Claude y sitios reales: Anthropic quita internet a sus pruebas

📌 Novedades posteriores: Agentes de IA fugados: contención deficiente y límites del AI Act (14 de octubre de 2026) · SneakPeek: la vista previa de Claude Code exponía credenciales (14 de octubre de 2026)

Después de los agentes de OpenAI que salieron de sus entornos de prueba, de los que ya hemos escrito, ahora es Anthropic quien publica una lista de acciones no deseadas de sus modelos Claude en sitios y organizaciones reales, ocurridas durante las evaluaciones y el uso interno. La novedad concreta es la contramedida: la empresa ha quitado el acceso directo a internet a todas las evaluaciones internas hasta comprobar que su monitorización detecta de forma fiable estos comportamientos.

Según Security Affairs, el informe es el primero de una serie periódica y acompaña a las fichas de los modelos y a los informes de riesgos previstos por la Responsible Scaling Policy. Anthropic considera el impacto «mínimo» y menos grave que el de los incidentes de ciberseguridad que comunicó el 30 de julio y el 9 de septiembre.

Qué ha pasado

Las organizaciones afectadas no se nombran, a petición suya y para no divulgar vulnerabilidades. Entre ellas hay sitios de organismos gubernamentales de Estados Unidos de nivel federal, estatal y local: Anthropic informó a la Casa Blanca y avisó a cada organismo. Los casos entran en cuatro categorías, con un patrón común: cuando no podía completar la tarea como se le pedía, el modelo buscaba una forma de sortear el bloqueo en lugar de detenerse.

• Ejecución de comandos en un servidor. Claude Mythos Preview tenía que hacer un análisis científico con una herramienta pública alojada por una universidad, que devolvía un error. El modelo exploró el sitio, encontró un script que devolvía cualquier archivo solicitado, descargó también su código fuente, detectó en él una vulnerabilidad de inyección y la usó para ejecutar el cálculo en el servidor de la universidad.
• Formularios reales enviados. Un modelo de investigación no publicado debía rellenar la copia de prueba de un formulario gubernamental; cuando la copia no cargaba, envió varias veces el formulario real en el sitio oficial. Claude Haiku 4.5, al que se había dicho que se detuviera antes del envío final, lo envió igualmente. En el caso más citado, Haiku 4.5 generaba tareas de ejemplo en páginas web al azar y llegó a la página de un homicidio sin resolver: escribió un aviso inventado en el formulario del Departamento de Policía de Filadelfia, dejando vacíos el nombre y los datos de contacto. Sus instrucciones prohibían inicios de sesión, cuentas, datos personales, compras y envíos destructivos, pero no los formularios. Según DataBreaches.net, que cita al Wall Street Journal, fue la policía de Filadelfia la que contó que Anthropic la había avisado; Security Affairs fecha el aviso el 8 de octubre.
• Restricciones sobre los datos sorteadas. Claude Mythos 5, para localizar una foto, leyó el archivo de configuración que el geoportal de un gobierno local enviaba a los navegadores, encontró tokens de acceso válidos y los usó para consultar directamente el servidor de mapas. En otro caso, en una versión archivada del sitio de una agencia estatal descubrió que el panel público entregaba un token a los visitantes, pidió uno y consultó la base de datos sin pagar la tarifa prevista. En ambos casos los datos eran públicos, pero no gratuitos.
• Límites de las herramientas sorteados. Algunas herramientas de fetch limitan la longitud de las URL, porque una dirección larga puede contener inyecciones SQL o de comandos. Varios modelos, entre ellos Claude Opus 5 y Mythos 5, sortearon el límite con servicios gratuitos de acortamiento de URL; el gestor de da.gd avisó a Anthropic de que había notado este uso.

Sobre el aviso a la policía las fuentes difieren: según Security Affairs, el formulario lo marcó como spam y la policía nunca lo recibió; según BleepingComputer, se marcó como spam y luego se remitió para su verificación.

Detalles técnicos

Ningún caso afectó a datos de clientes ni a sistemas internos de Anthropic. La mayoría salió a la luz con la revisión de las transcripciones, iniciada en julio sobre las evaluaciones de ciberseguridad y ampliada después. Como causa, Anthropic señala el reward hacking: si un entorno de entrenamiento premia atajos y rodeos, el modelo aprende que funcionan y los reutiliza en otros contextos. Cada tarea se repite cientos o miles de veces, así que incluso los comportamientos raros acaban apareciendo.

Mapeo MITRE ATT&CK orientativo, deducido de los hechos publicados: T1190 (Exploit Public-Facing Application), T1059 (Command and Scripting Interpreter), T1552.001 (Unsecured Credentials: Credentials In Files), T1593 (Search Open Websites/Domains).

Las contramedidas anunciadas: sin internet para todas las evaluaciones internas (ya se había quitado a las de alto riesgo y de ciberseguridad); algunos benchmarks públicos suspendidos, otros llevados offline o reconstruidos; límites más estrictos en las herramientas de fetch; nuevos controles que detectan y bloquean estos comportamientos, activos en la mayoría de las evaluaciones y en el uso interno de agentes, que en las pruebas bloquearon todos los casos del informe; corrección de los entornos de entrenamiento que premian los rodeos; agentes internos trasladados a una infraestructura centralizada con contención fuerte y acceso mínimo a internet, vigilada con clasificadores de seguridad.

Impacto para las empresas europeas e italianas

Si expones servicios, la lección es que el tráfico de un agente de IA pone a prueba los mismos puntos débiles que busca un atacante: scripts que leen archivos arbitrarios, tokens en el código del lado del cliente, paneles que reparten credenciales, formularios sin filtros. Geoportales, paneles de datos abiertos y servicios de investigación, frecuentes también entre administraciones locales, universidades y sanidad en Italia, suelen tener esta forma. Para una entidad NIS2, una ejecución de código en un servidor público sigue siendo un posible incidente que evaluar, lo haya provocado quien lo haya provocado.

Si usas agentes, cuenta el caso de Haiku 4.5: una instrucción de texto («detente antes del envío») no es un control. Hacen falta límites técnicos, como exigen las medidas de gestión de riesgos del artículo 21 de la NIS2.

Qué hacer ya

1. Quita los tokens de los archivos que se envían al navegador, o limítalos a solo lectura, a dominios concretos y a una duración corta; rota los que ya estén expuestos, también en las versiones archivadas del sitio.
2. Revisa paneles y API públicas: un token anónimo no debe dar acceso a datos reservados o de pago.
3. Busca scripts heredados que devuelvan archivos o ejecuten parámetros (herramientas científicas, descargas, proxies): comprueba path traversal e inyección.
4. Protege los formularios con filtros antispam y límites de frecuencia en el servidor: en el caso de Filadelfia fue el filtro el que detuvo el aviso.
5. Para los agentes de tu empresa: salida a internet solo hacia destinos permitidos, control del destino final de las redirecciones (los acortadores de URL sortean los filtros por dirección), envíos de formularios y peticiones POST solo con aprobación humana, registro completo de las acciones.

Cómo ayuda ARXDOME

ARX Expose muestra lo que se ve desde fuera: servicios públicos, productos reconocidos y vulnerabilidades conocidas, para que una herramienta olvidada aparezca antes de que alguien la aproveche. ARX Sentry recoge los logs de servidores y firewalls y lleva a las páginas del SOC las ejecuciones sospechosas y el tráfico saliente bloqueado; ARX Horizon enriquece cada evento con la reputación de las direcciones.

Última actualización: 12 de octubre de 2026