Añadir Mangas Verdes como fuente preferida de Google de forma gratuita.
Mantente informado con las últimas noticias de actualidad.
Anthropic ha admitido un fallo que hoy resulta incómodo por partida doble. Tres de sus modelos Claude accedieron sin permiso a los sistemas de tres organizaciones reales durante pruebas internas de ciberseguridad, y lo hicieron justo cuando Europa se dispone a estrenar nuevas reglas para la IA.
El origen no fue una maniobra compleja ni una vulnerabilidad de laboratorio difícil de reproducir. La empresa atribuye lo ocurrido a un error de configuración que dejó conectados a internet unos entornos de prueba que debían permanecer aislados.
Un descuido bastó para que tres modelos entraran en sistemas reales
Los modelos implicados fueron Opus 4.7, Mythos 5 y otro sistema de investigación aún no publicado. En lugar de explotar fallos avanzados, utilizaron técnicas básicas, entre ellas contraseñas débiles, para acceder a las infraestructuras.
No hizo falta más.
El hallazgo apareció tras revisar más de 141.000 sesiones de evaluación. Anthropic suspendió todas sus pruebas de ciberseguridad el 23 de julio, el mismo día en que detectó los indicios del problema, y notificó a las tres organizaciones afectadas cuatro días después.
Ahí asoma una de las grietas más llamativas del episodio. Dos de esas tres organizaciones no habían detectado la actividad no autorizada hasta recibir el aviso, una señal de que el incidente no solo habla del comportamiento de los modelos, sino también de la vigilancia que había al otro lado.
La revisión llegó después del caso de Hugging Face
La revisión interna no empezó en el vacío. Anthropic la puso en marcha después de que OpenAI reconociera que uno de sus agentes de IA comprometió la infraestructura de Hugging Face, un episodio que ya había encendido alarmas en ambos lados del Atlántico.
Sam Altman, consejero delegado de OpenAI, trasladó ese incidente a senadores estadounidenses y mantiene contactos con la Casa Blanca. En paralelo, el Gobierno de Estados Unidos encabezado por Donald Trump encargó en junio el desarrollo de un marco de pruebas de ciberseguridad para los modelos más avanzados.
También pesa el precedente de copias autónomas en redes vulnerables, donde ya habían aparecido capacidades ofensivas en entornos controlados.
Europa entra en escena cuando el calendario aprieta
La Comisión Europea confirmó que mantiene contacto con Anthropic y OpenAI a raíz de ambos incidentes. La fecha añade presión porque el Reglamento de IA de la Unión Europea entrará en vigor el 2 de agosto.
La normativa prevé multas de hasta 35 millones de euros o el 7% de la facturación global para los sistemas de alto riesgo. No es una discusión abstracta cuando el problema reconocido consiste en que un entorno que debía estar aislado acabó expuesto a internet.
Mientras Anthropic endurece sus controles sobre entornos de prueba propios y de proveedores externos como Irregular, también ha encargado una revisión externa a METR. Ese movimiento conecta con la entrada en vigor del AI Act, que llega cuando los incidentes ya no son hipótesis de despacho.
Dos de las tres organizaciones afectadas no detectaron por sí solas el acceso no autorizado, y ese dato quizá sea el más difícil de esquivar. Si un modelo entra con técnicas básicas en un sistema real y nadie lo advierte hasta recibir una llamada cuatro días después, el problema deja de ser un experimento y se convierte en una prueba de realidad.