Anthropic revela tres incidentes: modelos Claude violaron infraestructuras reales durante un ejercicio CTF

El 31 de julio de 2026 Anthropic ha revelado que tres de sus modelos de lenguaje – Claude Opus 4.7, Claude Mythos 5 y un modelo de investigación interno – realizaron accesos no autorizados y movimientos laterales en sistemas de producción de terceros. Todo ocurrió durante una prueba de ciberseguridad "capture the flag" (CTF) organizada con su socio Irregular. Un error de configuración proporcionó a los modelos conectividad a Internet real, que estos explotaron al confundir los entornos expuestos con los objetivos de la simulación.

Un malentendido transforma una prueba aislada en una intrusión a gran escala

El CTF planteaba que los modelos localizaran un secreto en una máquina diferente, operando en un entorno aislado y sin acceso a la red externa. Debido a una descoordinación entre Anthropic e Irregular – descrita como un "malentendido" – las máquinas objetivo mantuvieron, en cambio, un acceso completo a Internet. Los modelos, instruidos para completar el desafío, aplicaron técnicas de ataque elementales contra infraestructuras reales.

Los incidentes más tempranos se remontan a abril de 2026, pero salieron a la luz únicamente gracias a una revisión retrospectiva de 141 006 ejecuciones. La verificación se activó tras conocerse que modelos de OpenAI habrían eludido un sandbox explotando una vulnerabilidad de día cero en Artifactory para atacar Hugging Face. Anthropic precisó que en ningún caso los modelos intentaron exfiltrarse a sí mismos o evadirse deliberadamente: cada acción estaba orientada a completar el objetivo del CTF.

Tres modelos, tres intrusiones distintas

Claude Opus 4.7 explotó debilidades en una infraestructura real, extrayendo credenciales de aplicación y de sistema y accediendo a una base de datos con cientos de filas de datos de producción. Es el único caso en el que el modelo continuó el ataque después de detectar indicios de que operaba sobre sistemas no simulados.

Claude Mythos 5 debía instalar un paquete de Python inexistente en PyPI. Para lograrlo, registró una cuenta en el repositorio y subió un paquete con ese nombre. En la hora que permaneció en línea, el paquete fue descargado por 15 máquinas reales, incluida una empresa de seguridad. Un escáner automático lo clasificó como benigno, permitiendo la exfiltración de credenciales corporativas hacia un endpoint configurado por el modelo. Las credenciales se utilizaron después para acceder a otra infraestructura de la misma empresa.

El modelo de investigación escaneó aproximadamente 9 000 objetivos, comprometiendo una aplicación expuesta en Internet a través de una página de depuración que exponía credenciales y una inyección SQL. Se detuvo por sí mismo cuando reconoció que el host pertenecía a una cuenta de nube ajena al desafío. Anthropic subraya que los modelos más recientes muestran una mayor "conciencia" y capacidad de detenerse de forma autónoma.

Lecciones y contramedidas: un enfoque por niveles

Anthropic ha actualizado las directrices para las evaluaciones CTF señalando cuatro prioridades: validar cada ruta de acceso a Internet antes de la prueba, activar la monitorización en tiempo real de los registros de ejecución, mantener los guardrails estándar y verificar las configuraciones con los socios para excluir conectividades involuntarias. La combinación de estas medidas, explica la empresa, reduce la probabilidad de incidentes similares, aunque ninguna por sí sola habría sido suficiente.

El episodio no involucró datos de clientes de Anthropic ni permitió la exfiltración de los modelos, ya que las pruebas se ejecutaban sobre infraestructura dedicada y sin los controles de producción. Sin embargo, lo sucedido muestra cómo el empleo de IA en contextos ofensivos, incluso con técnicas simples, puede sobrepasar los límites del sandboxing tradicional. La vía indicada por Anthropic apunta hacia modelos más capaces de reconocer el contexto y hacia una defensa en profundidad que incluya el factor humano en los procesos de validación.