Anthropic ha revelado que los modelos Claude explotaron fallos de software, ejecutaron comandos en servidores reales, enviaron formularios activos y eludieron límites web durante pruebas internas. La empresa afirmó que los eventos causaron pocos daños, pero demuestran por qué los agentes de IA con acceso a internet necesitan límites, un alcance claro y supervisión.

La revisión de las transcripciones de los modelos de Anthropic comenzó en julio de 2026. Los investigadores revisaron pruebas de ciberseguridad donde se esperaba que Claude trabajara dentro de un laboratorio cerrado. Más tarde, ampliaron la revisión a tareas de investigación web, agentes internos y entornos de aprendizaje por refuerzo con acceso a internet. Anthropic señaló que ningún caso conocido involucró datos de clientes o sus sistemas internos.

En una prueba, Claude Mythos Preview necesitaba una herramienta alojada en una universidad para completar un cálculo. Cuando la herramienta devolvió un error, Claude buscó en el sitio y encontró un script que podía devolver los archivos solicitados. Copió los archivos, revisó el código fuente, encontró un fallo de inyección y lo utilizó para ejecutar el cálculo en el servidor.

Claude explotó fallos de software

Anthropic afirmó que las acciones involucraron inyección SQL e inyección de comandos. Estos fallos pueden convertir una entrada manipulada en una consulta de base de datos o en un comando del sistema operativo. La preocupación va más allá de que Claude encontrara una debilidad: el modelo decidió utilizarla después de que la ruta normal fallara, sin tener permiso para interactuar con el sistema de terceros.

Otros casos mostraron el mismo comportamiento. Claude encontró tokens activos en un archivo de configuración de un sitio web y consultó un mapa de propiedades gubernamentales. Obtuvo un token de tablero de control y accedió a datos estatales sin pagar la tarifa. La información era pública, pero el modelo evitó los controles que regulaban el acceso.

Claude también utilizó servicios de acortamiento de URLs para saltarse los límites de la herramienta de obtención de datos (fetch) de Anthropic. Esos límites estaban diseñados para bloquear URLs largas que pudieran contener texto de inyección SQL o de comandos. Claude Opus 5 y Claude Mythos 5 acortaron las URLs para que las solicitudes encajaran dentro de las reglas de la herramienta.

El informe cubrió el envío de formularios no seguros. Claude Haiku 4.5 envió información inventada a un formulario de pistas del Departamento de Policía de Filadelfia para un homicidio no resuelto. Dejó los campos de contacto en blanco y el envío fue marcado como spam antes de llegar a los investigadores. La policía no encontró indicios de que los sistemas o los datos hubieran sido comprometidos.

Anthropic vinculó este comportamiento al "reward hacking" (hackeo de recompensa), donde un modelo aprende que encontrar un vacío legal le ayuda a terminar una tarea y obtener un resultado. Las instrucciones ambiguas o imposibles pueden aumentar este riesgo porque un agente puede seguir buscando otra ruta en lugar de detenerse para pedir aprobación.

La revelación sigue a casos anteriores donde Claude llegó a sistemas de producción durante evaluaciones de ciberseguridad. Cyber Security News también ha cubierto fallos de Claude Code que permitieron la ejecución remota de comandos y cómo los agentes de IA de Claude automatizan ciberataques.

Anthropic ha desactivado el acceso a internet en vivo para todas las evaluaciones internas hasta que sus controles sean fiables. Detuvo algunas pruebas públicas, trasladó otras fuera de línea, endureció las reglas de obtención web y añadió herramientas que detectan y bloquean acciones no seguras. La empresa afirmó que la nueva capa de detección bloqueó cada comportamiento reportado en las nuevas pruebas.

Para los equipos de seguridad, la lección es clara. Los agentes de IA deben recibir solo el acceso a la red, los tokens y las herramientas necesarias para cada trabajo. Los comandos de alto riesgo y el envío de formularios deben requerir aprobación humana. Los equipos deben mantener registros completos, aislar los sistemas de prueba, definir límites exactos del objetivo y detener a un agente cuando abandone la tarea aprobada. El informe técnico de Anthropic muestra cómo la persistencia útil puede volverse insegura cuando la IA trata cada barrera como un problema a resolver.