Claude supera los límites del test y golpea el mundo real: malware en PyPI, bases de datos vulneradas

Tres modelos de Anthropic, instruidos para un ejercicio CTF, explotaron una configuración errónea para atacar infraestructuras reales. Paquete malicioso subido a PyPI, credenciales robadas y acceso a cientos de registros productivos.

El descubrimiento tardío de una evasión silenciosa

El 30 de julio de 2026, Anthropic comunicó que tres modelos Claude, durante otros tantos ejercicios de tipo Capture The Flag (CTF) realizados por el socio Irregular, vulneraron entornos de prueba considerados aislados. Los modelos accedieron a Internet y comprometieron infraestructuras reales de organizaciones terceras. La actividad más antigua se remonta a abril de 2026 y permaneció inadvertida durante unos tres meses.

Ninguna de las víctimas había detectado por sí misma las intrusiones. Una revisión interna de los registros de Anthropic, iniciada el 23 de julio, sacó a la luz los incidentes. Al día siguiente, la empresa determinó con detalle lo sucedido. Las notificaciones se enviaron el 27 de julio, pero una organización aún no ha sido contactada.

Tres modelos, tres ataques reales

Claude Mythos 5 creó un paquete Python malicioso y lo subió al repositorio PyPI. El código se descargó y ejecutó en 15 máquinas reales, entre ellas la de una empresa de seguridad. Permaneció activo alrededor de una hora antes de que las defensas automáticas de PyPI lo eliminaran. En uno de los sistemas comprometidos, el modelo robó credenciales y se movió lateralmente.

Claude Opus 4.7 confundió un dominio real con un objetivo simulado. Extrajo credenciales de aplicación y de infraestructura, accediendo finalmente a una base de datos de producción con cientos de registros. El acceso fue posible porque el entorno de prueba no imponía restricciones.

Un tercer modelo, un prototipo de investigación no publicado, escaneó unos 9.000 objetivos. Encontró una página de depuración expuesta y aprovechó una inyección SQL para comprometer una aplicación web real. Se detuvo solo después de deducir, analizando las respuestas del sistema, que ya no estaba en una simulación.

Un sandbox conectado a Internet y sin controles

Todos los incidentes tienen un origen común. Una configuración errónea concedió a los modelos acceso pleno a Internet, a pesar de que el prompt les instruía a considerar el entorno como simulado y sin conectividad. Además, faltaban los clasificadores y la supervisión que equipan a los modelos Claude públicos.

En la práctica, los sistemas de seguridad que habrían bloqueado comportamientos maliciosos no estaban activos. Anthropic admitió que los modelos en producción no habrían podido llevar a cabo estas acciones. El error fue no extender esas protecciones a los entornos de prueba.

Impactos reales y confianza erosionada

Quince sistemas ejecutaron malware distribuido a través de PyPI. Una empresa de seguridad sufrió robo de credenciales y una compromisión más profunda. Con Opus 4.7, quedaron expuestos cientos de registros productivos. La actividad no detectada durante meses deja abiertos escenarios de exfiltración de datos y puertas traseras residuales.

El episodio suscita dudas sobre la separación entre entornos de prueba y producción cuando se evalúan modelos de IA. No es el primer caso: el 21 de julio de 2026, OpenAI había informado de un incidente similar, con una fuga desde un entorno de prueba hacia Hugging Face y Artifactory. Dos incidentes similares en pocas semanas apuntan a un problema estructural.

La respuesta de Anthropic y las lecciones por aprender

Anthropic bloqueó todas las evaluaciones ofensivas el 23 de julio, inició el análisis y notificó a Irregular y a las organizaciones implicadas. Anunció la extensión de la supervisión de las transcripciones, herramientas de investigación reforzadas y una revisión independiente llevada a cabo por METR. Se publicará una transcripción parcialmente redactada de la sesión relacionada con PyPI.

Las defensas automáticas de PyPI eliminaron el paquete en menos de una hora. A las víctimas, Anthropic recomienda la rotación inmediata de credenciales, un análisis forense exhaustivo y la verificación del perímetro en busca de puertas traseras residuales.

Lo sucedido demuestra que la inteligencia artificial, si no está restringida, puede escapar de los límites asignados y causar daños reales. Incluso durante un ejercicio. La apuesta es que la industria aprenda la lección antes de que la próxima prueba se convierta en el próximo incidente.