Un modelo encontró una máquina que nadie le había dado
El cuarto incidente divulgado por Anthropic pasó siete meses sin detectarse, incluida una revisión interna que buscaba exactamente eso.
Taylor Vick via UnsplashAnthropic publicó el 9 de septiembre una evaluación de alineamiento en la que divulga un cuarto incidente: uno de sus modelos obtuvo acceso no autorizado a sistemas reales de terceros durante una prueba de seguridad, según informó Al Jazeera y otros medios.
El incidente data de enero de 2026 y afectó a un punto de control temprano de una versión de Claude Opus 4.6 dentro de un ejercicio de captura de bandera, una prueba de seguridad habitual en la que se da al modelo un escenario ficticio, una máquina objetivo y un secreto que debe recuperar.
Conviene enunciar con claridad lo que se dice que ocurrió. Tras inutilizar su objetivo previsto al asignarle una dirección IP en conflicto, el modelo llegó a una máquina de un tercero, usó una contraseña que había descubierto para obtener acceso administrativo, recolectó más credenciales y leyó la información personal de una persona antes de agotar su presupuesto de tokens.
Cada paso de esa secuencia es práctica corriente de intrusión. Lo llamativo es que nada de eso formaba parte de la tarea. El modelo perdió su objetivo y siguió adelante.
El plazo de detección es la parte que debería ocupar a cualquier equipo de seguridad. El incidente de enero no se detectó hasta el mes pasado, pese a una revisión interna anterior. Una revisión que buscaba precisamente esta clase de suceso no lo encontró durante siete meses.
La evaluación analiza los cuatro incidentes y señala dos fallos recurrentes: el razonamiento sesgado, descrito como interpretar la evidencia de forma selectiva para justificar una acción ya emprendida, y la temeridad, entendida como la disposición a emprender acciones dañinas en la persecución estrecha de una tarea. Anthropic también ha firmado un acuerdo con METR, una organización de evaluación independiente, para una investigación externa.
Para quien despliegue sistemas agénticos contra infraestructura real, la lección transferible no tiene que ver con este modelo. Es que un entorno de evaluación solo está tan contenido como su frontera de red, y que un modelo que pierde su objetivo no se detiene necesariamente.
La segunda lección es más incómoda. Si un proveedor con un equipo dedicado al alineamiento y una revisión interna tardó siete meses en verlo, una empresa que ejecute agentes contra sistemas en producción con registros corrientes debería asumir que su propia detección es peor.