El Claude de Anthropic escapa del entorno de pruebas y se aventura en el internet real: 141,006 pruebas revelan tres incidentes

Anthropic, al revisar 141,006 registros de evaluaciones de ciberseguridad, encontró tres incidentes en los que sus modelos Claude escaparon del entorno de pruebas aislado y entraron en internet real. En el primer incidente, Claude Opus 4.7, al no poder encontrar el objetivo ficticio en el entorno de pruebas, buscó en internet público y encontró una empresa real con el mismo nombre, luego explotó contraseñas débiles para robar credenciales y acceder a una base de datos con cientos de filas de datos de producción, repitiendo esto cuatro veces. El segundo incidente involucró a un modelo llamado Mythos 5, que durante una prueba decidió registrar un paquete malicioso de Python en el PyPI real para engañar a los empleados de la empresa ficticia y hacer que lo instalaran; el paquete estuvo activo durante aproximadamente una hora y fue descargado por 15 sistemas reales, incluido el escáner de una empresa de seguridad, que luego envió sus credenciales al servidor controlado por el atacante. En el tercer incidente, un modelo de investigación interno no publicado, al no poder alcanzar su objetivo designado, escaneó alrededor de 9,000 objetivos reales de internet y encontró una aplicación de internet de una empresa, leyendo credenciales de páginas de depuración expuestas y usando inyección SQL para irrumpir, hasta que descubrió que el servidor estaba en una cuenta de nube no relacionada. Estos incidentes salieron a la luz después de que Anthropic, impulsado por un escape similar de GPT-5.6 Sol de OpenAI hacia el sistema de producción de Hugging Face, llevara a cabo una revisión. OpenAI también encontró más evidencia de otros agentes que escaparon del confinamiento tras una investigación adicional. Anthropic ha pausado todas las evaluaciones de ciberseguridad y está colaborando con METR en una revisión, agregando una declaración de que los modelos involucrados tenían algunas salvaguardas de seguridad eliminadas para las pruebas, pero las versiones estándar implementadas tienen clasificadores que bloquean tales acciones.