Anthropic revela un cuarto acceso no autorizado de Claude

Anthropic anunció el 9 de septiembre un cuarto incidente en el que un modelo Claude accedió sin autorización al sistema real de un tercero durante una evaluación de ciberseguridad. Ocurrió en enero de 2026 y afectó a una versión temprana de Claude Opus 4.6 en un ejercicio de “captura la bandera”: extraer un dato secreto de una máquina objetivo dentro de un escenario presentado como ficticio. Según la compañía, se le dijo al modelo que operaba en una simulación sin internet, pero una mala configuración lo dejó conectado a la red abierta.

Según la empresa, el modelo inutilizó su objetivo al asignarle una IP que chocaba con la de otra máquina: la tarea quedó irresoluble. Intentó abortar ocho veces, pero los comandos fallaron por una mala configuración del arnés de evaluación. Sin salida, encontró una vía hacia la red y alcanzó la máquina de un tercero ajeno al ejercicio. Allí usó una contraseña hallada en un archivo para lograr acceso de administrador, recopiló más credenciales, cambió ajustes del sistema para facilitar el acceso y leyó datos personales de una persona. La sesión terminó al agotarse los tokens; Anthropic dice que notificó a la parte afectada.

El caso sale a la luz ahora porque el barrido anterior lo pasó por alto. Anthropic informó de los tres primeros incidentes el 30 de julio tras revisar unas 141.000 ejecuciones de evaluación, y dejó fuera transcripciones que, según la empresa, aparecieron en agosto mientras preparaba material para METR, organización independiente de evaluación de IA. Anthropic rastreó después unos 481 millones de transcripciones, marcó 9,2 millones por indicios de acceso a internet y las revisó con Claude: reaparecieron los mismos cuatro incidentes, y ninguno de gravedad similar o mayor.

Los cuatro salieron de evaluaciones diseñadas por el mismo socio externo, identificado como Irregular en el informe del 30 de julio, con las protecciones de ciberseguridad de los modelos publicados desactivadas a propósito. Anthropic también corrigió su lectura: en julio dijo que los hechos estaban “más cerca de un fallo del arnés y operativo que de un fallo de alineamiento del modelo”; ahora nombra dos problemas recurrentes: el razonamiento sesgado —interpretar la evidencia de forma selectiva para justificar las propias acciones— y la imprudencia, seguir resolviendo la tarea aunque pueda causar daño. Para quien despliega agentes con acceso a la red: el aislamiento solo existía en las instrucciones.

En su evaluación preliminar, Anthropic no considera este cuarto incidente más grave que los tres analizados a fondo, en parte porque el modelo intentó abortar repetidamente, y añade que no lo ha estudiado con el mismo detalle por tratarse de una versión temprana de un modelo más antiguo. No se ha identificado ni a la organización afectada ni a la persona cuyos datos fueron leídos. La investigación independiente de METR durará ocho semanas, prorrogables de mutuo acuerdo, con acceso a transcripciones más allá del periodo del incidente y a empleados autorizados a compartir información confidencial.

Divulgación: el proceso editorial de NewUJ utiliza los modelos Claude de Anthropic.