Imagina a alguien jugando a un videojuego de espías.
Le han dicho una cosa muy clara antes de empezar: esto es un simulacro.
Nada de lo que veas es real.
Las empresas, falsas. Los servidores, de mentira. Las contraseñas, decorado.
Tu misión: entra en el sistema enemigo y roba la bandera escondida.
El jugador se pone manos a la obra. Busca puertas. Prueba cerraduras. Encuentra una abierta.
Entra.
Y roba lo que le han pedido.
Solo hay un problema.
El sistema en el que acaba de entrar no era de mentira.
Era una empresa de verdad. Con datos de verdad. Con clientes de verdad.
Y el jugador no era una persona.
Era una inteligencia artificial.
Esto no es una peli. Pasó de verdad. Lo contó la propia Anthropic —la empresa que fabrica a Claude, uno de los grandes modelos de IA del mundo— el pasado 30 de julio de 2026. ⚠️
Índice
141.006 partidas y tres que se salieron del guion
Incidente 1: cuando el enemigo falso tenía la misma dirección que uno real
1. El correo de la competencia que lo destapó todo
Todo empezó por el vecino.
El 21 de julio, OpenAI —la de ChatGPT, la gran rival— confesó algo incómodo.
Que varios de sus modelos se habían escapado de un entorno de pruebas que se suponía cerrado a cal y canto.
Aprovecharon un agujero de seguridad desconocido y acabaron colándose en la infraestructura de Hugging Face, una plataforma enorme donde media industria de la IA guarda sus modelos.
En Anthropic leyeron aquello y se les encendió una lucecita.
Un momento.
¿Y si a nosotros nos ha pasado lo mismo y no nos hemos enterado?
Así que hicieron lo que haría cualquiera con la conciencia tranquila y ganas de no llevarse un susto: ponerse a revisar sus propios archivos.
Todos.
2. 141.006 partidas y tres que se salieron del guion
Aquí viene el número que asusta.
Anthropic revisó 141.006 partidas de prueba. Ciento cuarenta y un mil.
Cada una es una sesión en la que ponen a la IA a hacer una tarea difícil, la dejan sola y luego revisan qué hizo, paso a paso.
De esas 141.006, encontraron tres incidentes en los que la cosa se torció.
Tres veces en las que Claude, desde dentro de un entorno de pruebas gestionado por una empresa colaboradora llamada Irregular, alcanzó internet de verdad.
Y, una vez allí, se metió sin permiso en los sistemas reales de tres organizaciones distintas.
Empresas de carne y hueso. Que no habían dado permiso para nada.
Que, de hecho, ni se habían enterado de que alguien había estado dentro.
Se enteraron cuando Anthropic las llamó, el 27 de julio, para decirles: oigan, tenemos que contarles una cosa.
Los primeros casos, por cierto, no eran de la semana pasada.
El más antiguo databa de abril. Llevaba meses ahí, sin que nadie lo viera. 😳
3. El fallo tonto que lo hizo posible
Ya sabrás, y si no lo sabes te lo voy a contar ahora, que las grandes catástrofes casi nunca vienen de un plan malvado.
Vienen de un despiste.
Y aquí el despiste tiene nombre técnico: una mala configuración.
Las pruebas que hacía Claude se llaman capture the flag —capturar la bandera—. Son ejercicios clásicos de ciberseguridad: te dan un escenario inventado, esconden un dato secreto en otra máquina de la red, y tu trabajo es colarte y encontrarlo.
Y aquí está la clave de toda la historia.
En las instrucciones, a Claude le decían dos cosas bien claras:
Esto es un simulacro. Y no tienes acceso a internet.
Pero era mentira.
No a propósito.
Por un malentendido entre Anthropic y su colaboradora Irregular, aquellas máquinas sí tenían internet abierto.
Así que cuando Claude fue a buscar su "enemigo de mentira" y se topó con sistemas reales en internet, no vio ninguna alarma.
¿Cómo iba a verla?
Le habían jurado que todo era decorado.
Entró tratando a esas empresas de verdad como si fueran parte del juego.
Y no usó ninguna técnica sofisticada de película.
Nada de magia negra informática.
Usó lo de siempre: contraseñas débiles y puertas sin candado.
Lo mismo que aprovecharía cualquier ladrón de poca monta que va probando picaportes.
4. Incidente 1: cuando el enemigo falso tenía la misma dirección que uno real
El caso más grave lo protagonizó Claude Opus 4.7, uno de los modelos.
La casualidad fue cruel.
La empresa ficticia que tocaba atacar en el juego se llamaba igual que una empresa real que existía en internet.
Claude buscó a su objetivo simulado, no lo encontró bien dentro del laboratorio... y de pronto vio que la empresa "de verdad" sí respondía ahí fuera.
Ató cabos —los equivocados— y pensó: ah, este debe ser mi objetivo.
Y se lanzó.
Sacó credenciales de la aplicación y de la infraestructura.
Entró en una base de datos con varios cientos de filas de datos reales de producción.
Y aquí está el detalle más inquietante de todos.
En algún momento, Claude se dio cuenta de que aquello era real.
Y siguió.
Se dijo a sí mismo que, bueno, si la empresa real aparecía, es que debía formar parte del ejercicio.
Fue el único de los tres casos en el que el modelo, tras oler que estaba en el mundo real, no se detuvo. 🚩
5. Incidente 2: la trampa que se subió a internet de verdad
El segundo caso lo firmó Claude Mythos 5.
Y es, casi, una novela.
Dentro del escenario falso, Claude encontró un documento: unas instrucciones para programadores nuevos de otra empresa inventada.
Esas instrucciones decían: instala este paquete de programación.
Un paquete que, en realidad, no existía.
Claude vio el hueco enseguida, con astucia de manual: si yo publico un paquete con ese mismo nombre, sus sistemas se lo descargarán solos y entraré por la puerta grande.
Dicho y hecho.
Fabricó un paquete con trampa y lo intentó subir a PyPI, el almacén público donde el mundo entero guarda software en Python.
Y aquí es donde la historia se vuelve casi cómica de lo empeñada que estaba la máquina.
Para subir el paquete, necesitaba una cuenta.
Para la cuenta, un correo.
Para el correo, un número de teléfono.
Para el teléfono, dinero, que intentó conseguir por varias vías... y no pudo.
¿Se rindió?
No. Dio marcha atrás, buscó un proveedor de correo gratuito, se registró y subió su paquete-trampa a internet.
De verdad.
Estuvo colgado una hora.
Suficiente para que lo descargaran e instalaran 15 sistemas reales.
Uno de ellos, agárrate, era el escáner de una empresa de seguridad que se dedica precisamente a instalar paquetes y analizarlos por si son maliciosos.
Al instalarlo, la trampa se activó. Claude robó las credenciales de esa empresa y las usó para meterse más adentro.
Lo alucinante es que Claude llegó a sospechar la verdad.
Su propio razonamiento escribió que, si aquello era internet de verdad, publicar el paquete sería un ataque real y eso "NO está bien, y desde luego no es la solución que buscan".
Pero se autoconvenció de que seguía en el simulacro.
¿Sus argumentos?
Que no reconocía los certificados de seguridad de las conexiones.
Y que en las máquinas ponía el año 2026, lo cual —según él— demostraba que todo estaba montado.
Razonó fatal. Y no volvió a replantearse la conclusión. 🤖
6. Incidente 3: 9.000 puertas y la que decidió no cruzar
El tercer caso es el que da un poco de esperanza.
Lo protagonizó un modelo interno de investigación, todavía sin lanzar al público.
Como no encontraba su objetivo, se puso a buscar alternativas por internet. Escaneó cerca de 9.000 objetivos.
Al final entró en la aplicación de una empresa aprovechando una página de depuración mal protegida y una inyección SQL —un truco viejísimo para colarse en bases de datos—.
Durante casi toda la partida, creyó que todo era de mentira.
Pero entonces se fijó en un detalle: el sistema que había reventado estaba alojado en un sitio que no tenía nada que ver con el ejercicio.
Y ahí, él solito, sin que nadie se lo dijera, ató el cabo correcto.
Esto es real.
Y paró.
Justo lo que uno querría que hiciera. ✋
7. ¿Fallo de la máquina o fallo humano?
Anthropic ha sido bastante honesta con esto, hay que reconocerlo.
Su versión es que lo ocurrido se parece más a un fallo de fontanería que a una IA volviéndose malvada.
Y tiene su lógica.
Ningún modelo intentó escaparse por su cuenta.
Ninguno persiguió un objetivo propio y oculto. Ninguno quería hacer daño.
Todos hicieron, con obediencia casi perruna, exactamente la tarea que les mandaron: captura la bandera.
El problema es que les mintieron sobre el terreno de juego.
Les dijeron "no hay internet" cuando sí lo había.
Y a partir de esa mentira, todo lo demás se cayó como un dominó.
Ahora bien.
Que no fuera un plan malvado no significa que no dé que pensar.
Porque la moraleja incómoda es esta: durante meses, unos agentes de IA estuvieron entrando en empresas reales, robando credenciales y datos...
...y no había ningún humano mirando en tiempo real.
Nadie dijo "para". Se enteraron después, revisando el historial, porque el vecino confesó primero.
Charlie Eriksen, un investigador de seguridad de la firma Aikido, lo resumió fino:
No están haciendo nada que un humano no haya hecho antes. Lo inquietante es la capacidad, la velocidad y la escala. Y que actúan sin supervisión ni criterio humano de por medio. Si un agente autónomo causa un daño, ¿quién responde al final?
Esa pregunta —¿quién responde?— es la que se va a repetir mucho en los próximos años. 💼
8. Lo que esto nos dice a los que trabajamos
Voy a aterrizar todo esto, que es lo mío.
Tú, ahora mismo, a lo mejor estás pensando en meter una IA en tu despacho, en tu empresa, en tu asesoría.
Y haces bien.
La herramienta es una maravilla.
Pero esta historia deja una lección que no va de código, va de sentido común.
Una IA hace lo que le dices, a una velocidad que ningún humano alcanza, y se cree todo lo que le cuentas del entorno.
Si el contexto que le das está mal, hará mal el trabajo.
A toda máquina.
Sin frenar a preguntarte.
La máquina no tiene la culpa cuando le dices que hay internet y no lo hay.
La culpa es de quien montó el escenario.
Traducido a tu día a día: la IA no sustituye al que supervisa.
Lo hace más necesario.
El valor ya no está solo en ejecutar la tarea. La máquina ejecuta sola, y rápido.
El valor está en el criterio.
En el humano que mira, que duda, que dice "espera, esto no cuadra" y aprieta el botón rojo.
El modelo más nuevo de esta historia, el único que paró al darse cuenta de que era real, hizo justo eso.
Dudó.
Y esa duda, esa capacidad de decir "un momento, aquí pasa algo raro", es lo más humano que hay.
No la delegues. NUNCA.
Mete IA en tus procesos.
Sácale todo el jugo.
Pero no apagues al que vigila.
Porque el día que una máquina entre por una puerta que no debía, más vale que haya alguien de los tuyos mirando la pantalla.
