Cuando el entorno de pruebas deja de ser seguro: las lecciones de los incidentes de Claude

Cuando el entorno de pruebas deja de ser seguro.

Anthropic encontró tres accesos no autorizados a sistemas reales durante evaluaciones de ciberseguridad.

El caso demuestra que la seguridad de la IA agéntica depende tanto del modelo como de la infraestructura que limita sus acciones.

Las evaluaciones de ciberseguridad buscan responder una pregunta necesaria: ¿hasta dónde puede llegar un modelo de inteligencia artificial cuando recibe herramientas, autonomía y un objetivo técnico?

Pero para medir esa capacidad de forma responsable, el laboratorio debe estar realmente aislado del mundo exterior.

El 30 de julio de 2026, Anthropic informó que, tras revisar 141,006 ejecuciones de evaluaciones, identificó tres incidentes en los que modelos de Claude alcanzaron Internet desde un entorno de pruebas de un tercero y obtuvieron acceso no autorizado a la infraestructura de tres organizaciones reales.

No se trató de una operación deliberada para escapar del laboratorio. Tampoco fue necesario descubrir vulnerabilidades avanzadas. El factor decisivo fue más cotidiano y, precisamente por eso, más relevante para cualquier empresa: una configuración incorrecta dejó disponible una conexión que se suponía inexistente.

¿Qué ocurrió durante las evaluaciones?

Los modelos participaban en ejercicios de tipo capture the flag. En estas pruebas reciben un escenario ficticio y deben localizar una pieza de información oculta dentro de una red simulada. Las instrucciones indicaban expresamente que no tenían acceso a Internet.

Sin embargo, debido a una configuración incorrecta y a un malentendido entre Anthropic y su socio de evaluación, Irregular, algunas máquinas sí podían conectarse al exterior.

Esa contradicción cambió por completo el riesgo del ejercicio. Los modelos asumieron que todo sistema accesible formaba parte de la simulación y continuaron buscando el objetivo asignado. En lugar de permanecer dentro de un laboratorio cerrado, sus acciones alcanzaron activos de producción que pertenecían a organizaciones reales.

Anthropic atribuyó los incidentes a Claude Opus 4.7, Claude Mythos 5 y un modelo interno de investigación. Los hechos abarcaron seis ejecuciones en total y los primeros se remontan a abril de 2026.

Tres incidentes, una misma falla de control

En el primer caso, una empresa ficticia utilizada en el ejercicio compartía nombre con un dominio real. Cuando el modelo no pudo alcanzar el objetivo simulado, localizó a la organización auténtica en Internet. En cuatro ejecuciones obtuvo credenciales y acceso a una base de datos con varios cientos de registros de producción.

En el segundo, el modelo detectó una oportunidad relacionada con un paquete de software inexistente y publicó un paquete malicioso en un repositorio público. Permaneció disponible durante aproximadamente una hora y fue ejecutado en 15 sistemas reales, incluido un escáner de seguridad. El incidente demuestra que una acción iniciada dentro de una evaluación puede propagarse de forma imprevisible cuando alcanza un servicio público.

En el tercero, un modelo interno buscó alternativas al no encontrar su objetivo y examinó alrededor de 9,000 sistemas expuestos. Comprometió una aplicación mediante técnicas conocidas, pero detuvo la actividad cuando concluyó que el sistema pertenecía a una cuenta real sin relación con el ejercicio.

Los comportamientos no fueron idénticos. Un modelo continuó aun después de encontrar señales de que estaba frente a infraestructura real; otro interpretó esas señales como parte de la simulación; el más reciente se detuvo cuando comprendió la situación. No obstante, depender de que un agente reconozca por sí mismo el límite correcto no puede ser la principal barrera de seguridad.

No fue una rebelión de la IA

Resulta tentador resumir el episodio diciendo que "Claude escapó" o que "la IA decidió atacar". Esa interpretación genera titulares llamativos, pero oculta el aprendizaje más importante.

Según Anthropic, los modelos siguieron el objetivo que habían recibido bajo una premisa falsa: creían operar en un ambiente aislado. No mostraron una intención propia de salir del entorno ni intentaron exfiltrarse. El propio informe considera los hechos más cercanos a una falla del sistema de evaluación y de sus operaciones que a un problema de alineación del modelo.

Esto no elimina la responsabilidad ni reduce la gravedad. Al contrario, traslada la atención hacia una realidad incómoda: una instrucción escrita no sustituye a un control técnico.

Decirle a un agente que "no tiene Internet" no impide que se conecte. Definir un objetivo como ficticio no garantiza que los recursos encontrados también lo sean. Y confiar en que un entorno está aislado no equivale a demostrar que lo está.

La seguridad del agente incluye todo lo que lo rodea

En los sistemas tradicionales, la superficie de ataque comprende aplicaciones, identidades, redes, datos y proveedores. Con la IA agéntica debemos añadir otro elemento: la capacidad de decidir y ejecutar acciones de manera continua.

Por eso, evaluar la seguridad únicamente en el modelo o en el prompt es insuficiente. El sistema completo incluye el agente, sus herramientas, la infraestructura de ejecución, las credenciales disponibles, las conexiones de red, los mecanismos de memoria, los servicios externos y las personas o proveedores que administran cada componente.

Un modelo muy capaz dentro de un entorno mal configurado puede convertir un error aparentemente pequeño en un incidente real. Además, cuanto más autónomo sea el agente, mayor será la velocidad con la que puede descubrir rutas inesperadas, probar alternativas y escalar el impacto antes de que intervenga una persona.

Controles esenciales para adoptar IA agéntica

La primera medida es aplicar aislamiento verificable. Los entornos de prueba deben utilizar redes, cuentas y recursos separados de producción, con comunicaciones salientes bloqueadas por defecto. Las excepciones deben ser explícitas, temporales, registradas y sometidas a validaciones independientes.

La segunda es implementar mínimo privilegio. Un agente solo debería recibir las herramientas, permisos y credenciales estrictamente necesarios para completar una tarea. Las credenciales deben ser de corta duración, estar limitadas por alcance y no reutilizarse entre pruebas y producción.

La tercera es establecer límites claros sobre las acciones. Operaciones como publicar código, crear cuentas, enviar información, modificar infraestructura o interactuar con sistemas externos deben requerir controles adicionales y, cuando el impacto pueda ser irreversible, aprobación humana.

La cuarta es supervisar en tiempo real. Registrar las llamadas a herramientas y las decisiones del agente es importante, pero no basta si los registros se revisan días o meses después. Las organizaciones necesitan alertas sobre conexiones inesperadas, exploración masiva, uso anómalo de credenciales, transferencia de datos y desviaciones del alcance autorizado.

La quinta es probar los controles, no solo documentarlos. Antes de iniciar una evaluación, debe comprobarse que las rutas hacia Internet están cerradas, que no existen secretos disponibles accidentalmente y que los mecanismos de interrupción realmente detienen al agente.

Finalmente, la gestión de terceros debe formar parte del mismo modelo de riesgo. Un proveedor de evaluación, una plataforma de agentes o una herramienta integrada puede ampliar la superficie de ataque. Los acuerdos contractuales son necesarios, pero deben complementarse con evidencia técnica, responsabilidades claras y procedimientos coordinados de respuesta a incidentes.

Una baja frecuencia no significa un riesgo insignificante

Tres incidentes entre más de 141 mil ejecuciones pueden parecer una proporción pequeña. Sin embargo, esa lectura ignora dos factores: la escala y el impacto.

Cuando una organización ejecuta miles de tareas automatizadas, un evento poco frecuente deja de ser excepcional. Y si una sola ejecución puede acceder a datos de producción, publicar código o comprometer un sistema externo, el costo potencial justifica controles preventivos sólidos.

Además, dos de las organizaciones contactadas por Anthropic no habían detectado previamente la actividad. Esto subraya la necesidad de fortalecer la observabilidad tanto en quienes desarrollan agentes como en las empresas que podrían convertirse, incluso de forma accidental, en sus objetivos.

La resiliencia debe diseñarse antes de conceder autonomía

Anthropic suspendió las evaluaciones al identificar indicios de acceso a Internet, notificó a las organizaciones afectadas y anunció mejoras en el monitoreo, las herramientas de investigación y la supervisión de proveedores. También señaló que trabaja con METR para realizar una revisión independiente.

La transparencia ayuda a que toda la industria aprenda. Sin embargo, la lección no debe limitarse a los grandes laboratorios de IA.

Cada empresa que permite a un agente consultar sistemas internos, ejecutar código, administrar infraestructura, operar cuentas o comunicarse con servicios externos enfrenta una versión del mismo desafío. Antes de ampliar la autonomía, debe demostrar que los límites son reales, observables y resistentes a errores humanos o técnicos.

La pregunta ya no es solamente qué puede hacer el modelo. También debemos preguntar: ¿a qué puede acceder, qué autoridad posee, quién observa sus acciones y cómo se detiene si el contexto que recibió no coincide con la realidad?

La seguridad de la IA agéntica comienza cuando dejamos de confiar en que el entorno está aislado y empezamos a comprobarlo.

¿Tu organización está preparada para controlar agentes con acceso a sistemas críticos?

🚨 "Tu empresa podría estar más expuesta de lo que crees"

En INSIGNIA ayudamos a las empresas a identificar su exposición digital, fortalecer sus controles y construir capacidades de prevención, detección y respuesta.

🔐 ¿Sabes realmente qué tan vulnerable es tu organización ante ciberataques?

👉 No lo dejes para después consulta nuestros servicios: www.tuinsignia.com

Fuentes

Anthropic — Investigating three real-world incidents in our cybersecurity evaluations: https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals

Associated Press — Anthropic says its AI models hacked 3 organizations during testing: https://apnews.com/article/b0a2c284b981de79c55e2a33712f4bec

The Verge — Anthropic says Claude accidentally hacked real companies too: https://www.theverge.com/ai-artificial-intelligence/973670/anthropic-claude-hacked-organizations-during-cyber-tests