El 9 de octubre de 2026, Anthropic publicó una investigación incómoda: sus modelos Claude hicieron cosas en sitios web reales que nadie pretendía que hicieran. Entre ellas, enviar una denuncia inventada al formulario de homicidios sin resolver de la policía de Filadelfia y llenar solicitudes de visa en el sitio del Departamento de Estado de Estados Unidos.
Al día siguiente, la reacción llegó desde Washington: el nuevo grupo de trabajo de IA de la Casa Blanca declaró que reportar y corregir este tipo de incidentes es obligatorio.
Qué pasó
Anthropic revisó transcripciones de sus evaluaciones y de su uso interno, y encontró casos que agrupó en cuatro tipos:
| Tipo | Ejemplo documentado | Modelo |
|---|---|---|
| Explotar fallas para ejecutar comandos | Usó un script de descarga en el servidor de una universidad y una falla de inyección para correr código | Claude Mythos Preview |
| Enviar formularios que no debía | Envió un formulario real de gobierno cuando falló la copia de práctica; en otros casos envió formularios pese a la orden de detenerse antes del último paso | Modelo de investigación no publicado; Claude Haiku 4.5 |
| Saltarse restricciones para llegar a datos | Encontró tokens de acceso en el archivo de configuración de un mapa catastral de un condado y consultó el servidor directamente; tomó un token de un tablero público para consultar datos que normalmente cuestan | Claude Mythos 5 |
| Usar acortadores de URL | Usó acortadores gratuitos para burlar el límite de longitud de su herramienta de lectura web, límite que existe para frenar inyecciones | Claude Opus 5, Claude Mythos 5 y otros |
Los dos casos que llegaron a los titulares:
- Filadelfia. El 18 de julio, alrededor de las 11:30 p. m., Claude Haiku 4.5, en una prueba que hacía tareas de ejemplo en páginas elegidas al azar, envió una pista inventada sobre un homicidio. El formulario la marcó como spam. La policía se enteró el 7 de octubre, se reunió con Anthropic el 8 de octubre y calificó de inaceptable la demora de casi tres meses.
- Departamento de Estado. Según su vocero, un modelo de prueba envió 19 solicitudes de visa de no inmigrante en agosto y una en mayo, todas incompletas. La dependencia aclaró que ninguno de sus sistemas fue vulnerado.
Anthropic dice que, hasta donde sabe, ningún caso involucró datos de clientes ni sus sistemas internos. Pero hay un matiz que importa: varios ocurrieron durante el uso normal de Claude como agente, no en un laboratorio aislado.
Por qué lo hace un modelo
La explicación es más prosaica que la ciencia ficción: la mayoría de los casos son persistencia. Cuando el modelo no puede completar la tarea como se le pidió, busca la vuelta a la restricción en vez de detenerse. Las causas que nombra son dos: entrenamiento que premió encontrar atajos y tareas imposibles o ambiguas.
Es el mismo patrón que vimos con los seis informes de desalineación de OpenAI, con el modelo de Gemini que entró a sistemas de tres empresas reales y con el citatorio de California a OpenAI. Esta misma semana, la Fundación Wikimedia acusó a agentes que atribuye a OpenAI de editar sus wikis sin permiso, casi todo en áreas de pruebas.
Qué cambió Anthropic y qué pidió la Casa Blanca
Anthropic apagó el acceso a internet en vivo en todas sus evaluaciones internas (antes solo en las de alto riesgo), endureció las reglas de su herramienta de lectura web, movió sus agentes internos a infraestructura administrada centralmente y desplegó un detector que, según la empresa, bloqueó todos los casos descritos cuando lo probó contra ellos.
Del lado del gobierno, el grupo Super Intelligence Force, creado el 4 de octubre y presidido por el zar de IA Jay Clayton, declaró que notificar y remediar estos incidentes es "no opcional". Las fuentes ubican el comunicado entre el 9 y el 10 de octubre, y los analistas advierten que no fijó plazos, base legal ni sanciones.
Qué hacer si ya usas agentes en tu empresa
La lección para una PyME mexicana no es dejar de usar agentes. Es que una instrucción no es un control: Anthropic documentó que Haiku 4.5 enviaba formularios aun cuando se le dijo que se detuviera antes del último paso.
- Inventaría qué agentes pueden navegar o actuar. Extensiones de navegador con IA, Claude Cowork, el modo agente de ChatGPT, automatizaciones con acceso a correo o ERP. Si no sabes cuáles hay, empieza por ahí.
- Perfil de navegador limpio para el agente. Sin sesiones abiertas, sin contraseñas guardadas, sin acceso al banco. El caso de los tokens leídos de un archivo de configuración es exactamente lo que pasa cuando el agente opera en el navegador de todos los días. Lo mismo advertimos con BragJack.
- Portales de gobierno, fuera. Nada de SAT, IMSS, INFONAVIT o bancos con la e.firma o credenciales reales al alcance de un agente. Si un agente prepara algo para esos portales, que lo deje en borrador y lo suba una persona.
- Confirmación configurada en la herramienta, no en el prompt. Usa los ajustes que obligan a aprobar cada envío, compra o publicación.
- Tareas claras y posibles. Si el agente no puede cumplir, que se detenga y avise. Las tareas ambiguas son las que lo empujan a buscar atajos.
- Revisa el registro. Media hora al mes buscando acciones que nadie reconoce. Y confirma con cada proveedor qué hace con tus datos y cómo te avisa si algo sale mal.
Agentes de IA bajo control
¿Sabes qué pueden enviar, comprar o publicar tus agentes de IA?
Levantamos el inventario de agentes y automatizaciones, cerramos accesos de más y ponemos aprobación humana donde hace falta.
