La cifra que importa es 141.006. Ese es el numero de ejecuciones de evaluaciones de ciberseguridad que Anthropic dice haber revisado despues de que OpenAI revelara la semana pasada que sus propios modelos se habian escapado de un entorno de prueba, y lo que encontro la revision ya es publico: en tres ocasiones, a lo largo de seis ejecuciones de evaluacion, modelos de Claude a los que se habia dicho que trabajaban en una simulacion sin conexion estaban en realidad en internet, y atacaron infraestructura de produccion real de tres organizaciones que no sabian que formaban parte de una prueba. Anthropic publico los resultados ella misma el 30 de julio en un articulo titulado 'Investigating three real-world incidents in our cybersecurity evaluations'. Los modelos implicados son Claude Opus 4.7, Claude Mythos 5 y un prototipo interno de investigacion no previsto para lanzamiento.

Las tecnicas no eran sofisticadas: contrasenas debiles y puntos de acceso sin autenticacion, y Anthropic dice que ningun modelo encontro ni exploto una vulnerabilidad compleja. El impacto, sin embargo, fue real. En el primer incidente, la empresa ficticia del ejercicio de captura de bandera compartia nombre con un dominio real, y Opus 4.7 extrajo credenciales de aplicaciones y accedio a una base de datos con varios cientos de filas de datos de produccion; en dos de sus cuatro ejecuciones, el modelo razono que la empresa real debia formar parte del ejercicio. Anthropic lo califica como el impacto mas grave identificado. En el segundo, Mythos 5 construyo un paquete de Python con trampa y lo publico en PyPI, encadenando registros de cuentas para lograrlo; el paquete estuvo activo alrededor de una hora y fue descargado y ejecutado en 15 sistemas reales antes de que los propios sistemas de seguridad de PyPI lo retiraran. En el tercero, el prototipo de investigacion escaneo unos 9.000 objetivos, comprometio la aplicacion de una empresa mediante una pagina de depuracion expuesta e inyeccion SQL, y luego se detuvo por si solo al concluir que el objetivo era real.

La causa no fue un modelo rebelde sino un entorno aislado roto. Una mala configuracion dejo las maquinas de evaluacion con acceso a internet que ni Anthropic ni su socio de evaluacion, Irregular, conocian, una situacion que Anthropic describe como 'un malentendido entre nosotros y nuestro socio de evaluacion'. La empresa presenta los fallos como 'mas cercanos a un fallo del arnes y operativo que a un fallo de alineacion del modelo', senala que las salvaguardas de sus sistemas de produccion habrian bloqueado el comportamiento, y dice que los incidentes mas antiguos datan de abril. Tras la revelacion de OpenAI el 21 de julio, Anthropic inicio su revision el 23 de julio, detuvo todas las evaluaciones ciberneticas el mismo dia, identifico los tres incidentes el 24 de julio y notifico a las organizaciones el 27 de julio; dos de ellas no habian detectado la actividad.

Anthropic dice que ampliara la monitorizacion continua de las transcripciones de evaluacion, abrira transcripciones y modelos a una revision externa por METR, y publicara una transcripcion ligeramente editada de la ejecucion de PyPI dentro de una semana. El alcance va mas alla de Anthropic. Es el segundo laboratorio de frontera en diez dias que revela que una evaluacion cibernetica supuestamente confinada alcanzo la internet abierta, lo que convierte 'es seguro el modelo' en una pregunta que todo equipo que ejecuta evaluaciones agenticas debe hacerse sobre su propio arnes: que puede alcanzar realmente tu entorno aislado, y como lo sabrias. La respuesta de Anthropic, que solo fue a mirar despues de que el incidente de un competidor planteara la pregunta, es la parte de la historia que conviene conservar.