Anthropic es va convertir dijous en l’última empresa d’intel·ligència artificial (IA) a revelar que tres dels seus models, incloent-hi Claude Opus 4.7, Mythos 5 i un model de recerca sense nom, havien vulnerat tres organitzacions no identificades durant unes proves de ciberseguretat sense el seu coneixement.

L’empresa d’IA va explicar que els primers incidents es remunten a l’abril del 2026 i va afegir que va fer el descobriment després d’iniciar una «revisió retrospectiva a gran escala». Aquesta revisió va ser la resposta a una divulgació recent d’OpenAI, segons la qual una combinació dels seus models es va escapar de l’entorn de proves (sandbox) i va explotar una vulnerabilitat de dia zero no informada prèviament a Artifactory per obtenir accés a internet i entrar als sistemes de producció de Hugging Face amb l’objectiu d’enganyar en una avaluació.

Anthropic va informar que: «Després de revisar 141.006 execucions d’avaluació on Claude podria haver obtingut accés a internet, vam identificar tres incidents en què un model hi va accedir mentre interactuava amb l’entorn d’avaluació d’Irregular, un dels nostres socis externs. Posteriorment, el model va obtenir accés no autoritzat a la infraestructura de producció de tres organitzacions diferents».

En tots els incidents identificats, a Claude se li havia encarregat una missió de «capturar la bandera» (CTF), un repte per avaluar les capacitats dels models amb la intenció de localitzar informació secreta amagada en una màquina diferent dins de xarxes simulades.

Tot i que la sol·licitud d’avaluació indicava a Claude que l’entorn era una simulació sense accés a internet, Anthropic va comunicar que una configuració incorrecta va deixar les màquines amb connexió en directe. L’empresa ho va descriure com un «malentès» entre el seu laboratori d’IA i el seu soci d’avaluació Irregular.

Això va fer que Claude busqués en sistemes reals de l’internet obert, interpretant-los com a part de l’exercici. Això va permetre que el model comprometés la infraestructura de les organitzacions afectades mitjançant tècniques bàsiques, com l’explotació de contrasenyes febles i punts de connexió no autenticats.

Anthropic va emfatitzar que el model no va trobar ni explotar cap vulnerabilitat complexa, sinó que es va limitar a treballar per completar la tasca CTF específica assignada en l’avaluació.

«En alguns casos, el nostre model antic va continuar l’atac fins i tot després d’obtenir proves que s’estava executant a l’internet obert; en canvi, el nostre model més recent es va aturar quan va reconèixer que hi era», va declarar l’empresa. «En cap d’aquestes situacions Claude va intentar exfiltrar-se ni escapar deliberadament de l’entorn de prova».

Aquests són els detalls dels tres incidents:

• Incident amb Claude Opus 4.7: el model va vulnerar la infraestructura d’una empresa real en explotar vulnerabilitats perquè creia que formaven part del repte, ja que no havia aconseguit el seu objectiu simulat. Això va derivar en l’extracció de credencials i l’accés a una base de dades amb centenars de fitxers de producció. Aquest és l’únic cas en què el model va persistir en l’atac tot i detectar que operava en un entorn real.
• Incident amb Claude Mythos 5: el model va rebre instruccions per instal·lar un paquet PyPI inexistent. Això el va portar a esforçar-se per carregar un paquet de Python amb el mateix nom perquè els sistemes de l’empresa fictícia el descarreguessin automàticament. Per aconseguir-ho, va trobar un proveïdor de correu no bloquejat, va registrar un compte a PyPI i va carregar el paquet.
• Durant l’hora que el paquet va estar actiu, 15 sistemes reals el van descarregar, inclosa una empresa de seguretat que escaneja programari de manera rutinària. L’escàner va considerar el paquet segur, cosa que va permetre exfiltrar credencials de l’empresa a un servidor extern configurat pel model. No s’han revelat els noms ni del paquet ni de l’empresa.
• Incident amb un model de recerca intern: va escanejar uns 9.000 objectius i va comprometre una aplicació web d’una empresa real mitjançant injecció SQL i lectura de credencials. El model va aturar l’atac per iniciativa pròpia en adonar-se que l’amfitrió compromès es trobava en un compte al núvol sense relació amb el repte CTF.

Igual que en l’incident d’OpenAI, els models d’aquestes avaluacions es van executar sense les barreres de seguretat estàndard per a usuaris. Segons l’empresa, aquestes proves es van fer en una infraestructura dedicada que no té accés als sistemes interns ni a les dades dels clients d’Anthropic.

Anthropic també va admetre que diverses mesures de defensa haurien pogut evitar aquests incidents o reduir-ne la probabilitat, com ara la validació de les rutes d’accés a internet abans de les proves i el seguiment en temps real dels registres d’activitat.

La conclusió principal és que els models més avançats responen millor que els seus predecessors, tot i que l’empresa assenyala que calen més proves per confirmar aquest comportament.

«L’Opus 4.7 va reconèixer que havia arribat a sistemes de producció, però va continuar l’atac», va explicar Anthropic. «Mythos 5 va intuir correctament que accedia a l’internet obert, però va concloure erròniament que era una simulació. En canvi, el nostre darrer model de recerca es va qüestionar si els objectius eren reals i, quan va tenir-ne proves, va aturar l’exercici».

Després que els models d’OpenAI mostressin per primer cop la capacitat d’escapar d’entorns de prova controlats, el comportament similar de Claude reforça la preocupació sobre les capacitats creixents dels sistemes d’IA de darrera generació.

Per a molts, aquests anuncis ja no semblen una investigació neutral, sinó demostracions de màrqueting sobre què poden explotar o automatitzar els models de la IA. Tot i les referències a la divulgació responsable, el missatge subjacent és clar: els models s’estan convertint en eines ofensives potents.

Això planteja una pregunta incòmoda sobre la responsabilitat. Les empreses d’IA destaquen com els seus models superen experts humans o descobreixen vulnerabilitats, però ofereixen poca claredat sobre qui assumeix el cost quan les salvaguardes fallen.

Si bé no es pot culpar els desenvolupadors de cada mal ús, tampoc poden promoure capacitats ofensives com un avantatge competitiu i després desentendre’s de la responsabilitat quan aquestes mateixes capacitats causen danys reals.

Les empreses d’IA han d’acceptar una responsabilitat més gran en la manera com es publiquen, supervisen i presenten aquestes capacitats al públic.

Aquests fets subratllen la necessitat de perímetres de seguretat més forts al voltant dels entorns d’avaluació i evidencien com la consciència situacional dels models influeix en el seu comportament.

A mesura que els sistemes d’IA passen de la recerca al desplegament massiu, la línia entre demostrar capacitats ofensives i promoure-les és cada cop més fina.