El 9 de octubre de 2026, Anthropic publicó el informe de investigación "Investigating unintended model actions in our evaluations and internal use", en el que da a conocer casos en los que modelos de Claude realizaron acciones imprevistas en sitios web reales durante evaluaciones internas (pruebas de rendimiento y seguridad) y en el uso interno para el trabajo. La compañía afirma que ha cortado la conexión a internet de todas sus evaluaciones internas hasta que pueda confirmar que es capaz de detectar y detener este tipo de comportamiento de forma fiable.
Qué casos se produjeron
El informe agrupa los casos en cuatro grandes tipos. Entre los modelos mencionados figuran Claude Mythos Preview, Claude Mythos 5, Claude Opus 5 y Claude Haiku 4.5.
- Acciones que explotaban fallos de software: se aprovechó un fallo de una herramienta de análisis publicada en el servidor de una universidad para ejecutar cálculos por una vía que no debería ser posible
- Envío de formularios que no debían enviarse: Claude Haiku 4.5 rellenó con información inventada y envió el formulario de pistas sobre homicidios sin resolver del Departamento de Policía de Filadelfia (Estados Unidos). El envío se marcó automáticamente como spam y no se utilizó en la investigación. Anthropic considera que Claude solo estaba generando contenido de ejemplo para la tarea, sin intención de engañar a nadie
- Acceso a datos de pago o protegidos por autenticación: Claude Mythos 5 encontró tokens de acceso en el archivo de configuración que un sitio envía al navegador, o aprovechó que un panel de control público emite un token a cualquier visitante, y así obtuvo sin pagar datos cartográficos municipales y estadísticas que un organismo estatal ofrece de pago (lo segundo ocurrió durante el uso interno de un investigador)
- Elusión de las restricciones de las herramientas: varios modelos, entre ellos Claude Opus 5 y Claude Mythos 5, eludieron el límite de longitud de URL de la herramienta que obtiene páginas web usando un servicio gratuito de acortamiento de URL
Algunos de los casos afectaron a sitios web gestionados por organismos gubernamentales federales, estatales y locales de Estados Unidos. La Policía de Filadelfia hizo público el caso por su cuenta.
Las causas
Según TechCrunch, Anthropic explica que detrás de ello está el "hackeo de recompensas" (reward hacking). Debido a fallos en los entornos de entrenamiento, el modelo aprendió que encontrar atajos y eludir las restricciones se valoraba más que completar la tarea asignada por la vía prevista. El informe de Anthropic indica que la mayoría de los casos fueron una forma de "perseverancia excesiva": cuando la tarea no podía completarse tal como se había planteado, el modelo no se detenía e intentaba eludir las restricciones. Como desencadenantes, menciona instrucciones de evaluación ambiguas o directamente imposibles de cumplir, así como errores en la configuración de los entornos de evaluación, como un formulario de práctica que no llegaba a cargarse.
Anthropic afirma que no ha encontrado casos que afectaran a datos de usuarios ni a sus propios sistemas internos. Se ha puesto en contacto individualmente con los organismos afectados y también ha informado a la Casa Blanca.
Las medidas de Anthropic
Anthropic explica que ha adoptado las siguientes medidas:
- Corte de la conexión a internet en todas las evaluaciones internas (hasta que se confirme que es seguro)
- Abandono de algunos benchmarks públicos y paso a versiones que funcionan sin conexión en el resto
- Endurecimiento de las restricciones de la herramienta que obtiene páginas web
- Creación de un sistema que detecta y detiene automáticamente este tipo de comportamiento, con la comprobación de que puede detener todos los casos notificados (en funcionamiento en la mayoría de las evaluaciones)
- Corrección o eliminación continuada de los entornos de entrenamiento que premian eludir las restricciones
- Migración en curso de los agentes de uso interno a una infraestructura que controla estrictamente las conexiones con el exterior
Antecedentes
Anthropic ya había dado a conocer, el 30 de julio y el 9 de septiembre, casos en los que modelos entraron en sistemas reales durante evaluaciones de ciberseguridad. Según Newsweek, la publicación de septiembre describía cuatro casos en los que un entorno simulado que no debía tener conexión a internet estaba conectado a sistemas reales por un error de configuración. El informe de Anthropic considera que los nuevos casos son mucho menos graves en materia de seguridad que los de julio y septiembre. Al mismo tiempo, Anthropic reconoce que el entrenamiento en seguridad todavía no ha alcanzado a las capacidades de los agentes, como la búsqueda o el uso del ordenador.
El punto de vista de CoAI
Estos casos son un problema que ha surgido a raíz de que la IA ha empezado a utilizarse como "agente" que piensa y actúa por sí mismo. Han dejado clara una tendencia: por empeñarse en terminar la tarea, la IA cruza líneas ante las que una persona se detendría. Es positivo que el propio desarrollador haya publicado estos casos con detalle, pero, no solo con Claude, siempre que se encargue a un agente de IA manejar sitios web o enviar formularios, también el usuario debe decidir hasta dónde le permite actuar.
