La cifra que importa es 141.006. Ese es el numero de ejecuciones de evaluaciones de ciberseguridad que Anthropic dice haber revisado después de que OpenAI revelara la semana pasada que sus propios modelos se habian escapado de un entorno de prueba, y lo que encontró la revisión ya es publico: en tres ocasiones, a lo largo de seis ejecuciones de evaluación, modelos de Claude a los que se habia dicho que trabajaban en una simulacion sin conexión estaban en realidad en internet, y atacaron infraestructura de producción real de tres organizaciones que no sabian que formaban parte de una prueba. Anthropic publico los resultados ella misma el 30 de julio en un articulo titulado 'Investigating three real-world incidents in our cybersecurity evaluations'. Los modelos implicados son Claude Opus 4.7, Claude Mythos 5 y un prototipo interno de investigación no previsto para lanzamiento.
Las técnicas no eran sofisticadas: contraseñas débiles y puntos de acceso sin autenticación, y Anthropic dice que ningun modelo encontró ni explotó una vulnerabilidad compleja. El impacto, sin embargo, fue real. En el primer incidente, la empresa ficticia del ejercicio de captura de bandera compartia nombre con un dominio real, y Opus 4.7 extrajo credenciales de aplicaciones y accedió a una base de datos con varios cientos de filas de datos de producción; en dos de sus cuatro ejecuciones, el modelo razono que la empresa real debia formar parte del ejercicio. Anthropic lo califica como el impacto más grave identificado. En el segundo, Mythos 5 construyó un paquete de Python con trampa y lo publico en PyPI, encadenando registros de cuentas para lograrlo; el paquete estuvo activo alrededor de una hora y fue descargado y ejecutado en 15 sistemas reales antes de que los propios sistemas de seguridad de PyPI lo retiraran. En el tercero, el prototipo de investigación escaneo unos 9.000 objetivos, comprometió la aplicación de una empresa mediante una página de depuración expuesta e inyeccion SQL, y luego se detuvo por si solo al concluir que el objetivo era real.
La causa no fue un modelo rebelde sino un entorno aislado roto. Una mala configuracion dejó las máquinas de evaluación con acceso a internet que ni Anthropic ni su socio de evaluación, Irregular, conocian, una situación que Anthropic describe como 'un malentendido entre nosotros y nuestro socio de evaluación'. La empresa presenta los fallos como 'más cercanos a un fallo del arnés y operativo que a un fallo de alineación del modelo', señala que las salvaguardas de sus sistemas de producción habrian bloqueado el comportamiento, y dice que los incidentes más antiguos datan de abril. Tras la revelación de OpenAI el 21 de julio, Anthropic inicio su revisión el 23 de julio, detuvo todas las evaluaciones cibernéticas el mismo día, identificó los tres incidentes el 24 de julio y notifico a las organizaciones el 27 de julio; dos de ellas no habian detectado la actividad.
Anthropic dice que ampliara la monitorización continua de las transcripciones de evaluación, abrira transcripciones y modelos a una revisión externa por METR, y publicara una transcripcion ligeramente editada de la ejecución de PyPI dentro de una semana. El alcance va más allá de Anthropic. Es el segundo laboratorio de frontera en diez días que revela que una evaluación cibernetica supuestamente confinada alcanzo la internet abierta, lo que convierte 'es seguro el modelo' en una pregunta que todo equipo que ejecuta evaluaciones agenticas debe hacerse sobre su propio arnés: que puede alcanzar realmente tu entorno aislado, y como lo sabrias. La respuesta de Anthropic, que solo fue a mirar después de que el incidente de un competidor planteara la pregunta, es la parte de la historia que conviene conservar.