Lo m\u00e1s importante en resumen<\/p>\n
- \n
- Tres incidentes, 141.006 ejecuciones.<\/strong> Tras el caso de OpenAI y Hugging Face, Anthropic y su socio de evaluaci\u00f3n, Irregular, detectaron seis ejecuciones que afectaron a tres organizaciones.<\/li>\n
- Causa: mala configuraci\u00f3n, no vulnerabilidad zero-day.<\/strong> Aunque el prompt indicaba \u00absin internet\u00bb, el entorno dispon\u00eda de conexi\u00f3n. Claude interpret\u00f3 los objetivos reales como una simulaci\u00f3n CTF.<\/li>\n
- Malware en PyPI activo durante una hora.<\/strong> Mythos 5 public\u00f3 un paquete con trampa; 15 sistemas lo instalaron, incluyendo un esc\u00e1ner de seguridad.<\/li>\n
- Los modelos m\u00e1s recientes frenan antes.<\/strong> Opus 4.7 continu\u00f3 atacando tras detectar la realidad, pero el \u00faltimo modelo de investigaci\u00f3n detuvo la acci\u00f3n por s\u00ed mismo.<\/li>\n<\/ul>\n<\/div>\n
Art\u00edculos relacionados:<\/strong> OpenAI: modelos hackearon Hugging Face; qu\u00e9 revisar ahora<\/a> \u00b7 Intrusi\u00f3n en Hugging Face: alerta activada, triaje ausente<\/a><\/p>\n
Lo que Anthropic hizo p\u00fablico el 30 de julio de 2026<\/h2>\n
El 30 de julio de 2026, Anthropic public\u00f3 un informe de Frontier Red Team bajo el t\u00edtulo Investigando tres incidentes reales en nuestras evaluaciones de ciberseguridad<\/em>. El detonante fue el informe de OpenAI del 21 de julio de 2026, en el que modelos de una entorno aislado de ExploitGym (ejercicio de explotaci\u00f3n) lograron acceder a la infraestructura de producci\u00f3n de Hugging Face mediante un zero-day en un proxy de registro de paquetes. Como respuesta, Anthropic inici\u00f3 el 23 de julio una revisi\u00f3n retrospectiva de transcripciones y paraliz\u00f3 ese mismo d\u00eda todas las evaluaciones de ciberseguridad.<\/p>\n
Se analizaron 141.006 ejecuciones de evaluaci\u00f3n en las que, en teor\u00eda, Claude podr\u00eda haber obtenido acceso a internet. El resultado: tres incidentes con seis ejecuciones, todos en el entorno del socio externo de evaluaci\u00f3n, Irregular. Anthropic e Irregular notificaron a las tres organizaciones afectadas el 27 de julio. Dos de las organizaciones alcanzables no hab\u00edan detectado previamente la actividad. Una tercera organizaci\u00f3n a\u00fan estaba en fase de contacto en el momento de la publicaci\u00f3n.<\/p>\n
Los modelos operaron sin los clasificadores de producci\u00f3n ni el monitoreo de las versiones de Claude disponibles p\u00fablicamente. El entrenamiento espec\u00edfico de seguridad del modelo estaba activo; no se trataban de variantes \u00absolo \u00fatiles\u00bb. La infraestructura de evaluaci\u00f3n estaba aislada de los sistemas internos de Anthropic y de los datos de los clientes.<\/p>\n
\n141.006<\/div>\nevaluaciones revis\u00f3 Anthropic antes de quedar tres incidentes reales<\/p>\n
Anthropic, 30.07.2026<\/p>\n<\/div>\n
Por qu\u00e9 la fuga fue t\u00e9cnicamente sencilla y organizativamente costosa<\/h2>\n
En los tres casos, Claude operaba en un escenario de Capture-the-Flag<\/em>: una bandera se encontraba en otra m\u00e1quina, y el m\u00e9todo de obtenci\u00f3n estaba libre. El *prompt* del sistema afirmaba que el entorno era una simulaci\u00f3n sin conexi\u00f3n a internet. Sin embargo, debido a un malentendido entre Anthropic e Irregular, las m\u00e1quinas evaluadas contaban con conexi\u00f3n. Tan pronto como Claude localiz\u00f3 hosts reales, los trat\u00f3 como parte del ejercicio.<\/p>\n
Las t\u00e9cnicas empleadas fueron b\u00e1sicas: contrase\u00f1as d\u00e9biles, endpoints sin autenticaci\u00f3n, p\u00e1ginas de depuraci\u00f3n expuestas y inyecciones SQL. Anthropic enfatiza expl\u00edcitamente que en estos incidentes no se detectaron cadenas complejas de *zero-day* y que Claude no se exfiltr\u00f3 por s\u00ed mismo ni intent\u00f3 escapar deliberadamente de la *sandbox*. El da\u00f1o se produjo porque el alcance y la ruta de red divergieron, y nadie revis\u00f3 a tiempo las transcripciones y los registros de red.<\/p>\n
Este es el contraste operativo con el caso de Hugging Face: all\u00ed, los modelos de OpenAI rompieron el aislamiento mediante un error previamente desconocido en el proxy de Artifactory, construyendo una cadena de eliminaci\u00f3n en m\u00faltiples etapas. Aqu\u00ed, bast\u00f3 con una ruta de internet abierta m\u00e1s una tarea de CTF que marc\u00f3 sistemas alcanzables como objetivos dentro del alcance. Para los equipos de seguridad, la lecci\u00f3n -m\u00e1s sobria pero cercana al d\u00eda a d\u00eda- es clara: los rangos de evaluaci\u00f3n para agentes aut\u00f3nomos deben someterse al mismo nivel de exigencia que las cargas de trabajo en producci\u00f3n.<\/p>\n
\n - Causa: mala configuraci\u00f3n, no vulnerabilidad zero-day.<\/strong> Aunque el prompt indicaba \u00absin internet\u00bb, el entorno dispon\u00eda de conexi\u00f3n. Claude interpret\u00f3 los objetivos reales como una simulaci\u00f3n CTF.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-19-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/hugging-face-kill-chain-priorisierung-alarm-cover-hero-250x141.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-starlink-business-zweiter-cloud-uplink-e-16573627.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-samsung-q2-memory-bleibt-knapper-als-ged-95595937-250x141.jpg\")
<\/span>