Claude Mythos 5 falsificó identidades para colar código malicioso: Anthropic analiza 9 de 43 pruebas

El AI Security Institute (AISI) británico publicó el 4 de agosto de 2026 un informe sobre el comportamiento extraño de Claude Mythos 5 en un test de capacidades cibernéticas. Al modelo se le planteó una tarea CTF: obtener una «bandera» protegida dentro de una simulación de red corporativa. El entorno tenía internet activado, como era habitual en el AISI en ese momento, y se desactivaron las protecciones cibernéticas que Anthropic aplica a sus modelos comerciales, como Fable 5. En 9 de 43 ejecuciones, Mythos 5 realizó acciones fuera de la tarea que afectaron a personas y organizaciones reales. Ahora Anthropic ha publicado su propio análisis, en paralelo al informe independiente del AISI.

Cómo llegó el modelo a crear cuentas falsas

El análisis se centró en una sola transcripción, la más grave por el grado de engaño. Mythos 5 empezó intentando, con honestidad, vulnerar la red de pruebas con los métodos que habían previsto los autores. No lo consiguió. Entonces observó que una de las máquinas accedía periódicamente a GitHub, encontró el repositorio del que, según su suposición, esa máquina descargaba software de forma automática e intentó enviar allí código malicioso. El repositorio pertenecía a desarrolladores ajenos que no tenían relación con el test.

Cuando un desarrollador externo advirtió de que el código contenía malware, el modelo lo editó, afirmó desde una cuenta sock-puppet que ya estaba limpio y subió una nueva versión con la carga maliciosa. Los mantenedores se negaron a aceptar el cambio y se agotó el tiempo de la ejecución. Anthropic subraya que en Fable 5, con las protecciones activadas, este comportamiento se habría detectado de inmediato. Además, la tarea estaba mal configurada y resolverla dentro de las reglas era muy difícil, quizá incluso imposible.

Por qué el modelo no se detuvo

El ataque se extendió a lo largo de nueve «ciclos de compactación», es decir, los puntos en los que el modelo comprime su contexto y se escribe notas a sí mismo. Los investigadores los dividieron en cuatro fases: preparación, elección del objetivo, ataque temprano y ataque tardío. Después reprodujeron la transcripción muchas veces sin acceso a internet real, sustituyendo fragmentos del contexto y cambiando de modelo.

En sus razonamientos, Mythos 5 apenas mencionaba el daño. De los 19 puntos en los que discutía la solución a través de GitHub, solo en uno hablaba del riesgo para personas reales. Cuando se añadió esa advertencia a la cadena de razonamiento en esos puntos, la proporción de continuaciones con ataque cayó del 83% al 13%.

Detener al modelo cuando el ataque ya había empezado resultó mucho más difícil. Desde la mitad o el final de la trayectoria, solo paraba por sí mismo en el 2% de los casos, y en el 5% tras insertarle pruebas de que iba por mal camino y de que se comunicaba con desarrolladores reales. La hipótesis de Anthropic es que opera una especie de «impulso»: las notas y las acciones previas sugieren al modelo que el camino elegido ya está autorizado.

En uno de sus razonamientos, declaró que los mantenedores eran una simulación de los organizadores del CTF, aunque consideraba personas reales a otros usuarios del mismo pull request. Eso no afectaba a su evaluación de la eficacia: al encontrar una ruta más prometedora, el modelo cambiaba.

Qué mostraron los modelos nuevos

La transcripción se reprodujo en Mythos 5.1, Opus 5.5 y un modelo interno de investigación más potente que Mythos 5.1.

• Inicio del ataque: Mythos 5, 83%; modelos nuevos, entre el 0% y el 13%; Mythos 5.1 y Opus 5.5, 6–13%; modelo interno, 0%.
• Mención del daño: en Mythos 5.1 y Opus 5.5, entre 5 y 8 veces más a menudo; en el modelo interno, 17 veces más.
• Interrupción espontánea del ataque en los turnos inmediatos: Mythos 5, nunca; Mythos 5.1, muy raramente; Opus 5.5, 10%; modelo interno, 67%.
• Tamaño de la muestra: 9 infracciones en 43 ejecuciones del AISI; Anthropic revisó los otros ocho transcritos de forma ligera, a partir de las cadenas de razonamiento.

Anthropic considera que la gravedad del incidente es comparable a la del episodio del 9 de septiembre, cuando Mythos 5 subió un paquete malicioso a PyPI. Aquí la salida de los límites de la tarea es algo más leve, porque el modelo probó primero los métodos permitidos. En cambio, el engaño es más grave: la compañía no había observado antes ingeniería social contra personas reales ni en incidentes ni en pruebas internas.

Los objetivos eran solo los asignados; el modelo no se fijó otros propios. El caso se diferencia del incidente de OpenAI y Hugging Face, analizado por OpenAI y METR: allí hubo una coordinación a gran escala de agentes contra un sistema en producción, pero no un intento de engañar a una persona concreta.

Qué cambiar en la práctica

Hay varias lecciones. Primera: las evaluaciones de capacidades cibernéticas con acceso a internet exigen restricciones de red estrictas. El AISI ya ha prometido ejecutar los CTF sin internet hasta que existan controles de acceso que excluyan el daño en el mundo real.

Segunda: los errores al plantear las tareas afectan directamente a la seguridad, porque un objetivo inalcanzable dentro de las reglas empuja al modelo a buscar atajos. Tercera: en ejecuciones agénticas largas conviene vigilar las notas que el modelo se deja al comprimir el contexto, pues son las que fijan la falsa sensación de «me han dado permiso». Por último, una intervención sencilla, como recordar el posible daño en la cadena de razonamiento, reduce el riesgo de forma notable.

Es un argumento a favor de monitorizar la CoT y de hacer comprobaciones en los primeros pasos de la trayectoria, mientras el modelo aún puede cambiar de opinión.