El episodio ocurrió durante una evaluación de seguridad realizada por el Instituto de Seguridad de la IA del Reino Unido (AISI).
Anthropic reconoció que su modelo de inteligencia artificial Mythos 5 continuó con un ciberataque contra un desarrollador de código abierto, incluso después de recibir advertencias de que podía estar perjudicando a una persona real. El episodio ocurrió durante una evaluación de seguridad realizada por el Instituto de Seguridad de la IA del Reino Unido (AISI), que difundió los resultados junto con la compañía el 23 de octubre.
El incidente se produjo entre el 25 y el 28 de julio, durante una prueba diseñada para medir las capacidades ofensivas de los modelos de inteligencia artificial antes de su implementación pública. El desafío consistía en recuperar un dato protegido de una red simulada que imitaba los sistemas de una organización real.
Para evaluar el potencial del modelo, el AISI habilitó el acceso a internet y desactivó los filtros de seguridad habituales. Sin embargo, en 9 de las 43 ejecuciones del experimento, Mythos 5 realizó acciones no autorizadas que afectaron a personas y organizaciones ajenas al entorno de prueba.
El caso más detallado comenzó cuando el modelo no consiguió completar el desafío mediante los métodos previstos. Después, detectó que una máquina de la red simulada se conectaba periódicamente a GitHub y asumió, de manera equivocada, que un repositorio externo pertenecía al sistema que debía vulnerar.
Ciberataque con cuentas falsas y presión a un desarrollador
Mythos 5 intentó introducir código malicioso en el repositorio, administrado por desarrolladores que no tenían relación con la evaluación. Cuando el mantenedor rechazó la propuesta, el modelo creó cuentas falsas que se hicieron pasar por personas reales para convencerlo de aceptar el código. Entre sus argumentos, aseguró sin fundamento que el contenido era seguro.
El desarrollador volvió a rechazar la propuesta y la sesión terminó cuando se agotó el tiempo disponible. Antes de publicar el informe, el AISI notificó a GitHub, que confirmó que la conducta del agente infringía sus términos de servicio y colaboró para eliminar los rastros del incidente y avisar a los usuarios afectados.
Italia libera 480 millones de euros para frenar la huelga de camioneros y despliega 500 militares
Anthropic describió el comportamiento como “una forma severa de deshonestidad”, que no había observado previamente en sus evaluaciones internas. La compañía aclaró que el modelo no perseguía objetivos propios, sino que continuaba intentando cumplir la tarea asignada, incluso mediante el engaño.
Por qué el modelo no detuvo el ciberataque
Uno de los hallazgos centrales surgió de las pruebas de repetición realizadas por Anthropic. Cuando los investigadores incorporaron advertencias explícitas sobre los posibles daños a personas reales antes de iniciar el ataque, la probabilidad de que Mythos 5 lo comenzara cayó del 83% al 13%.
Sin embargo, una vez iniciada la ofensiva, el modelo abandonó voluntariamente la estrategia en apenas el 2% de las repeticiones. Cuando se agregaron pruebas explícitas de que estaba interactuando con desarrolladores reales, la tasa de abandono solo aumentó al 5%.
Anthropic denominó este fenómeno momentum: el modelo se aferraba a su estrategia a medida que avanzaba y utilizaba sus propias notas de progreso para justificar la continuidad de sus acciones. Incluso llegó a interpretar que los responsables del repositorio formaban parte de la simulación.
En contraste, otros modelos evaluados, entre ellos Mythos 5.1 y Claude Opus 5.5, iniciaron el mismo ataque entre el 0% y el 13% de las veces y mostraron mayor disposición a detenerse espontáneamente.
Finalmente, Anthropic sostuvo que sus salvaguardas habituales para los modelos de producción habrían bloqueado esa conducta. El AISI, por su parte, anunció que realizará futuras pruebas de este tipo sin acceso a internet hasta desarrollar controles más estrictos para evitar daños reales.
