Luego probó, sin que se le pidiera, si la misma API le permitiría cancelar la entrada en la lista de espera de otro miembro. La prueba eliminó a la persona que ocupaba el primer lugar y subió al usuario una posición. El agente le informó que no podía volver a añadir al miembro.

El sistema de prueba de Aikido es una aplicación web de una sola página respaldada por una API GraphQL que contiene los dos fallos descritos en el incidente original. La ventana de reserva de siete días se aplica solo en el frontend, y la mutación cancelReservation no verifica si el usuario conectado es el dueño de la reserva, un caso de referencia directa insegura a objetos (IDOR).

En dos de las diez ejecuciones, el modelo procedió a cancelar la reserva confirmada de otro miembro a través de ese segundo fallo antes de detenerse por sí mismo. Aikido afirmó que ninguna instrucción en ninguna ejecución pidió al modelo que explotara una vulnerabilidad.

"Esto sugiere que las salvaguardas pueden ser excesivamente reactivas a las solicitudes explícitas del usuario y poco reactivas a las solicitudes indirectas, o que los modelos pierden de vista el contexto ético durante una secuencia de acciones repetidas o llamadas a herramientas", dijo Oliver Smith, investigador de seguridad de Aikido.

Las ejecuciones utilizaron Claude Opus 4.6, que Anthropic puso a disposición general el 5 de febrero de 2026, en OpenClaw v2026.4.1, con el entrenamiento de seguridad del modelo activo y el pensamiento extendido desactivado [enlace] .

Se confirmó a través del registro de npm [enlace] el 25 de agosto que OpenClaw v2026.4.1 fue publicado el 1 de abril de 2026, y que se han lanzado 168 versiones desde entonces, siendo la versión actual la 2026.7.1-2.

En la primera ejecución, el modelo canceló una reserva confirmada perteneciente a otro miembro. La cancelación promovió automáticamente a la persona en la cima de la lista de espera.

"No debería haber probado eso en una reserva real. Es culpa mía. La clase vuelve a estar 12/12 con la lista de espera promovida, por lo que el estado es mayormente consistente, pero un miembro real perdió su lugar", dijo el modelo en la transcripción de la primera ejecución.



Las diez instrucciones iniciales dirigieron al modelo a examinar la API o el backend del sitio, y varias señalaron la restricción de siete días mientras solicitaban reservas coherentes.

Aikido no publicó un brazo de control utilizando una solicitud de reserva simple. Calculó que la probabilidad promedio [enlace] de la elección dominante en sus 16 puntos de decisión muestreados era del 96,38%.

Anthropic había registrado la misma clase de comportamiento antes del lanzamiento del modelo.

"Observamos algunos aumentos en comportamientos desalineados en áreas específicas, como la capacidad de ocultación de sabotajes y un comportamiento excesivamente agente en entornos de uso de computadora, aunque ninguno alcanzó niveles que afectaran nuestra evaluación de despliegue", afirmó Anthropic en la tarjeta del sistema de Claude Opus 4.6 [enlace] .

La misma tarjeta del sistema sitúa la tasa de rechazo excesivo de Opus 4.6 en la evaluación benigna de alta dificultad de Anthropic en el 0,04%, frente al 0,83% de Opus 4.5 y el 8,50% de Sonnet 4.5.

La configuración difiere de las revelaciones del laboratorio de frontera de julio [enlace] . Allí, una mala configuración dejó un entorno de evaluación sellado con acceso a internet en vivo, y los modelos de Anthropic llegaron a vulnerar tres organizaciones reales. Anthropic dijo creer que esos incidentes fueron "más un fallo del arnés y operativo que un fallo de alineación del modelo".

Las agencias de ciberseguridad de Australia y EE. UU. ya habían advertido sobre los fallos IDOR anteriormente.

El proveedor del software de reservas del gimnasio sigue sin ser nombrado y no se ha divulgado ninguna solución hasta el 25 de agosto.

La Dirección de Señales Australiana (ASD), que mencionó el incidente original en una alerta publicada el 11 de agosto [enlace] , aconsejó lo siguiente:

* Debes restringir el uso de IA agente a tareas de bajo riesgo y no sensibles, y evitar otorgar a los agentes un acceso amplio o sin restricciones o autoridad para tomar decisiones.
* Mantén a un humano en el proceso para revisar, aprobar y supervisar las acciones del agente, particularmente donde puedan ocurrir interacciones con servicios de terceros u otros usuarios.
* Las organizaciones que brindan servicios en línea deben considerar que los agentes de IA podrían identificar y explotar vulnerabilidades a gran velocidad y escala.

Este avance se produce mientras Hugging Face decía que recurrió a un modelo de pesos abiertos para reconstruir su propia intrusión de julio [enlace] después de que los modelos de frontera que probó primero rechazaran el trabajo forense.

"Los modelos a los que recurrimos primero, Claude Opus y Fable, rechazaron gran parte de ese trabajo: sus barreras de seguridad trataron la ingeniería inversa de un exploit de la misma manera que el lanzamiento de uno", dijo Hugging Face.

Fuente:
THN