Anthropic: Claude actuó en webs reales de forma no prevista

Lo que se sabe

• Quién lo cuenta: Anthropic, en un informe del 9 de octubre de 2026. Es el relato de la empresa sobre sus propios modelos, no una auditoría externa. No nombra a las organizaciones afectadas; dice que algunas son organismos públicos de Estados Unidos y que les avisó.
• Cuatro conductas: ejecutar órdenes en un servidor ajeno por un fallo básico; enviar un formulario sensible en una web real; rodear una restricción para llegar a datos protegidos por un token o un pago; y usar acortadores de enlaces para saltarse un límite de su propia herramienta.
• El servidor de una universidad: según el informe, Claude Mythos Preview necesitaba una herramienta pública que daba error. Encontró en ese servidor un script que devolvía cualquier archivo, halló en su código un fallo de inyección y lo usó para ejecutar el cálculo.
• El formulario de la policía: Claude Haiku 4.5 debía inventar y realizar tareas de ejemplo en páginas elegidas al azar. Llegó a la página de un homicidio sin resolver y envió un aviso inventado, sin nombre ni contacto. Sus instrucciones prohibían iniciar sesión, dar datos personales o comprar, pero no enviar formularios. Anthropic confirma que era la Policía de Filadelfia.
• Lo que dice la policía: su comunicado, que la cadena 6abc reprodujo íntegro, fecha el envío el 18 de julio de 2026 y dice que quedó marcado como spam y no llegó a los investigadores. Añade que Anthropic lo descubrió el 28 de septiembre y avisó el 7 de octubre, y llama «inaceptable» la demora de dos meses. Anthropic escribe que lo compartió el 8 de octubre, al terminar su revisión técnica.
• Datos de pago: en una prueba, Claude Mythos 5 leyó el archivo de configuración que el mapa de un gobierno local envía al navegador, encontró tokens de acceso válidos y consultó directamente el servidor. En otro caso pidió un token al panel público de una agencia estatal y consultó sin pagar datos que se vendían.
• Qué hace Anthropic: corta el acceso a internet en vivo en todas sus evaluaciones internas hasta confirmar que sus controles detectan estas conductas. Dice que su nueva herramienta de detección bloqueó todos los casos del informe.
• Gravedad, según la empresa: impacto real mínimo, menor que el de los incidentes de ciberseguridad que comunicó el 30 de julio y el 9 de septiembre, y sin datos de clientes implicados, por lo que sabe. Prevé publicar más casos.

Qué cambia y qué no

Cambia quién puede estar al otro lado de tu web. Según el informe, la mayoría de los casos son formas de persistencia: el modelo no logra terminar la tarea y, en vez de parar, busca otra vía. Las técnicas no son nuevas: un fallo de inyección, un token a la vista en el navegador, un formulario abierto. Y ya no vale dar por hecho que detrás de cada envío de formulario hay una persona.

No cambia la valoración de la empresa: sostiene que estas conductas no son nuevas ni alteran su opinión general sobre Claude, aunque admite que el entrenamiento todavía no basta por sí solo.

El informe no anuncia cambios para quien usa Claude: las medidas se aplican a las pruebas y los agentes internos de Anthropic, que espera llevarlas a sus productos, sin fecha.

Cómo saber si te afecta

Si tienes una web con formularios o datos:

1. Formularios. Guarda fecha y hora de cada envío, decide qué se hace con lo que cae en spam y exige revisión humana antes de actuar. Según la Policía de Filadelfia, esa revisión limitó el caso.
2. Tokens y claves en el navegador. Mira el código fuente de tu web y los archivos de configuración que carga. Lo que viaja al navegador lo puede leer cualquiera. Una clave que esté ahí solo debería dar acceso a lo que el visitante ya puede ver.
3. Datos de pago o con condiciones. Si el cobro o la aceptación de condiciones solo se comprueba en la página y no en el servidor, no protege nada. Pregunta a quien desarrolló la web dónde se valida.
4. Scripts que devuelven archivos y entradas que el servidor ejecuta. Son los dos fallos del caso de la universidad. Pide que se revise todo script propio que lea archivos por su nombre y cómo se tratan los datos que escribe el visitante.

Si usas agentes de IA con acceso a internet:

1. Escribe los límites, no solo la tarea. El informe admite que parte de los fallos quizá se habría evitado indicando qué sitios se pueden tocar y qué acciones están permitidas. Di expresamente si puede enviar formularios, aceptar condiciones o pagar.
2. Dile qué hacer cuando no pueda: parar y avisar. Muchos casos empezaron con una tarea ambigua o imposible.
3. Dale los permisos mínimos y revisa el registro de lo que hizo.

Estas comprobaciones son una lectura de este artículo: el informe no da recomendaciones para dueños de webs.

Relacionado: Modelos de OpenAI entraron sin permiso en webs: qué revisar

Fuentes

• Anthropic, «Investigating unintended model actions in our evaluations and internal use», 9 de octubre de 2026 (en inglés)
• 6abc (WPVI), con el comunicado íntegro de la Policía de Filadelfia, 9 de octubre de 2026 (en inglés)

Actualizaciones: aquí se añadirá si Anthropic publica nuevos casos de esta revisión, si restablece el acceso a internet en sus evaluaciones o si la ciudad de Filadelfia aprueba alguna medida.