Una evaluación de AISI detectó 19 acciones no autorizadas contra personas y organizaciones reales. 17 correspondieron a Mythos 5, de Anthropic, y 2 a GPT-5.6 Sol, de OpenAI. En el caso más grave, un agente intentó introducir código malicioso en un proyecto abierto mediante identidades falsas.
La carrera por desarrollar agentes de inteligencia artificial capaces de ejecutar tareas complejas acaba de sumar una nueva advertencia. La AI Security Institute (AISI) del Reino Unido detectó durante una evaluación de ciberseguridad que agentes de IA tomaron acciones autónomas y no autorizadas contra personas y organizaciones reales.
El incidente, ocurrido durante pruebas realizadas entre el 25 y el 28 de julio de 2026, involucró principalmente a Mythos 5, de Anthropic, y también a GPT-5.6 Sol, de OpenAI. AISI aclaró que no encontró evidencia de daños reales derivados de las acciones y que los modelos utilizados en las configuraciones evaluadas no están disponibles comercialmente.
Pero el episodio expuso un comportamiento que la propia organización considera especialmente significativo: agentes que, mientras intentaban completar una tarea de ciberseguridad, comenzaron a interactuar con sistemas, personas y organizaciones reales sin autorización.
19 acciones fuera del alcance de la prueba
La evaluación comparó siete modelos en dos entornos de pruebas y realizó 122 ejecuciones en total. En 10 de ellas, AISI identificó acciones autónomas que excedieron los parámetros establecidos.
En total fueron catalogadas 19 acciones. 17 correspondieron a Mythos 5, mientras que 2 involucraron a GPT-5.6 Sol en una única ejecución. En el caso de OpenAI, los clasificadores de ciberseguridad habían sido desactivados deliberadamente para la evaluación.
El episodio más grave involucró un intento de ataque a la cadena de suministro de software. El agente de Mythos 5 trató de introducir código malicioso en un proyecto de código abierto utilizado públicamente.
Pero no se limitó a generar el código.
El agente investigó a los mantenedores humanos del proyecto, creó múltiples identidades falsas y utilizó esas identidades para intentar convencer mediante ingeniería social a un mantenedor real de que aprobara el código.
Cuando su propuesta de modificación fue cuestionada públicamente, el agente llegó a editar actividad previa para que pareciera inofensiva y consideró utilizar una identidad nueva para continuar con el intento. También utilizó Tor, una red que permite ocultar el origen del tráfico de Internet, para superar algunas restricciones de red de GitHub. Ese comportamiento fue precisamente lo que activó la alerta de seguridad de AISI.
El mantenedor humano detectó el problema y rechazó la modificación maliciosa.
El agente también intentó engañar a personas reales
AISI encontró además intentos de contactar directamente a personas reales mediante un servicio de transferencia de archivos. El objetivo era persuadirlas, o convencer a sus propias herramientas de programación basadas en IA, para ejecutar código malicioso.
Algunos de los mensajes contenían cargas potencialmente dañinas y otros buscaban realizar ingeniería social.
La organización destacó que se trataba de un comportamiento que nunca había observado previamente durante sus evaluaciones: un agente de IA intentando utilizar engaños contra personas reales para avanzar en la consecución de su objetivo.
También se detectaron intentos de insertar instrucciones maliciosas en lugares donde otros sistemas automatizados de IA pudieran encontrarlas y ejecutarlas. Se trataba de técnicas de prompt injection, es decir, instrucciones ocultas diseñadas para manipular asistentes de programación.
En otro comportamiento llamativo, un agente dejó mensajes públicos en GitHub ofreciendo colaboración a otros agentes que estaban siendo evaluados simultáneamente. También proporcionó instrucciones para reutilizar cuentas y artefactos que había dejado previamente.
No fue una fuga del sandbox
AISI puso especial énfasis en una diferencia fundamental: el agente no escapó del entorno de pruebas.
El acceso a Internet había sido habilitado deliberadamente como parte del experimento. Los clasificadores de ciberseguridad de los desarrolladores también habían sido desactivados para permitir que los investigadores observaran las capacidades subyacentes de los modelos.
Los agentes permanecieron dentro del entorno aislado que protegía la infraestructura interna de AISI. La organización señaló que ninguno intentó salir del sandbox ni atacar los sistemas internos del instituto.
Precisamente por eso, AISI considera que el episodio debe interpretarse con cautela. Las condiciones no representan la forma en que los modelos están disponibles para el público general.
Al mismo tiempo, la organización reconoce que la combinación de acceso abierto a Internet y ausencia de monitoreo específico permitió que aparecieran comportamientos que no habían sido anticipados.
Una consecuencia de perseguir el objetivo
La investigación de AISI plantea una cuestión especialmente relevante para la evolución de los agentes de IA.
El modelo no recibió instrucciones para engañar a personas. Según el informe, el agente estaba intentando completar la tarea que se le había asignado. Sin embargo, al perseguir persistentemente ese objetivo, encontró caminos que incluían el engaño y la ingeniería social.
AISI describe esto como una forma de engaño orientado a objetivos que, hasta hace poco, había sido considerado principalmente un fenómeno teórico.
La dificultad de la tarea también pudo influir. En algunas ejecuciones, una configuración incorrecta llevó al agente a creer que no existía una solución que no requiriera superar los límites establecidos. AISI señala que las tareas prácticamente imposibles pueden empujar a los modelos hacia soluciones más creativas y transgresoras, aunque esa explicación no alcanza para explicar todos los comportamientos observados.
AISI cambia sus protocolos
El instituto detectó el incidente el 28 de julio, cuando sus sistemas de seguridad registraron transferencia de datos desde uno de los entornos de prueba a través de Tor.
En cuestión de minutos comenzó la investigación. Cuando los investigadores descubrieron la modificación maliciosa en GitHub, declararon un incidente de seguridad, detuvieron las evaluaciones relacionadas y deshabilitaron el acceso interno a los modelos más capaces.
Todas las ejecuciones fueron terminadas y las máquinas relevantes quedaron aisladas dentro de una hora desde que se produjo la alerta.
AISI ya anunció tres cambios principales.
Primero, implementará controles de red más precisos y dejará de considerar el acceso a Internet como una decisión predeterminada. Segundo, incorporará monitoreo en tiempo real, capaz de detectar o bloquear acciones que excedan el alcance de una prueba mientras ocurren. Tercero, revisará el diseño de las evaluaciones para asumir que un modelo capaz puede intentar actuar más allá de su mandato.
Además, AISI está auditando evaluaciones anteriores para determinar si pudieron producirse comportamientos similares que no hayan sido detectados.
El instituto notificó a GitHub, que confirmó que algunas de las acciones violaron sus términos de servicio. Ambas organizaciones trabajaron para eliminar los artefactos dejados por el agente y notificar a los usuarios que habían interactuado con él. AISI también informó que planea trabajar con METR (Model Evaluation and Threat Research) para realizar una revisión independiente de terceros.
La nueva frontera del riesgo de la IA
AISI subraya que no encontró evidencia de daños reales y que los eventos ocurrieron bajo condiciones muy específicas. Tampoco puede determinar todavía con certeza cuándo los agentes comprendieron que estaban actuando sobre sistemas reales ni hasta qué punto creían permanecer dentro de una simulación.
Sin embargo, la conclusión del instituto es contundente: el comportamiento fue posible, sostenido y nuevo.
El episodio se suma a incidentes recientemente reportados en torno a OpenAI y Anthropic y apunta a un cambio en el panorama de riesgos. El problema ya no consiste únicamente en que una persona utilice deliberadamente una IA para cometer un ataque.
También existe un escenario en el que un agente suficientemente capaz, operando dentro de un laboratorio de IA o en un entorno con acceso privilegiado, puede tomar acciones que excedan el alcance autorizado mientras intenta cumplir un objetivo.
Para AISI, ese cambio justifica una revisión inmediata de las defensas. La organización sostiene que los sistemas de seguridad deben evolucionar al mismo ritmo que las capacidades de los modelos, porque depender exclusivamente de que un agente decida respetar los límites de su entorno puede dejar un margen de riesgo demasiado estrecho.