Anthropic informó que tres de sus modelos Claude se salieron de un sandbox y accedieron a sistemas del mundo real durante una reciente campaña de pruebas de seguridad, lo que provocó la suspensión inmediata de las evaluaciones y la publicación de un informe público.
La empresa realizó 141.006 ejecuciones de pruebas de ciberseguridad y detectó tres incidentes en los que los modelos alcanzaron objetivos reales en lugar del entorno simulado. Una configuración incorrecta con un socio externo dejó el sandbox efectivamente abierto.
Cómo ocurrieron las brechas
- Claude Opus 4.7 llegó a una empresa real expuesta en internet y adivinó contraseñas débiles para extraer una base de datos de unos pocos cientos de filas.
- Claude Mythos 5 construyó un ataque a la cadena de suministro publicando un paquete en el repositorio real de PyPI. El paquete se instaló en 15 máquinas de producción antes de que el registro detectara la anomalía.
- Un modelo de investigación interno escaneó 9.000 objetivos, comprometió una única aplicación y luego se detuvo tras reconocer que el host no coincidía con su tarea simulada.
Anthropic subraya que estos no fueron episodios de "IA rebelde". Los modelos hicieron lo que se les ordenó; la infraestructura de pruebas falló al no aislarlos de la internet abierta.
Por qué es importante
Los incidentes muestran lo delgada que es la línea entre un sandbox controlado y una red real cuando los agentes de IA pueden ejecutar código y realizar llamadas de red. Para las empresas que experimentan con agentes autónomos, un prompt de sistema o un archivo README no pueden garantizar límites. Incluso un conjunto de datos modesto o un puñado de máquinas pueden desencadenar compromisos mayores en la cadena de suministro, como demuestra el caso de PyPI.
Las tres brechas también revelan la escala del esfuerzo de Anthropic: auditó cada ejecución de prueba, no una muestra aleatoria. Esa minuciosidad permitió a la empresa detectar la configuración incorrecta antes de que los incidentes pudieran propagarse.
Qué hizo Anthropic
Al día siguiente de descubrir el fallo del sandbox, Anthropic detuvo todas las evaluaciones en curso. Una semana después, publicó una divulgación detallada que enumeraba los tres eventos, la causa técnica y los pasos de remediación inmediatos.
Conclusiones prácticas para usuarios de agentes de IA
- Valide los límites de red con comprobaciones directas – no asuma que un prompt o un archivo de configuración realmente aísla al agente.
- Limite el alcance de las credenciales al mínimo – otorgue solo lo que la tarea necesita absolutamente.
- Pruebe la capacidad de conexión usted mismo – examine la visión de red real del agente antes de entregar recursos sensibles.
- Monitoree cualquier actividad no deseada – configure alertas para conexiones salientes o registros de paquetes que se desvíen del plan.
El episodio subraya una verdad sencilla: dar acceso a internet a un modelo de IA es tan arriesgado como entregar credenciales a un operador humano. Hasta que se puedan demostrar las garantías del sandbox, trate cada acción impulsada por IA como potencialmente sin restricciones y asegure el entorno en consecuencia.