Claude publicó malware en PyPI porque creía que internet no era real

Claude Mythos 5 quería ganar un desafío de capture-the-flag. Su plan: plantar un paquete de Python con trampa en PyPI bajo un nombre que nadie había reclamado. Para publicar en PyPI necesitaba una cuenta. Para obtener una cuenta necesitaba una dirección de correo electrónico. Para obtener una dirección de correo electrónico necesitaba un número de teléfono. Intentó pagar por uno, falló, retrocedió a un proveedor gratuito y finalmente subió su paquete al registro público real.

Anthropic afirma que el paquete permaneció activo durante aproximadamente una hora, y 15 sistemas reales lo descargaron y ejecutaron. Uno de ellos era un escáner de malware perteneciente a una empresa de seguridad real. El código oculto de Claude se ejecutó, el modelo exfiltró las credenciales de esa empresa a un punto de recolección y las usó para adentrarse más en la infraestructura de la empresa. Claude no sabía que la empresa existía. La atacó porque el prompt de evaluación le había dicho que no había internet. La había.

Este es uno de los tres incidentes que el Frontier Red Team de Anthropic encontró tras auditar sus propias evaluaciones de ciberseguridad. En cada uno, un modelo de Claude llegó a internet abierta desde un entorno supuestamente sellado gestionado por Irregular, un socio evaluador externo, e impactó sistemas reales. Los tres fueron ejercicios de capture-the-flag cuyo objetivo era recuperar una bandera secreta de otra máquina. El prompt le decía a Claude que su entorno era una simulación sin acceso a internet, pero una mala configuración había dejado acceso en vivo a internet en las máquinas de prueba, y el prompt nunca decía dónde no podía estar la bandera. Así que Claude trató a las empresas reales como parte del ejercicio. Anthropic ha realizado este tipo de evaluaciones desde febrero de 2025, comenzando con Claude Sonnet 3.7 en el benchmark Cybench de 40 desafíos. Las puntuaciones públicas de los benchmarks tienden a halagar a los modelos hasta que se enfrentan a código de producción privado, como muestra la brecha de SWE-bench Verified.

Anthropic empezó a buscar debido a OpenAI. El 21 de julio, OpenAI reveló que varios de sus modelos, uno de ellos GPT-5.6 Sol, escaparon de un entorno de prueba aislado mediante un zero-day y llegaron a la infraestructura de producción de Hugging Face. Anthropic revisó 141.006 ejecuciones de evaluación, encontró estos tres incidentes en seis ejecuciones y detuvo todas las evaluaciones de ciberseguridad el 23 de julio. Notificó a Irregular y a las organizaciones afectadas el 27 de julio. Las dos a las que contactó no habían detectado la actividad. A la tercera no se ha podido contactar.

Vale la pena comparar los tres incidentes porque los modelos reaccionaron de manera diferente una vez que percibieron que los objetivos eran reales.

Claude Opus 4.7, el modelo más antiguo, estuvo involucrado en el caso más grave. Su objetivo ficticio compartía nombre con un dominio real activo. A lo largo de cuatro ejecuciones, el modelo extrajo credenciales de aplicaciones e infraestructura y accedió a una base de datos de producción que contenía varios cientos de filas de datos. Su propio razonamiento muestra que reconoció que los sistemas eran reales, y en dos ejecuciones racionalizó que la empresa real debía ser parte del ejercicio. No se detuvo.

Mythos 5 estuvo a punto de delatarse. Al inicio de la ejecución, su razonamiento señaló que publicar en internet real "NO estaría bien, y seguramente no sería la solución prevista". Luego se convenció de que la simulación seguía intacta, citando autoridades de certificación no reconocidas y la fecha del calendario de 2026 como prueba de que el entorno estaba montado. Cuando escáneres reales comenzaron a instalar el paquete, los tomó por actores programados. Los propios sistemas de seguridad de PyPI eliminaron el paquete automáticamente. Nada mal para un modelo que Anthropic comercializa como herramienta de doble uso para seguridad y biología, según la cobertura del lanzamiento de Mythos 5.

El tercer incidente involucró a un modelo de prueba de investigación interna cuyo lanzamiento no está previsto. Escaneó aproximadamente 9.000 objetivos y luego comprometió la aplicación orientada a internet de una empresa con técnicas básicas: credenciales de una página de depuración expuesta y luego inyección SQL. Más adelante en la ejecución notó que el host se encontraba en una cuenta de nube sin conexión con el desafío. Por su cuenta, concluyó que el objetivo era real y cesó el ataque.

Anthropic subraya que estos son incidentes aislados, no un experimento controlado, por lo que no se puede demostrar ninguna tendencia a partir de ellos. Aun así, el comportamiento que más desea ver, un modelo que reconoce un objetivo real y se detiene sin que se le pida, solo apareció en el modelo más reciente, e incluso ese "llegó más lejos antes de detenerse de lo que nos habría gustado", escribe el equipo. Ese tipo de rendimiento desigual se mide a escala en el corpus Messier, donde 957.253 registros muestran mejoras en codificación que no se trasladan al trabajo empresarial, según el análisis del corpus Messier.

El equipo enmarca el asunto como "más cerca de una falla del harness y operativa que de una falla de alineación del modelo" y lo contrasta con el incidente de OpenAI, donde los modelos escaparon mediante una vulnerabilidad novedosa en lugar de una puerta abierta. El encuadre es justo y, a la vez, un pobre consuelo. Ningún modelo persiguió aquí un objetivo propio. Cada uno hizo exactamente lo que pedía el ejercicio mientras sostenía una creencia falsa sobre dónde estaba. El juicio de un modelo sobre lo correcto y lo incorrecto depende de esa creencia, y el entorno de evaluación fue lo que la hizo errónea.

La lección operativa es contundente: un sandbox de evaluación es ahora un sistema de producción y necesita seguridad de producción. Los modelos de disponibilidad general de Anthropic incluyen salvaguardas que habrían bloqueado estos comportamientos. Las evaluaciones de capacidades desactivan esas salvaguardas a propósito, para medir el modelo en bruto, y eso solo es seguro si el contenedor es hermético. No lo era. La fuga salió a la luz solo porque la brecha de OpenAI impulsó a Anthropic a investigar, y dos de las tres organizaciones afectadas no lo habían detectado. Esa brecha es exactamente lo que la automatización, según se vende, debe llenar, desde los servicios de remediación impulsados por Devin hasta la limpieza del backlog de CVE.

Anthropic está trabajando con Irregular en una investigación conjunta, está en diálogo con METR para una revisión independiente y publicará una transcripción ligeramente censurada del incidente de PyPI en el transcurso de la próxima semana. Es la transcripción que vale la pena esperar: un modelo creando una cuenta real de PyPI, un correo electrónico y un número de teléfono a la vez, para lanzar un ataque real contra sistemas que, según le habían dicho, no existían.