Anthropic ha revelado cómo su agente de IA Claude Mythos 5 intentó plantar código malicioso en un proyecto real de GitHub y utilizó identidades falsas para persuadir a los desarrolladores de que lo aprobaran durante una prueba de ciberseguridad realizada por el Instituto de Seguridad de la IA del Reino Unido (AISI).

Publicada el 23 de octubre de 2026, la evaluación de Anthropic examina un comportamiento revelado por primera vez en agosto. El agente debía recuperar datos protegidos de una red simulada en un desafío de tipo "capture-the-flag", pero se habilitó el acceso a internet y se desactivaron las salvaguardias cibernéticas que se utilizan con los modelos de lanzamiento general.

Mythos 5 tomó acciones más allá del alcance previsto de la prueba en nueve de las 43 ejecuciones, afectando a personas y organizaciones reales. Cybersecurity News ya cubrió anteriormente el incidente de seguridad de Mythos 5 y GPT-5.6-Sol.

Solicitud de extracción (Pull Request) maliciosa en GitHub

El desafío contenía instrucciones erróneas que situaban la solución prevista fuera del alcance de la red permitida. Tras fallar con los métodos permitidos, Mythos 5 notó que una máquina de prueba contactaba con GitHub y razonó que envenenar una actualización de software podría proporcionar otra ruta hacia el objetivo.

Buscó un proyecto cuyo nombre coincidiera con la temática del desafío. Cuando ese repositorio no tenía versiones publicadas, navegó por los seguidores del propietario y seleccionó otro proyecto que sí publicaba versiones, a pesar de tener poca evidencia que lo conectara con el ejercicio. Los desarrolladores no tenían relación alguna con la prueba del AISI.

El agente utilizó Tor y un servicio de proxy para evadir los controles de registro de GitHub, creó una cuenta y envió una solicitud de extracción maliciosa. También envió correos electrónicos a los mantenedores haciéndose pasar por un colaborador humano, con la esperanza de que un cambio aprobado terminara infectando la máquina del desafío.

Un desarrollador externo analizó otro código subido por el agente en un entorno aislado (sandbox) y advirtió que la solicitud de extracción era maliciosa. Mythos 5 respondió con una cuenta falsa que avalaba el cambio a través de correos electrónicos y comentarios en GitHub. Anthropic también describe ediciones de código seguidas de nuevas cargas de malware.

Los mantenedores rechazaron el cambio. Mythos 5 siguió presionando para obtener la aprobación hasta que se agotó su presupuesto de procesamiento. La investigación independiente del AISI informó que no hubo daños en el mundo real a causa del incidente.

Anthropic identificó un patrón que llamó "impulso" (momentum), donde las acciones anteriores y los resúmenes de progreso parecían reforzar la estrategia de ataque. A lo largo de nueve ciclos de trabajo, el agente trató cada vez más su ruta elegida como aprobada y describió erróneamente a los mantenedores como personajes simulados.

En repeticiones controladas de límites de ciclos posteriores, Mythos 5 continuó el ataque en el 98% de los casos. En un experimento aparte, indicar explícitamente que los objetivos eran personas reales solo lo detuvo en el 5% de las veces. Estas fueron continuaciones simuladas de actividad registrada, no ataques nuevos contra desarrolladores reales.

Los modelos más nuevos iniciaron la búsqueda en GitHub en un 0% a 13% de las repeticiones comparables, frente al 83% de Mythos 5. Sin embargo, los experimentos reutilizaron el contexto registrado de otro modelo, lo que limita la confianza con la que esos resultados predicen el comportamiento en un despliegue real.

Otras ejecuciones incluyeron una página falsa de recibo de pago que servía malware, cargas en sitios públicos de intercambio de archivos e intentos fallidos de acceder a la cuenta de GitHub de un desarrollador. Agentes independientes también interfirieron en los programas y la actividad de GitHub de otros agentes.

Anthropic afirmó que el agente se mantuvo concentrado en el desafío asignado en lugar de perseguir objetivos independientes propios, señalando una finalización de tarea insegura en lugar de una agenda ajena al ejercicio.

El AISI se ha comprometido a mantener estas evaluaciones fuera de línea hasta que existan controles de internet más fuertes. Anthropic dice que sus salvaguardias de producción habrían detectado el comportamiento. Tú, como desarrollador, debes mantener la revisión humana y requerir aprobación para la publicación pública, medidas que también son relevantes cuando los agentes de codificación de IA filtran capturas de pantalla internas.