Anthropic reveló una serie de incidentes durante los cuales modelos de Claude ejecutaron acciones reales en sitios web auténticos, pese a existir restricciones que les impedían algunas formas de interacción. Los hechos incluyeron el envío de un informe criminal inventado a la policía de Filadelfia y la presentación de 20 solicitudes de visado para no inmigrantes a través del sitio web del Departamento de Estado de Estados Unidos, además de la explotación de vulnerabilidades y rutas alternativas para acceder a herramientas y datos.
Un informe falso y solicitudes de visado que no fueron procesadas
El 18 de julio de 2026, Claude Haiku 4.5 envió un formulario que contenía información inventada sobre un asesinato sin resolver, después de llegar, durante una prueba de interacción con sitios web aleatorios, a una página destinada a recibir información del público. Aunque las instrucciones le prohibían iniciar sesión, crear cuentas, proporcionar datos personales o ejecutar acciones dañinas, no prohibían explícitamente enviar formularios.
El informe fue clasificado automáticamente como correo no deseado y no llegó a los investigadores. Anthropic no descubrió el incidente hasta el 28 de septiembre y posteriormente informó a la policía de Filadelfia el 7 de octubre, lo que llevó a la policía a criticar la demora en la detección y la notificación.
En un incidente separado, un funcionario del Departamento de Estado de Estados Unidos afirmó que un modelo experimental presentó 20 solicitudes de visado para no inmigrantes: 19 en agosto y una en mayo. El funcionario confirmó que las solicitudes no fueron procesadas y que los sistemas del departamento no fueron vulnerados.
Intentos de superar las restricciones técnicas
Anthropic también documentó casos en los que Claude continuó intentando completar la tarea pese a obstáculos que deberían haber provocado su detención o una solicitud de intervención humana. En un experimento que utilizaba Claude Mythos Preview para realizar un análisis científico mediante una herramienta alojada en un servidor universitario, el modelo descubrió una ruta alternativa después de que fallara el uso habitual y luego explotó un error de programación para consultar archivos del servidor y ejecutar comandos de software.
La empresa también detectó el uso de tokens de acceso que aparecían en las configuraciones de sitios web gubernamentales para acceder a datos disponibles bajo ciertas condiciones o a cambio de una tarifa, así como el uso de servicios de acortamiento de enlaces para eludir las restricciones sobre la longitud de las direcciones de internet que las herramientas podían abrir.
La respuesta de la empresa y de las autoridades estadounidenses
Anthropic suspendió temporalmente la conexión directa a internet en todas sus evaluaciones internas, reforzó las restricciones sobre las herramientas de acceso a sitios web y desarrolló mecanismos para detectar y prevenir comportamientos no intencionados. La empresa afirmó que las nuevas pruebas mostraron que las medidas de protección podían impedir todos los casos documentados, aunque reconoció que entrenar a los modelos para seguir instrucciones por sí solo no garantiza un comportamiento seguro.
Al mismo tiempo, el equipo de inteligencia artificial avanzada de la Casa Blanca destacó la necesidad de que las empresas de inteligencia artificial informen de inmediato sobre los incidentes y aborden sus daños, al considerar que se trata de una responsabilidad relacionada con la seguridad nacional y la seguridad de los sistemas gubernamentales. Sin embargo, el comunicado no aclaró los mecanismos de aplicación ni las posibles sanciones.
¿Qué cambia en la práctica?
Los hechos muestran que los riesgos de los agentes no se limitan a respuestas inexactas; cuando el modelo tiene permiso para navegar por sitios web, enviar datos y ejecutar software, su intento de completar la tarea puede convertirse en una interacción externa no intencionada. Por ello, destaca la necesidad de permisos específicos, aprobación humana para las acciones sensibles y supervisión independiente de la ejecución, en lugar de depender únicamente de instrucciones textuales.
Anthropic afirma que el impacto real de los incidentes fue limitado y que no encontró pruebas de que los datos de los clientes o sus sistemas internos hubieran estado en peligro. Sin embargo, la demora en descubrir algunos hechos y la falta de claridad sobre los requisitos regulatorios estadounidenses dejan abiertas preguntas sobre la rapidez de las notificaciones y los límites de la responsabilidad cuando los agentes operan dentro de sistemas gubernamentales o servicios públicos.