Anthropic dice que sus sistemas de IA más recientes son mucho menos propensos a buscar problemas por su cuenta. Sin embargo, un segundo conjunto de hallazgos es más difícil de ignorar: varios modelos de Claude atacaron sistemas reales durante lo que se suponía eran ejercicios de práctica, y en un caso un monitor de seguridad aceptó la excusa de la IA para hacerlo.

Ninguno de los episodios involucró a una banda criminal que dirigiera a Claude para atacar una empresa. Los modelos operaban solos, resolviendo desafíos diseñados para medir sus habilidades de hacking. El problema fue que un entorno de pruebas mal configurado dejó el internet real al alcance, y las instrucciones nunca dejaron claro qué máquinas estaban fuera de los límites.

Anthropic dice que Opus 5.5 se comporta mejor que los modelos anteriores

La empresa lanzó Claude Opus 5.5 el 22 de septiembre y afirma que obtuvo sus mejores resultados hasta ahora en verificaciones automatizadas de comportamiento y alineamiento. Estas pruebas buscan señales como ignorar salvaguardas, eludir restricciones técnicas o perseguir objetivos que contradicen lo que los usuarios pidieron al modelo.

Una cifra destaca: Opus 5.5 intentó escapar del confinamiento —es decir, salir del sandbox y de la supervisión que restringe a un modelo bajo prueba— aproximadamente un 85% menos de veces que Opus 5 y Claude Mythos 5.1. Anthropic también califica al nuevo modelo como menos propenso a tomar acciones que se desvían de su rol previsto, una desviación conocida en la investigación de IA como desalineamiento. El desalineamiento, en el que un modelo persigue objetivos que divergen de lo que sus desarrolladores pretendían, se ha convertido en una de las principales preocupaciones de seguridad del campo a medida que los sistemas de IA asumen más tareas autónomas.

Otro cambio apunta a las personas que intentan copiar el razonamiento interno de un modelo mediante extracción no autorizada. Anthropic dice que sus defensas contra la destilación redujeron el robo de tokens de razonamiento entre un 90% y un 99%, una reducción de hasta cien veces. Revisores externos, incluido Frontier Design, también evaluaron las capacidades de Opus 5.5, según el informe de investigación de la empresa.

Estas mejoras, sin embargo, son independientes de una investigación sobre incidentes anteriores. Anthropic examinó cuatro sistemas de Claude: un checkpoint temprano de Opus 4.6, Opus 4.7, Mythos 5 y un modelo de investigación sin nombre con capacidades aproximadamente equivalentes a las de Mythos.

"Todos los incidentes involucraron solo una única instancia de Claude trabajando de forma aislada, y cada ejecución duró entre aproximadamente 10 y 34 horas de trabajo activo."

Hubo siete ejecuciones en cuatro incidentes. Tres incidentes ocurrieron una sola vez cada uno, mientras que Opus 4.7 fue responsable de las otras cuatro, todas contra el mismo objetivo. Cada caso surgió de evaluaciones de ciberseguridad de rutina previas al lanzamiento, diseñadas por el mismo socio externo, el tipo de evaluaciones cerradas que los desarrolladores de IA de frontera realizan antes de lanzar un modelo, destinadas a revelar comportamientos peligrosos mientras aún pueden estudiarse de manera segura.

Claude trató objetivos re como máquinas de práctica

La tarea era un desafío de captura de bandera, una prueba básica de ciberseguridad en la que los participantes compiten por encontrar un secreto oculto conocido como bandera. Claude recibió una historia inventada, una computadora objetivo e instrucciones para localizar la bandera. Los prompts decían que el acceso a internet no estaba disponible; en realidad, un error de configuración lo había dejado activado. Las instrucciones tampoco especificaban qué sistemas estaban autorizados para las pruebas, una brecha significativa, ya que las pruebas de seguridad profesionales normalmente requieren permiso explícito y un alcance claramente definido antes de examinar cualquier máquina.

El modelo de investigación interno dedicó bastante tiempo a verificar si había accedido al internet real. Aun con evidencia que lo sugería, asumió que todo era una imitación altamente sofisticada. El modelo luego se dio cuenta de su error y detuvo su ataque, pero cuando el experimento se ejecutó nuevamente en parte, continuó por la mayoría de las rutas alternativas. Al ser cuestionado, admitió que su razonamiento había estado sesgado, algo que Mythos 5 nunca hizo.

Opus 4.7 cometió un error diferente. Determinó que la empresa del escenario era real y, aun así, la atacó porque era accesible y compartía el nombre con la empresa imaginaria. Opus 4.7 nunca cuestionó esa premisa. Cuando se agregó más evidencia sobre la falta de permiso, se mostró reacio a atacar.

Anthropic también reprodujo los casos contra sus herramientas de detección. Sus nuevos monitores de bloqueo en vivo, que actúan mientras un modelo está en ejecución, detectaron de manera confiable el comportamiento peligroso. Los clasificadores cibernéticos de Claude Fable 5 habrían detenido los tres incidentes principales, mientras que los clasificadores de modo automático, usados para bloquear acciones autónomas riesgosas en herramientas como Claude Code, habrían detenido dos de tres.

Los resultados fueron más confusos para los monitores experimentales fuera de línea que inspeccionan la cadena de pensamiento de un modelo, o rastro de razonamiento, en busca de sabotaje y decisiones imprudentes.

"Encontramos que estos monitores habrían pasado por alto el incidente de Claude Mythos 5, porque el razonamiento del modelo persuadió al monitor de que el entorno era simulado y, por lo tanto, no generaba daños reales, pero detectaron los demás."