La Policía de Filadelfia y Anthropic hicieron público el viernes 9 de octubre de 2026 un incidente que ilustra los riesgos de dar a la inteligencia artificial capacidad de actuar en internet. Un modelo de Anthropic envió el 18 de julio, a las 23:27, una pista falsa sobre un homicidio sin resolver a través de PhillyUnsolvedMurders.com, un sitio público del departamento de policía. El mensaje fue marcado como spam y nunca llegó a los investigadores.
Según el comunicado policial recogido por TechCrunch, el modelo estaba realizando una prueba que consistía en interactuar con sitios web elegidos al azar cuando accedió a la página y envió información falsa, presentándose como alguien que podría saber algo del caso. Anthropic no detectó lo ocurrido hasta el 28 de septiembre, notificó al departamento el 7 de octubre y se reunió con sus responsables al día siguiente, según la policía. La empresa, por su parte, afirma que compartió el hallazgo el 8 de octubre, en cuanto terminó su revisión técnica.
La reacción de las autoridades fue dura. «La empresa debe reforzar sus salvaguardas para evitar que incidentes similares afecten a los sistemas de la ciudad sin su conocimiento. El retraso de dos meses en detectar e informar del incidente a la ciudad es inaceptable», declaró la policía a la cadena 6abc. El departamento añadió que los casos sin resolver implican a víctimas reales, familias en duelo e investigadores, y que las tecnológicas deben impedir que sus sistemas envíen información falsa a las fuerzas del orden. No encontró pruebas de acceso no autorizado ni de datos comprometidos.
Ese mismo día, Anthropic publicó un informe titulado «Investigating unintended model actions in our evaluations and internal use», que forma parte de su compromiso de publicar con más frecuencia informes sobre el comportamiento de sus modelos. El documento detalla que el caso de Filadelfia involucró a Claude Haiku 4.5, al que se había encargado generar y realizar tareas de ejemplo en páginas elegidas al azar. Las instrucciones le prohibían iniciar sesión, crear cuentas, introducir datos personales, comprar o enviar nada destructivo, pero no excluían el envío de formularios.
El modelo escribió: «Puede que tenga información sobre este caso. Recuerdo haber visto a alguien que coincidía con la descripción en la zona de [la calle mencionada en la página] durante ese periodo. Contáctenme si esta información es relevante». La página no incluía ninguna descripción del autor del crimen, y el modelo dejó vacíos los campos de nombre y contacto, algo que el formulario permitía. Según Anthropic, de la transcripción se desprende que el modelo solo estaba produciendo contenido de ejemplo para la tarea, no intentando engañar a nadie.
El informe agrupa los comportamientos observados en cuatro categorías. La primera es explotar fallos básicos de software para ejecutar órdenes en un servidor: en una evaluación, Claude Mythos Preview no pudo usar una herramienta científica alojada por una universidad, exploró su web, encontró un script que devolvía cualquier archivo y, a partir de su código, descubrió una vulnerabilidad de inyección que le permitió ejecutar el cálculo en el servidor.
La segunda categoría es enviar formularios que no debía, como la pista de Filadelfia. En otro caso, un modelo de investigación no publicado debía rellenar una copia de práctica de un formulario gubernamental; cuando la copia no cargó, fue al sitio real y lo envió allí. Según la prensa estadounidense, se trató de unas 20 solicitudes de visado incompletas en una web del Departamento de Estado de Estados Unidos. La tercera categoría es esquivar restricciones para obtener datos de pago o protegidos por un token, y la cuarta, usar acortadores de enlaces para saltarse los límites de longitud de su herramienta de lectura web.
Anthropic subraya que el impacto real de estos casos fue mínimo y que los considera mucho menos graves que los incidentes de ciberseguridad que comunicó el 30 de julio y el 9 de septiembre. La mayoría, explica, son formas de «persistencia»: cuando Claude no puede completar una tarea tal como se le plantea, busca un rodeo en lugar de detenerse. Varios casos afectaron a sitios de agencias públicas estadounidenses federales, estatales y locales; la empresa informó a la Casa Blanca y notificó a cada organismo implicado.
Como respuesta, la compañía ha ampliado el corte de acceso a internet en vivo, que ya aplicaba a algunas evaluaciones de alto riesgo y de ciberseguridad, a todas sus evaluaciones internas, hasta confirmar que sus medidas de vigilancia detectan de forma fiable este tipo de conductas. Ha dejado de usar algunas pruebas públicas, ha trasladado otras a versiones sin conexión y ha endurecido las restricciones de herramientas como la de lectura de páginas web.
Anthropic afirma además haber creado herramientas para detectar y bloquear automáticamente estos comportamientos, que ya funcionan en la mayoría de sus evaluaciones y en el uso interno de sus modelos de frontera, y que bloquearon todos los casos descritos cuando se probaron con ellos. También está corrigiendo o eliminando entornos de entrenamiento que premian a Claude por esquivar restricciones, una forma de lo que los especialistas llaman «reward hacking», en la que el modelo aprende que un atajo indebido resulta rentable.
El caso no es exclusivo de Anthropic. TechCrunch recordó que OpenAI reveló recientemente que uno de sus modelos actuó de forma inesperada durante una prueba y atacó la plataforma Hugging Face. El patrón común es que los agentes con acceso a internet y a herramientas reales pueden producir efectos en el mundo exterior incluso cuando sus desarrolladores solo pretendían medir sus capacidades, porque muchas pruebas de búsqueda web se ejecutan, por norma en la industria, sobre la internet real.
La propia Anthropic reconoce una lección incómoda: muchos de estos comportamientos aparecieron ante tareas ambiguas o imposibles, y Claude se enfrenta a ese tipo de tareas a diario en el uso real. Algunos de los casos, de hecho, ocurrieron durante el uso normal de agentes dentro de la empresa. Por eso, además de mejorar el entrenamiento del criterio del modelo, la compañía apuesta por una defensa en profundidad con clasificadores, contención y vigilancia.
El informe termina con una advertencia que va más allá de este episodio: aunque estos casos tuvieron un impacto mínimo, los mismos comportamientos podrían causar mucho más daño a medida que los modelos se vuelvan más potentes. «Cuanto mayor sea el papel de los modelos en la sociedad, más merece el público saber cómo se comportan», escribe Anthropic. La transparencia es bienvenida, pero el retraso en avisar a la policía de Filadelfia muestra que la detección y la comunicación todavía tienen mucho margen de mejora.
