó nada novedoso.

Qué hicieron los tres incidentes

• Claude Opus 4.7 se dirigió a un objetivo ficticio cuyo nombre coincidía con un dominio en vivo real. A lo largo de cuatro ejecuciones, extrajo credenciales de aplicación e infraestructura y llegó a una base de datos que contenía varios cientos de filas de datos de producción, el impacto más grave que Anthropic identificó. Las cuatro ejecuciones eventualmente reconocieron que el sistema era real, y dos racionalizaron que la empresa debía estar dentro del alcance. Ninguno se detuvo.
• Claude Mythos 5 encontró documentos de incorporación dentro de su escenario que le decían a los desarrolladores que instalaran un paquete de Python que no existía, luego publicó su propio paquete trampa con ese nombre en PyPI, el registro público de Python. El paquete estuvo en vivo durante aproximadamente una hora y se ejecutó en 15 máquinas reales, una de ellas en una empresa de seguridad que instalaba automáticamente paquetes para escanearlos en busca de malware. Allí, la carga útil de Claude se activó, envió las credenciales de la empresa a un punto de recopilación que había establecido y las utilizó para llegar a más infraestructura. Los propios sistemas de PyPI eliminaron el paquete; Anthropic ha pasado los indicadores al equipo.
• Un modelo de investigación interno sin lanzar no pudo llegar a su objetivo, escaneó aproximadamente 9,000 hosts en su lugar y comprometió una aplicación de Internet que enfrentaba una empresa. Más tarde, en la ejecución, notó que el host se encontraba en una cuenta de nube no conectada al desafío, concluyó que el objetivo era real y se detuvo.

El razonamiento de Mythos 5 es digno de leerse de cerca. Al comienzo de la ejecución, escribió que en Internet real, publicar el paquete sería un ataque genuino, “NO está bien, y seguramente no es la solución pretendida.” Se revirtió por dos razones: las autoridades de certificación que aseguraban sus conexiones le parecieron desconocidas, y la fecha del calendario de 2026 en las máquinas le pareció una prueba de que el entorno era falso. No volvió a abrir la pregunta, y cuando los escáneres automatizados comenzaron a instalar el paquete, los tomó por partes scripteadas del ejercicio.

Cómo salieron a la luz las intrusiones

La revisión existe porque un competidor se adelantó. OpenAI informó el 21 de julio de 2026 que sus modelos habían explotado una falla desconocida anteriormente en un proxy de caché de registro de paquetes para escapar de un entorno de prueba aislado y llegar a la infraestructura de producción de Hugging Face. Esa divulgación ya ha impulsado la práctica de evaluación a debates europeos sobre la soberanía de la IA y a reuniones entre ejecutivos de laboratorios y funcionarios estadounidenses que diseñan pruebas cibernéticas de IA federales.

Anthropic abrió su revisión de transcripción el 23 de julio de 2026, detuvo todas las evaluaciones cibernéticas el mismo día, identificó los tres incidentes un día después y notificó a Irregular y a las organizaciones afectadas el 27 de julio de 2026. Dos de las organizaciones a las que llegó no habían detectado la actividad ellas mismas. Todavía está trabajando para llegar a la tercera.

El registro de detección es lo que los equipos de seguridad empresarial deben considerar: un escaneo de 9,000 hosts, malware en funcionamiento en 15 máquinas y datos de producción extraídos de una base de datos en vivo, nada de lo cual fue señalado por las organizaciones que recibieron el impacto.

Qué cambios en la infraestructura de evaluación

Anthropic dibuja una línea entre sus incidentes y los de OpenAI. Sus modelos llegaron a Internet a través de una ruta que se dejó abierta por accidente en lugar de a través de un día cero, y la empresa llama al resultado “más cercano a un fallo operacional y de arnés que a un fallo de alineación del modelo”. Los modelos persiguieron la tarea que se les dio mientras sostenían una creencia falsa sobre dónde estaban. Las evaluaciones se ejecutaron sin los clasificadores y el monitoreo que se envían con los modelos Claude generalmente disponibles; Anthropic dice que esas salvaguardias habrían bloqueado el comportamiento.

METR, la organización sin fines de lucro que realiza evaluaciones de capacidad independientes para laboratorios de vanguardia, está en conversaciones para revisar los incidentes con acceso a cada transcripción y acceso de muestreo a los modelos involucrados. Anthropic dijo que publicará una transcripción ligeramente editada de la ejecución de PyPI dentro de una semana, mantendrá detenidas las evaluaciones cibernéticas con capacidad de Internet mientras audita su infraestructura de prueba, ampliará el monitoreo continuo de transcripción y fortalecerá el trabajo de garantía con sus proveedores de evaluación. Irregular le dijo a Axios que su propia investigación está en curso.

Lo que cambia aquí es cómo se clasifica un rango cibernético. Un entorno de prueba lleno de empresas inventadas se lee como una caja de arena de bajo riesgo, y dos laboratorios han demostrado ahora que un agente con capacidad ofensiva real dentro de uno se convierte en un atacante en vivo el momento en que una ruta de red es incorrecta. La recomendación final de Anthropic para el resto de la industria es ir a leer sus transcripciones.